Brottsdatalag – kompletterande lagstiftning

Lagrådsremiss

Regeringen överlämnar denna remiss till Lagrådet.

Stockholm den 5 april 2018

Morgan Johansson

Ulrika Söderqvist (Justitiedepartementet)

Lagrådsremissens huvudsakliga innehåll

EU:s nya dataskyddsdirektiv kommer i huvudsak att genomföras genom brottsdatalagen. Brottsdatalagen kommer att vara generellt tillämplig inom det område som direktivet reglerar men subsidiär i förhållande till annan författning. För myndigheterna i rättskedjan krävs särreglering som även i fortsättningen kommer att finnas i särskilda registerförfattningar. Regeringen föreslår att registerförfattningarna för domstolarna, kriminalvården, polisen, Kustbevakningen, åklagarväsendet, Tullverket och Skatteverket ska anpassas till brottsdatalagen på så sätt att de ska gälla utöver brottsdatalagen, och enbart innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen. För domstolarna föreslår regeringen en ny lag om domstolarnas behandling av personuppgifter inom brottsdatalagens område. När det gäller övriga registerförfattningar föreslår regeringen omfattande strukturella och redaktionella ändringar samt att författningarna ska få nya namn. Regeringen föreslår också ändringar i andra lagar som en följd av anpassningarna av registerförfattningarna. Lagändringarna föreslås träda i kraft den 1 januari 2019.

1 Beslut

Regeringen har beslutat att inhämta Lagrådets yttrande över förslag till 1. lag om domstolarnas behandling av personuppgifter inom brottsdatalagens område, 2. lag om ändring i rättegångsbalken, 3. lag om ändring i polislagen (1984:387), 4. lag om ändring i säkerhetsskyddslagen (1996:627) 5. lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen, 6. lag om ändring i lagen (2000:344) om Schengens informationssystem, 7. lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet, 8. lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården, 9. lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang, 10. lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet, 11. lag om ändring i offentlighets- och sekretesslagen (2009:400), 12. lag om ändring i polisdatalagen (2010:361), 13. lag om ändring i kustbevakningsdatalagen (2012:145), 14. lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas, 15. lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang, 16. lag om ändring i åklagardatalagen (2015:433), 17. lag om ändring i domstolsdatalagen (2015:728), 18. lag om ändring i utlänningsdatalagen (2016:27), 19. lag om ändring i tullagen (2016:253), 20. lag om ändring i tullbrottsdatalagen (2017:447), 21. lag om ändring i skattebrottsdatalagen (2017:452), 22. lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete, 23. lag om ändring i säkerhetsskyddslagen (2018:000).

2 Lagtext

Regeringen har följande förslag till lagtext.

2.1 Förslag till lag om domstolarnas behandling av personuppgifter inom brottsdatalagens område

Härigenom föreskrivs följande.

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när följande domstolar i egenskap av behöriga myndigheter behandlar personuppgifter: 1. allmän domstol, om uppgifterna behandlas i syfte att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet, och 2. allmän förvaltningsdomstol, om uppgifterna behandlas i syfte att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder.

Personuppgiftsansvar

2 § En domstol är personuppgiftsansvarig för den behandling av personuppgifter som den utför.

Rättsliga grunder

3 § Personuppgifter får behandlas om det är nödvändigt för handläggning av mål och ärenden om 1. utredning av eller lagföring för brott, 2. verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder, eller 3. upprätthållande av allmän ordning och säkerhet. Uppgiften att handlägga mål och ärenden ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstolen att utföra uppgiften.

Behandling för nya ändamål

4 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 3 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Behandling av personnummer

5 § Personnummer och samordningsnummer får behandlas endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

Sökbegränsningar

6 § Vid sökning i personuppgifter är det förbjudet att använda sökbegrepp som avslöjar sådana personuppgifter som avses i 2 kap. 11 och 12 §§ brottsdatalagen (2018:000) eller uppgifter om nationell anknytning. Användning av särskilda beteckningar för identifiering av en viss måleller ärendetyp som sökbegrepp omfattas inte av förbudet. Förbudet gäller inte heller vid sökning i en viss handling eller i ett visst mål eller ärende.

7 § Förbudet i 6 § första stycket gäller inte användning i allmän förvaltningsdomstol av sökbegrepp som avslöjar hälsa. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att använda sökbegrepp som avslöjar hälsa.

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att använda sökbegrepp som avslöjar brott eller misstanke om brott.

Elektroniskt utlämnande av personuppgifter

9 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt.

10 § Direktåtkomst får endast medges 1. en allmän domstol, 2. en allmän förvaltningsdomstol, eller 3. en part eller partens ombud, biträde eller försvarare. Direktåtkomst enligt första stycket 3 får endast avse personuppgifter i partens mål eller ärende. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av direktåtkomst enligt första stycket och om behörighet och säkerhet vid sådan åtkomst.

Personuppgifter i avgjorda mål och ärenden

11 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft.

Administrativa sanktionsavgifter

12 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i – 3 § om rättsliga grunder för behandling av personuppgifter, eller – 6 § första stycket om sökförbud. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

13 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

Överklagande

14 § Beslut i sådana frågor som avses i 7 kap. 2 § brottsdatalagen (2018:000) som har meddelats av en hovrätt, tingsrätt eller förvaltningsrätt i egenskap av personuppgiftsansvarig, får överklagas till kammarrätten. En kammarrätts beslut i sådana frågor får överklagas till Högsta förvaltningsdomstolen. Högsta domstolens och Högsta förvaltningsdomstolens beslut i frågor som avses i första stycket får inte överklagas.

1. Denna lag träder i kraft den 1 januari 2019. 2. Domstolsdatalagen (2015:728) i lydelsen före den 25 maj 2018 gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. 3. En sanktionsavgift enligt 12 § får beslutas endast för överträdelser som har skett efter ikraftträdandet.

2.2 Förslag till lag om ändring i rättegångsbalken

Härigenom föreskrivs att 28 kap. 12 a och b §§ rättegångsbalken ska ha följande lydelse.

28 kap.

12 a §

12 b §

Kroppsbesiktning genom tagande av salivprov får göras på annan än

den som skäligen kan misstänkas för ett brott, om

2. det finns synnerlig anledning att anta att det är av betydelse för ut-

Första stycket gäller inte den som är under 15 år.

Denna lag träder i kraft den 1 januari 2019.

Senaste lydelse 2010:363. 2 Senaste lydelse 2010:363.

2.3 Förslag till lag om ändring i polislagen (1984:387) Härigenom föreskrivs att 26 § polislagen (1984:387) ska ha följande lydelse.

26 §

Transportföretag får lämna uppgifter enligt 25 § på så sätt att de görs läsbara för Polismyndigheten eller Säkerhetspolisen genom terminalåtkomst. Polismyndigheten och Säker- Polismyndigheten och Säkerhetspolisen får ta del av uppgifter hetspolisen får ta del av uppgifter genom terminalåtkomst endast i genom terminalåtkomst endast i den omfattning och under den tid den omfattning och under den tid som behövs för att kontrollera som behövs för att kontrollera aktuella transporter. Uppgifter som aktuella transporter. hålls tillgängliga på detta sätt får inte ändras eller på annat sätt bearbetas eller lagras av Polismyndigheten eller Säkerhetspolisen. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst, ska omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott.

Denna lag träder i kraft den 1 januari 2019.

1 Senaste lydelse 2014:588.

2.4 Förslag till lag om ändring i säkerhetsskyddslagen (1996:627) Härigenom föreskrivs att 12 § säkerhetsskyddslagen (1996:627) ska ha följande lydelse.

12 §

1. Denna lag träder i kraft den 1 januari 2019.

2. Äldre föreskrifter gäller fortfarande för uppgifter som hämtas från

Säkerhetspolisen och som behandlas med stöd av polisdatalagen

(2010:361) i lydelsen före den 1 januari 2019.

Senaste lydelse 2010:365.

2.5 Förslag till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen

Härigenom föreskrivs att 16 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen ska ha följande lydelse.

16 §

Transportföretag får lämna uppgifter enligt 15 § på så sätt att de görs läsbara för Tullverket genom terminalåtkomst. Tullverket får ta del av uppgifter Tullverket får ta del av uppgifter genom terminalåtkomst endast i genom terminalåtkomst endast i den omfattning och under den tid den omfattning och under den tid som behövs för att kontrollera som behövs för att kontrollera aktuella transporter. Tullverket får aktuella transporter. inte ändra eller på annat sätt bearbeta eller lagra uppgifter som hålls tillgängliga på detta sätt. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst, skall omedelbart förstöras, om de visar sig sakna betydelse för utredning och lagföring av brott.

Denna lag träder i kraft den 1 januari 2019.

1 Senaste lydelse 1999:434.

2.6 Förslag till lag om ändring i lagen (2000:344) om Schengens informationssystem Härigenom föreskrivs att 5 § lagen (2000:344) om Schengens informationssystem ska ha följande lydelse.

5 §

Registret ska endast innehålla uppgifter som har behandlats av behö-

riga myndigheter i Schengenstaterna, i enlighet med respektive stats

Denna lag träder i kraft den 1 januari 2019.

Senaste lydelse 2014:595.

2.7 Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet Härigenom föreskrivs att 1 kap. 1 och 5 §§ lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet ska ha följande lydelse.

1 kap.

1 §

Denna lag tillämpas vid behandling av personuppgifter i Tullverkets verksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 4–6 och 8 §§ samt 2 kap. gäller även vid behandling av uppgifter om juridiska personer. Bestämmelserna i denna lag gäl- Bestämmelserna i denna lag gäller inte behandling av uppgifter i ler inte vid behandling av personden brottsbekämpande verksamhet uppgifter i den brottsbekämpande som Tullverket bedriver. För så- verksamhet som Tullverket bedan behandling finns det särskilda driver. bestämmelser i tullbrottsdatalagen (2017:447) .

5 §

Uppgifter som behandlas enligt 4 § får även behandlas för 1. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan än Tullverket för a) fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter, b) revision och annan analys- eller kontrollverksamhet, c) tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och d) utsökning och indrivning, 2. att tillhandahålla information 2. att tillhandahålla information som behövs i Tullverkets brottsbe- som behövs i Tullverkets brottsbekämpande verksamhet enligt kämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen 2 kap. 1 § lagen (2017:447) om (2017:447), Tullverkets behandling av personuppgifter inom brottsdatalagens område , 3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

1 Senaste lydelse 2017:449.

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Denna lag träder i kraft den 1 januari 2019.

2.8 Förslag till lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården

Härigenom föreskrivs i fråga om lagen (2001:617) om behandling av 1 personuppgifter inom kriminalvården dels att 1–16 §§ ska upphöra att gälla, dels att rubrikerna närmast före 1, 2, 3–10 och 12 §§ ska utgå, dels att rubriken till lagen ska ha följande lydelse, dels att det ska införas fyra nya kapitel, 1–4 kap., av följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av myndigheterna inom kriminalvården i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför uppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen.

Personuppgiftsansvar

2 § Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. En övervakningsnämnd är personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför.

2 kap. Grundläggande bestämmelser om behandling av personuppgifter

Rättsliga grunder

1 § Personuppgifter får behandlas om det är nödvändigt för att en myndighet som nämns i 1 kap. 1 § ska kunna utföra följande uppgifter: 1. verkställa häktning eller straffrättsliga påföljder,

1 Senaste lydelse av 2 a § 2013:337 13 § 2005:983 rubriken närmast före 2 § 2013:337 3 § 2005:983 14 § 2005:983 rubriken närmast före 12 § 2005:983 4 § 2005:983 15 § 2005:983 5 § 2008:577 16 § 2009:837 12 § 2005:983

2. förebygga, förhindra eller upptäcka brottslig verksamhet i samband med sådan verkställighet som anges i 1, 3. biträda andra myndigheter när de fullgör uppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000), eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Känsliga personuppgifter

3 § Kriminalvården får behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen.

Utlämnande av personuppgifter

4 § Kriminalvården får till en utländsk myndighet eller internationell organisation lämna ut de personuppgifter som behövs för 1. prövning och genomförande av överflyttning av straffverkställighet, 2. transitering och förvaring av en person som är frihetsberövad för utredning av eller lagföring för brott eller straffverkställighet, eller 3. tillfällig överflyttning av en frihetsberövad person för utredning av eller lagföring för brott eller straffverkställighet.

Längsta tid som personuppgifter får behandlas

5 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som behandlas automatiserat inte behandlas längre än tio år efter det att den senaste påföljden eller åtgärden avseende den registrerade helt har verkställts eller upphört. I 3 kap. 7 § finns bestämmelser om hur länge personuppgifter i säkerhetsregistret får behandlas.

Rätt att meddela föreskrifter

6 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. vilka personuppgifter som får behandlas enligt 1 §, 2. utlämnande av personuppgifter i andra fall än som anges i 4 §, 3. frågor som rör elektroniskt utlämnande genom direktåtkomst, 4. längsta tid som personuppgifter får behandlas, och 5. att personuppgifter får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 5 §.

3 kap. Säkerhetsregistret

Rätten att föra register

1 § Kriminalvården får föra ett säkerhetsregister. I säkerhetsregistret får personuppgifter behandlas i syfte att 1. förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet, och 2. säkerställa ordning och säkerhet på häkten, i kriminalvårdsanstalter och i annan verksamhet som Kriminalvården bedriver.

Säkerhetsregistrets innehåll

2 § I säkerhetsregistret får uppgifter behandlas om en person som är häktad eller verkställer ett fängelsestraff och som är eller har varit placerad på en säkerhetsavdelning. I registret får även uppgifter behandlas om en person som är häktad eller verkställer ett fängelsestraff, om det finns risk för att han eller hon 1. under häktning eller verkställighet av fängelsestraff begår brott som inte är ringa eller utövar brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller mer, 2. förbereder rymning eller försöker rymma, 3. blir föremål för fritagning, 4. bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt, eller 5. under häktning eller verkställighet av ett fängelsestraff utsätts för våld eller hot.

3 § I säkerhetsregistret får även uppgifter behandlas om en person som verkställer en påföljd inom kriminalvården, om det finns risk för att han eller hon utövar våld eller hot mot eller otillbörlig påverkan på personal eller andra personer som uppehåller sig i kriminalvårdens lokaler.

4 § Om det är absolut nödvändigt för ändamålet med behandlingen enligt 1 §, får Kriminalvården i säkerhetsregistret behandla uppgifter om en person som har personlig anknytning till eller annan nära förbindelse med en person som anges i 2 §. Om den personen inte är häktad eller verkställer fängelsestraff ska det framgå genom en särskild upplysning.

Sökning

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning.

Direktåtkomst

6 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till personuppgifter i säkerhetsregistret.

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i säkerhetsregistret inte behandlas längre än fem år efter det att 1. den registrerade blivit villkorligt frigiven från ett fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte, 2. den registrerade helt har verkställt en sådan påföljd som avses i 3 §, eller 3. den person som en registrerad har personlig anknytning till eller annan nära förbindelse med enligt 4 §, har blivit villkorligt frigiven från ett fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte.

Rätt att meddela föreskrifter

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om innehållet i säkerhetsregistret och om utlämnande av personuppgifter ur registret.

4 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 4 § om särskild upplysning, eller 3. 2 kap. 5 § eller 3 kap. 7 § om den längsta tid som personuppgifter får behandlas. En sanktionsavgift får också tas ut vid överträdelse av föreskrifter som har meddelats i anslutning till denna lag om särskild upplysning eller om längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 4 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet. 3. Äldre föreskrifter gäller fortfarande för överträdelser som har skett före ikraftträdandet. 4. Äldre föreskrifter gäller fortfarande för överklagande av beslut som meddelats före ikraftträdandet och som rör behandling av personuppgifter vid verkställighet av häktning eller straffrättsliga påföljder eller biträde till andra behöriga myndigheter.

2.9 Förslag till lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang Härigenom föreskrivs att 8 a § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang ska ha följande lydelse.

8 a §

Denna lag träder i kraft den 1 januari 2019.

Senaste lydelse 2015:55.

2.10 Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

Härigenom föreskrivs att 1, 3 och 4 §§ lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ska ha följande lydelse.

1 §

Säkerhets- och integritetsskyddsnämnden (nämnden) ska utöva tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. Nämnden ska även utöva tillsyn Nämnden ska även utöva tillsyn över den behandling av person- över den behandling av personuppgifter enligt polisdatalagen uppgifter som utförs av Polismyn- (2010:361) och lagen (2010:362) digheten, Säkerhets-polisen och om polisens allmänna spanings- Ekobrottsmyndigheten enligt register som utförs av Polismyn- brottsdatalagen (2018:000) och digheten, Säkerhetspolisen och lagen ( 2010:361) om polisens be- Ekobrottsmyndigheten. När det handling av personuppgifter inom gäller Säkerhetspolisen ska tillsy- brottsdatalagens område för de nen även avse behandling enligt syften som anges i 1 kap. 1 § i den polisdatalagen (1998:622). Tillsy- sistnämnda lagen . Tillsynen ska nen ska särskilt avse sådan behand- särskilt avse sådan behandling som ling som avses i 2 kap. 10 § polis- avses i 2 kap. 11 § brottsdatalagen datalagen (2010:361) och 5 § (2018:000). polisdatalagen (1998:622) samt 12 § lagen om polisens allmänna spaningsregister. Tillsynen ska särskilt syfta till att säkerställa att verksamhet enligt första och andra styckena bedrivs i enlighet med lag eller annan författning.

3 § Nämnden är skyldig att på begä- Nämnden är skyldig att på begäran av en enskild kontrollera om ran av en enskild kontrollera om han eller hon har utsatts för sådana han eller hon tvångsmedel eller varit föremål för 1. har utsatts för sådana tvångssådan personuppgiftsbehandling medel som avses i 1 § och om som avses i 1 § och om använd- användningen av dem och verkningen av tvångsmedel och därmed samhet som hänger samman med sammanhängande verksamhet dem har varit i enlighet med lag eller behandlingen av personupp- eller annan författning, eller

1 Senaste lydelse 2014:652.

gifter har skett i enlighet med lag 2. varit föremål för sådan pereller annan författning. Nämnden sonuppgiftsbehandling som avses i skall underrätta den enskilde om 1 § och om den har utförts i enatt kontrollen har utförts. lighet med lag eller annan författning . Nämnden ska underrätta den enskilde om att kontrollen har utförts. Nämnden får vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad.

4 § Nämnden har rätt att av för- Nämnden har rätt att av förvaltningsmyndigheter som om- valtningsmyndigheter som omfattas av tillsynen få de uppgifter fattas av tillsynen få de uppgifter och det biträde som nämnden be- och upplysningar, den information gär. Även domstolar samt de för- och det biträde som nämnden bevaltningsmyndigheter som inte gär. Även domstolar och de föromfattas av tillsynen är skyldiga valtningsmyndigheter som inte att lämna nämnden de uppgifter omfattas av tillsynen är skyldiga som den begär. att lämna nämnden de uppgifter som den begär.

1. Denna lag träder i kraft den 1 januari 2019. 2. Äldre föreskrifter gäller fortfarande för nämndens tillsyn över Säkerhetspolisens behandling av uppgifter i frågor som rör nationell säkerhet med stöd av polisdatalagen (2010:361) i lydelsen före den 1 januari 2019 eller polisdatalagen (1998:622).

2.11 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 18 kap. 2 och 18 §§, 35 kap. 1, 4 a, 10 och 10 b §§ och 37 kap. 7 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse.

18 kap.

2 §

Sekretess enligt första stycket gäller inte för uppgift som hänför sig till verksamhet hos Säkerhetspolisen och som har förts in i en allmän handling före år 1949. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

1 Senaste lydelse 2017:456.

2 18 § Sekretessen enligt 17 § andra Sekretessen enligt 17 § andra stycket hindrar inte att en uppgift stycket hindrar inte att en uppgift lämnas ut enligt vad som före- lämnas ut enligt vad som föreskrivs i lagen (2000:344) om skrivs i lagen (2000:344) om Schengens informationssystem och Schengens informationssystem och polisdatalagen (2010:361). lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område .

35 kap.

3 1 § Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i 1. utredning enligt bestämmelserna om förundersökning i brottmål, 2. angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott, 3. angelägenhet som avser registerkontroll och särskild personutredning enligt säkerhetsskyddslagen (1996:627), 4. annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen, 5. register som förs av Polis- 5. register som förs av Polismyndigheten enligt 4 kap. polis- myndigheten enligt 5 kap. lagen datalagen (2010:361) eller som (2010:361) om polisens behandling annars behandlas med stöd av de av personuppgifter inom brottsbestämmelserna eller uppgifter datalagens område eller som som behandlas av Säkerhetspolisen annars behandlas med stöd av de med stöd av 6 kap. samma lag , bestämmelserna, 6. register som förs enligt lagen (1998:621) om misstankeregister, 7. register som förs av Skat- 7. register som förs av Skatteverket enligt skattebrottsdata- teverket enligt lagen (2017:452) lagen (2017:452) eller som annars om Skatteverkets behandling av behandlas där med stöd av samma personuppgifter inom brottsdatalag, lagens område eller som annars behandlas där med stöd av samma lag, 8. särskilt ärenderegister över 8. särskilt ärenderegister över brottmål som förs av åklagar- brottmål som förs av åklagarmyndighet, om uppgiften inte myndighet, om uppgiften inte hänför sig till registrering som hänför sig till registrering som avses i 5 kap. 1 §, avses i 5 kap. 1 §, eller 9. register som förs av Tullverket 9. register som förs av Tullverket enligt tullbrottsdatalagen enligt lagen (2017:447) om Tull-

2 Senaste lydelse 2010:369. 3 Senaste lydelse 2017:1076. 30

(2017:447) eller som annars be- verkets behandling av personupphandlas där med stöd av samma gifter inom brottsdatalagens omlag , eller råde eller som annars behandlas där med stöd av samma lag. 10. register som förs enligt lagen (2010:362) om polisens allmänna spaningsregister. Sekretessen enligt första stycket 2 gäller hos domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs. Första stycket gäller inte om annat följer av 2, 6 eller 7 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

4 4 a § Sekretess gäller i verksamhet Sekretess gäller i verksamhet som avser förande av register som avser förande av tillträdesenligt lagen (2015:51) om register förbudsregistret enligt 5 kap. lagen över tillträdesförbud vid idrotts- (2010:361) om polisens behandling arrangemang för uppgift om en av personuppgifter inom brottsenskilds personliga förhållanden, datalagens område för uppgift om om det inte står klart att uppgiften en enskilds personliga förhållankan röjas utan att den enskilde eller den, om det inte står klart att uppnågon närstående till denne lider giften kan röjas utan att den enmen. skilde eller någon närstående till honom eller henne lider men. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

5 10 § Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut 1. till en enskild enligt vad som föreskrivs i lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare, 2. till en enskild enligt vad som 2. till en enskild enligt vad som föreskrivs i säkerhetsskyddslagen föreskrivs i säkerhetsskyddslagen (1996:627) samt i förordning som (1996:627) och i förordning som har meddelats med stöd i den lagen, har meddelats med stöd i den lagen, 3. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken, 3. enligt vad som föreskrivs i 4. enligt vad som föreskrivs i – lagen (1998:621) om misstankeregister,

4 Senaste lydelse 2015:53. 5 Senaste lydelse 2017:456. 31

– polisdatalagen (2010:361), – lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område , – skattebrottsdatalagen – lagen (2012:145) om Kustbe- (2017:452), vakningens behandling av personuppgifter inom brottsdatalagens område, – tullbrottsdatalagen – lagen (2015:433) om åklagar- (2017:447), väsendets behandling av personuppgifter inom brottsdatalagens område, – kustbevakningsdatalagen – lagen (2017:447) om Tullver- ( 2012:145), kets behandling av personuppgifter inom brottsdatalagens område , – åklagardatalagen (2015:433), – lagen (2017:452) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område, eller

– förordningar som har stöd i – förordningar som har stöd i dessa lagar , eller dessa lagar . 4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken.

6 10 b § Sekretessen enligt 4 a § hindrar Sekretessen enligt 4 a § hindrar inte att en uppgift lämnas ut enligt inte att en uppgift lämnas ut till en vad som föreskrivs i lagen idrottsorganisation enligt vad som (2015:51) om register över till- föreskrivs i 2 kap. 14 § lagen trädesförbud vid idrottsarrange- (2010:361) om polisens behandmang . ling av personuppgifter inom brottsdatalagens område .

37 kap.

7 7 § Sekretessen enligt 6 § hindrar Sekretessen enligt 6 § hindrar inte att uppgift lämnas ut enligt inte att uppgift lämnas ut enligt vad som föreskrivs i lagen vad som föreskrivs i lagen (2000:344) om Schengens infor- (2000:344) om Schengens informationssystem och polisdata- mationssystem och lagen lagen (2010:361). (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område .

6 Senaste lydelse 2015:53. 7 Senaste lydelse 2010:369. 32

1. Denna lag träder i kraft den 1 januari 2019. 2. Äldre föreskrifter gäller fortfarande för sådan verksamhet som avses i 6 kap. 1 § 1 polisdatalagen (2010:361) i lydelsen före den 1 januari 2019. 3. Äldre föreskrifter gäller fortfarande för uppgifter som behandlas av Säkerhetspolisen med stöd av polisdatalagen i lydelsen före den 1 januari 2019. 4. Äldre föreskrifter gäller fortfarande för uppgifter i handlingar som har omhändertagits för arkivering före ikraftträdandet.

2.12 Förslag till lag om ändring i polisdatalagen (2010:361)

1

Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 1 kap., 2 kap., 3 kap. 5 och 9–15 §§, 4 kap., 5 kap. 4–6 §§ och

6 kap. ska upphöra att gälla, dels att rubrikerna närmast före 3 kap. 8, 9 och 14 §§ och 5 kap. 4 och

5 §§ ska utgå, dels att nuvarande 3 kap. 6–8 §§, 5 kap. 1–3 och 7–9 §§ ska betecknas

3 kap. 5–7 §§, och 6 kap. 1–3, 6, 7 och 9 §§, dels att rubriken till lagen samt 3 kap. 1–4 §§, de nya 3 kap. 5–7 §§, de nya 6 kap. 3, 6, 7 och 9 §§ och rubriken närmast före den nya 6 kap. 6 § ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 3 kap. 8 § och 5 kap. 1, 6 och 8 §§ ska sättas närmast före de nya 3 kap. 7 § respektive 6 kap. 1, 6 och 7 §§, dels att det ska införas fem nya kapitel, 1, 2, 4, 5 och 7 kap., sex nya paragrafer, 3 kap. 8 och 9 §§ och 6 kap. 4, 5, 8 och 10 §§, och närmast före 3 kap. 1 § och de nya 3 kap. 8 §, 6 kap. 4 och 9 §§ nya rubriker av följande lydelse.

1 Senaste lydelse av 5 kap. 1 § 2015:436 1 kap. 2 § 2015:436 5 kap. 2 § 2015:436 1 kap. 3 § 2015:57 5 kap. 3 § 2015:436 1 kap. 4 § 2017:500 5 kap. 4 § 2015:436 1 kap. 5 § 2014:597 5 kap. 5 § 2015:436 1 kap. 6 § 2015:436 5 kap. 6 § 2015:436 1 kap. 7 § 2015:436 6 kap. 1 § 2015:436 2 kap. 4 § 2014:597 6 kap. 2 § 2015:436 2 kap. 5 § 2014:597 6 kap. 3 § 2015:436 2 kap. 8 § 2016:29 6 kap. 4 § 2015:436 2 kap. 9 § 2014:597 6 kap. 5 § 2015:436 2 kap. 12 § 2015:436 6 kap. 6 § 2015:436 2 kap. 16 § 2014:597 6 kap. 7 § 2015:436 2 kap. 18 § 2016:29 6 kap. 8 § 2015:436 2 kap. 21 § 2018:50 6 kap. 9 § 2015:436 4 kap. 1 § 2014:597 6 kap. 10 § 2015:436 4 kap. 7 § 2014:409 6 kap. 11 § 2015:436 4 kap. 10 § 2014:597 6 kap. 11 a § 2018:50 4 kap. 11 § 2014:597 6 kap. 11 b § 2018:50 4 kap. 12 § 2014:597 6 kap. 12 § 2015:436 4 kap. 12 a § 2014:597 6 kap. 13 § 2015:436 4 kap. 13 § 2014:597 6 kap. 14 § 2015:436 4 kap. 14 § 2014:597 rubriken närmast före 1 kap. 6 § 2014:597 4 kap. 15 § 2014:597 rubriken närmast före 1 kap. 7 § 2014:597 4 kap. 16 § 2014:597 rubriken närmast före 4 kap. 10 § 2014:597 4 kap. 17 § 2014:597 rubriken närmast före 6 kap. 11 a § 4 kap. 18 § 2014:597 2014:597. 4 kap. 19 § 2014:597 4 kap. 21 § 2014:597

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av följande myndigheter i egenskap av behöriga myndigheter behandlar personuppgifter: 1. Polismyndigheten, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, 2. Ekobrottsmyndigheten, om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet, 3. Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. För Ekobrottsmyndigheten och Säkerhetspolisen gäller endast 1–4 och 7 kap.

2 § Denna lag gäller inte vid behandling av personuppgifter enligt 1. vapenlagen (1996:67), 2. lagen (1998:620) om belastningsregister, 3. lagen (1998:621) om misstankeregister, 4. lagen (2000:344) om Schengens informationssystem, 5. lagen (2006:444) om passagerarregister, eller 6. lagen (2014:400) om Polismyndighetens elimineringsdatabas.

3 § I lagen (2017:496) om internationellt polisiärt samarbete och i lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen samt i föreskrifter som regeringen har meddelat i anslutning till dessa lagar, finns det särskilda bestämmelser om behandling av personuppgifter. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

4 § Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten utför vid Ekobrottsmyndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Ekobrottsmyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i syfte att utreda brott. Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Uttryck i lagen

5 § I denna lag avses med dna-analys : varje förfarande som kan användas för analys av deoxyribonukleinsyra i humant material, dna-profil : resultatet av en dna-analys som presenteras i form av siffror eller bokstäver, och fingeravtryck : avtryck av finger eller hand.

Behandling av uppgifter om juridiska personer

6 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 4 § om personuppgiftsansvar, 2. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, 4. 4 kap. 1–4 och 6–10 §§ om längsta tid som personuppgifter får behandlas, 5. 5 kap. 18–20 §§ om behandling av personuppgifter i penningtvättsregister, och 6. 5 kap. 21 och 22 §§ om behandling av personuppgifter i det internationella registret. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

Lagens uppbyggnad

7 § I detta kapitel och i 2 kap. finns allmänna bestämmelser om behandling av personuppgifter och i 4 kap. bestämmelser om längsta tid för behandling av personuppgifter. I 7 kap. finns bestämmelser om administrativa sanktionsavgifter och rättsmedel. För personuppgifter som görs eller har gjorts gemensamt tillgängliga gäller även 3 kap. För personuppgifter som behandlas i register över dna-profiler, fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret, gäller 5 kap. i stället för 3 och 4 kap. I 6 kap. finns bestämmelser om Polismyndighetens behandling av personuppgifter för forensiska ändamål. Vid sådan behandling gäller 6 kap. i stället för 2–4 kap.

2 kap. Grundläggande bestämmelser om behandling av personuppgifter

Rättsliga grunder

1 § Personuppgifter får behandlas om det är nödvändigt för att en myndighet som nämns i 1 kap. 1 § ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna om särskild upplysning i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Polismyndigheten och Säkerhetspolisen får behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används som sökbegrepp.

6 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Utlämnande av personuppgifter

7 § Om det är förenligt med svenska intressen får personuppgifter lämnas ut till 1. Interpol, 2. Europol, eller 3. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol. 37

Personuppgifter får lämnas ut endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighetsoch sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Första stycket gäller inte uppgifter som behandlas i särskilda register enligt 5 kap.

9 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Kustbevakningen har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av uppgifter om huruvida personer förekommer i sådana register över dna-profiler som regleras i 5 kap., om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister enligt 5 kap., om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Migrationsverket har motsvarande rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister, om verket behöver uppgifterna för att kontrollera fingeravtryck som tagits där.

11 § En idrottsorganisation har, trots sekretess enligt 35 kap. 4 a § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som behandlas i tillträdesförbudsregistret enligt 5 kap., om organisationen behöver uppgifterna för de syften som anges i 5 § lagen (2015:51) om idrottsorganisationers behandling av uppgifter om tillträdesförbud.

12 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 7 § och 5 kap. 10 och 17 §§.

Personuppgifter från transportföretag

13 § Personuppgifter som tillhandahålls av transportföretag enligt 25 § polislagen (1984:387) får behandlas för något av de syften som anges i 1 § första stycket 1 och 2. Personuppgifter som avses i första stycket får endast i ett enskilt fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brottsdatalagen (2018:000).

14 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får personuppgifterna inte ändras eller bearbetas på annat sätt.

Rätt att meddela föreskrifter

15 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 7–11 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 12 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller särskilda Detta kapitel innehåller särskilda bestämmelser för behandling av bestämmelser för behandling av personuppgifter som görs eller har personuppgifter som görs eller har gjorts gemensamt tillgängliga i gjorts gemensamt tillgängliga med polisens brottsbekämpande verk- stöd av 2 §. Uppgifter som endast samhet. Uppgifter som endast ett ett fåtal personer har rätt att ta del fåtal personer har rätt att ta del av av anses inte som gemensamt tillanses inte som gemensamt till- gängliga. gängliga. Detta kapitel gäller inte när per- Detta kapitel gäller inte när personuppgifter behandlas med stöd sonuppgifter behandlas med stöd av 2 kap. 9 §. av 2 kap. 2 § brottsdatalagen (2018:000) .

2 2 § Följande personuppgifter får göras gemensamt tillgängliga: 1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten a) innefattar brott för vilket är a) innefattar brott för vilket det föreskrivet fängelse i ett år eller är föreskrivet fängelse i ett år eller däröver , eller mer , eller b) sker systematiskt. 2. Uppgifter som behövs för 2. Uppgifter som behövs för

2 Senaste lydelse 2014:597. 39

övervakningen av en person, om övervakningen av en person som han eller hon a) kan antas komma att begå a) kan antas komma att begå brott för vilket är föreskrivet fäng- brott för vilket det är föreskrivet else i två år eller däröver , och fängelse i två år eller mer , och b) är allvarligt kriminellt belastad eller kan antas utgöra ett hot mot andras personliga säkerhet. 3. Uppgifter som förekommer i 3. Uppgifter som förekommer i ett ärende om utredning eller beiv- ett ärende om utredning av eller rande av brott. lagföring för brott. 4. Uppgifter som behövs för att 4. Uppgifter som förekommer i fullgöra vad som följer av interna- ett ärende om kontaktförbud eller tionella åtaganden, om det krävs om personskydd. för att den aktuella förpliktelsen ska kunna fullgöras. 5. Uppgifter som har rapporterats till Polismyndighetens ledningscentraler. 6. Uppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet. 7. Uppgifter som behandlas i syfte att fullgöra internationella åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras. DNA -profiler får inte göras Dna -profiler får inte göras gemensamt tillgängliga. Att sådana gemensamt tillgängliga. Att sådana uppgifter får behandlas i särskilda uppgifter får behandlas i särskilda register följer av 4 kap. register följer av 5 kap. Tillgången till uppgifter som görs gemensamt tillgängliga med stöd av första stycket 2 ska begränsas till särskilt angivna tjänstemän som har till uppgift att arbeta med övervakningen. Information om att en person är föremål för övervakning får dock göras tillgänglig för andra.

3 § Vid behandling enligt 1 § ska det Det ska framgå genom en särgenom en särskild upplysning eller skild upplysning eller på något på något annat sätt framgå för annat sätt om personuppgifter har vilket närmare ändamål per- gjorts gemensamt tillgängliga med sonuppgifterna behandlas. Har stöd av 2 § första stycket 2 eller 5. uppgifterna gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2 eller 5, ska detta särskilt framgå .

4 § Om uppgifter , som behandlas Om uppgifter som har gjorts enligt 1 §, direkt kan hänföras till gemensamt tillgängliga direkt kan en person som inte är misstänkt för hänföras till en person som inte är brott eller för att ha utövat eller misstänkt för att ha utövat eller 40

komma att utöva sådan brottslig komma att utöva sådan brottslig verksamhet som avses i 2 § första verksamhet som avses i 2 § första stycket 1, ska det genom en särskild stycket 1, ska det genom en särupplysning eller på något annat sätt skild upplysning eller på något framgå att personen inte är miss- annat sätt framgå att personen inte tänkt. är misstänkt. Uppgifter om en person som kan Uppgifter om en person som kan antas ha samband med misstänkt antas ha direkt samband med brottslig verksamhet ska förses sådan brottslig verksamhet som med en upplysning om uppgifts- avses i 2 § första stycket 1 eller lämnarens trovärdighet och uppgif- som övervakas med stöd av 2 § ternas riktighet i sak, om inte detta första stycket 2 ska förses med en på grund av särskilda omständig- upplysning om uppgiftslämnarens heter är onödigt. Detsamma gäller trovärdighet och uppgifternas rikuppgifter om personer som avses i tighet i sak, om det inte på grund 2 § första stycket 2 . av omständigheterna är onödigt.

5 § Vid sökning på namn, person- Vid sökning i automatiserade nummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identitetsbe- sonnummer, samordningsnummer teckningar i uppgifter som har eller andra liknande identitetsbegjorts gemensamt tillgängliga får teckningar i uppgifter som har sådana uppgifter tas fram som gjorts gemensamt tillgängliga får anger att den sökta personen endast sådana uppgifter tas fram som anger att den sökta personen 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1, 4. övervakas enligt 2 § första stycket 2, 5. har anmält ett brott, 6. är målsägande i ett ärende som rör ansvar för brott, 7. berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende, 7. förekommer i ett ärende som 8 . förekommer i ett ärende som vittne eller annan som lämnar eller vittne eller någon annan som lämhar lämnat uppgifter eller yttrande, nar eller har lämnat uppgifter eller yttrande, 8 . har gett in eller tillhandahållits 9 . har gett in eller tillhandahållits en handling, en handling, 9 . är anmäld såsom försvunnen, 10 . är anmäld som försvunnen, 10 . har bedömts kunna komma 11 . har bedömts kunna komma att möta ett polisingripande med att möta ett polisingripande med grovt våld, eller grovt våld, eller 11 . är efterlyst. 12 . är efterlyst. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsning av 41

tillgången till sådana uppgifter som avses i första stycket.

6 § Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende, eller 2. sökning i en uppgiftssamling som har skapats för att undersöka viss brottslighet eller vissa kriminella grupperingar och som enbart de som arbetar i undersökningen har åtkomst till. Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte heller vid sökning som utförs av heller vid sökning som görs av särskilt angivna tjänstemän och särskilt angivna tjänstemän som görs 1. för att förebygga, förhindra 1. när de utför beredningsuppeller upptäcka brottslig verksamhet gifter i underrättelseverksamhet som innefattar brott för vilket är och arbetet befinner sig i ett inleföreskrivet fängelse i fyra år eller dande skede, däröver eller för sådant ändamål som avses i 2 § första stycket 2, eller 2. för att utreda brott för vilket är 2. i syfte att i underrättelseföreskrivet fängelse i fyra år eller verksamhet bearbeta och analydäröver . sera personuppgifter som har gjorts gemensamt tillgängliga med stöd av 2 § första stycket 1 eller 2 och som enbart dessa tjänstemän har tillgång till, 3. i syfte att utreda brott för vilket det är föreskrivet fängelse i fyra år eller mer , eller 4. i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Bestämmelserna i 5 § gäller inte heller vid sökning som en tjänsteman vid någon av Polismyndighetens ledningscentraler utför på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om under 42

vilka förutsättningar sökning får äga rum med stöd av första och andra styckena. Regeringen meddelar föreskrifter om ytterligare undantag från 6 §.

3 7 § Säkerhetspolisen, Ekobrottsmyn- Polismyndigheten , Säkerhetsdigheten, Åklagarmyndigheten, polisen, Ekobrottsmyndigheten, Tullverket, Kustbevakningen och Åklagarmyndigheten, Tullverket, Skatteverket får medges direktåt- Kustbevakningen och Skatteverket komst till personuppgifter i poli- får för något av de syften som sens brottsbekämpande verksam- anges i 1 kap. 2 § brottsdatalagen het . Direktåtkomsten får endast (2018:000) medges direktåtkomst avse personuppgifter som har till personuppgifter som har gjorts gjorts gemensamt tillgängliga. gemensamt tillgängliga med stöd av 2 § . En myndighet som medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Rätt att meddela föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 5 §.

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsning av tillgången till sådana personuppgifter som avses i 5 §, 2. under vilka förutsättningar

3 Senaste lydelse 2014:597. 43

sökning får utföras med stöd av 6 §, och 3. omfattningen av direktåtkomst enligt 7 § och om behörighet och säkerhet vid sådan åtkomst .

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår det att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I följande bestämmelser anges hur länge uppgifter som behandlas i särskilda register och i forensisk verksamhet får behandlas: 1. 5 kap. 7 § om uppgifter i register över dna-profiler, 2. 5 kap. 15 och 16 §§ om uppgifter i fingeravtrycks- och signalementsregister, 3. 5 kap. 20 § om uppgifter i penningtvättsregister, 4. 5 kap. 22 § om uppgifter i det internationella registret, 5. 5 kap. 26 § om uppgifter i tillträdesförbudsregistret, och 6. 6 kap. 6 § om uppgifter om sådana uppslag som anges i 6 kap. 1 § första stycket 5.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får sådana personuppgifter som inte har gjorts gemensamt tillgängliga och sådana personuppgifter som inte behandlas med stöd av 5 kap. inte behandlas längre än 1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller 2. ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett till åtal eller annan domstolsprövning, får personuppgifterna i förundersökningen inte behandlas för 44

ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § första stycket 1, 2 eller 4–7 som längst behandlas under den tid som anges i 7–10 §§.

7 § Personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 får, om de behandlas i ett ärende, inte behandlas längre än ett år efter det att ärendet avslutades. Om personuppgifterna inte behandlas i ett ärende får de inte behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller mer får inte behandlas längre än fem år efter utgången av det kalenderår då registreringen gjordes. Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tidsfristerna, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna om honom eller henne får behandlas. Den tid då en misstänkt person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av de tidsfrister som anges i andra stycket.

8 § Personuppgifter som behandlas i samband med sådan övervakning som avses i 3 kap. 2 § första stycket 2 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Den tid då en övervakad person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av den tid som anges i första stycket.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 4 får inte behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades. 45

Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 7 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

10 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 5 eller 6 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Rätt att meddela föreskrifter

11 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3, 4 eller 7–10 §.

12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 2 § första stycket eller 7–10 §, och 2. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Register

Register över dna-profiler

Rätten att föra register

1 § Polismyndigheten får föra register över dna-profiler (dna-registret, utredningsregistret och spårregistret) i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. fullgöra förpliktelser som följer av internationella åtaganden, och 4. underlätta identifiering av avlidna personer. I lagen (2014:400) om Polismyndighetens elimineringsdatabas finns bestämmelser om elimineringsdatabasen.

Dna-registret

2 § Dna-registret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser personer som 1. genom en dom som fått laga kraft har dömts till annan påföljd än böter, eller 2. har godkänt strafföreläggande som avser villkorlig dom.

3 § En dna-profil som registreras får endast ge information om identitet och inte om personliga egenskaper. Utöver dna-profiler får dna-registret innehålla uppgifter om vem analysen avser, i vilket ärende profilen har tagits fram och brottskod.

Utredningsregistret

4 § Utredningsregistret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser personer som är skäligen misstänkta för brott på vilket det kan följa fängelse. Bestämmelserna i 3 § gäller också vid registrering i utredningsregistret.

Spårregistret

5 § Spårregistret får innehålla dna-profiler som har tagits fram under utredning av brott och som inte kan hänföras till en identifierbar person. Utöver dna-profiler får spårregistret innehålla upplysningar som visar i vilket ärende profilen har tagits fram och brottskod.

6 § Dna-profiler i spårregistret får jämföras med dna-profiler 1. som inte kan hänföras till en identifierbar person, 2. som finns i dna-registret, eller 3. som kan hänföras till en person som är skäligen misstänkt för brott. Dna-profiler i spårregistret får också jämföras i andra fall om det är nödvändigt för att fullgöra en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande eller om det följer av en unionsrättsakt.

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i dna-registren som längst behandlas under den tid som anges i andra–fjärde styckena. Uppgifter får inte längre behandlas i dna-registret när uppgifterna om den registrerade tagits bort ur belastningsregistret enligt lagen (1998:620) om belastningsregister. Uppgifter får inte längre behandlas i utredningsregistret när uppgifterna om den registrerade får föras in i dna-registret eller när förundersökning eller åtal läggs ner, åtal ogillas, åtal bifalls men påföljden bestäms till enbart böter eller när den registrerade har godkänt ett strafföreläggande som avser enbart böter. Uppgifter får inte behandlas i spårregistret längre än trettio år efter registreringen. Uppgifter i registret får dock behandlas sjuttio år efter registreringen om uppgifterna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

Prover för dna-analys

8 § Om det i samband med utredning av ett brott har tagits ett prov för dna-analys, får provet inte användas för något annat ändamål än det som provet togs för.

9 § Ett prov för dna-analys som har tagits med stöd av 28 kap. rättegångsbalken, eller på begäran av en annan stat, ska förstöras senast sex månader efter det att provet togs.

Direktåtkomst

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Kustbevakningen får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till register över dna-profiler som regleras i detta kapitel.

Fingeravtrycks- och signalementsregister

Rätten att föra register

11 § Polismyndigheten får föra fingeravtrycks- och signalementsregister i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. fullgöra förpliktelser som följer av internationella åtaganden, 4. underlätta identifiering av okända personer, och 5. kontrollera fingeravtryck som Migrationsverket har tagit enligt 9 kap. 8 § utlänningslagen (2005:716).

Innehåll i registren

12 § I fingeravtrycks- och signalementsregister får uppgifter behandlas om en person som 1. är misstänkt eller dömd för brott och som har varit föremål för åtgärd enligt 28 kap. 14 § rättegångsbalken, eller 2. har lämnat fingeravtryck enligt 19 § lagen (1991:572) om särskild utlänningskontroll. Uppgifter om fingeravtryck som inte kan hänföras till en identifierbar person får behandlas om uppgifterna kommit fram i en utredning om brott. Personuppgifter som har inhämtats med stöd av 36 § första stycket 2 lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare får inte behandlas i fingeravtrycks- och signalementsregister.

13 § Utöver vad som anges i 12 § får i fingeravtrycks- och signalementsregister uppgifter behandlas om en person som har dömts för brott i en annan medlemsstat inom Europeiska unionen och vars fingeravtrycks- eller signalementsuppgifter har överförts hit med stöd av artikel 4.2 i rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organisationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll. Sådana uppgifter får dock endast behandlas om det för motsvarande gärning i Sverige är föreskrivet fängelse i ett år eller mer och den som uppgifterna avser vid tidpunkten för gärningen hade fyllt femton år.

14 § Fingeravtrycks- och signalementsregister får innehålla uppgifter om 1. fingeravtryck, 2. signalement, 3. fotografi, 4. videoupptagning, 5. identifieringsuppgifter, 48

6. ärendenummer, och 7. brottskod.

Längsta tid som personuppgifter får behandlas

15 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i fingeravtrycks- och signalementsregister om en misstänkt person inte behandlas längre än tre månader efter det att uppgifterna om den registrerade tagits bort ur misstankeregistret som förs enligt lagen (1998:621) om misstankeregister och ur belastningsregistret som förs enligt lagen (1998:620) om belastningsregister. Uppgifter som inte kan hänföras till en identifierbar person får inte behandlas längre än trettio år efter registreringen. Sådana uppgifter får dock behandlas sjuttio år efter registreringen om uppgifterna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

16 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i fingeravtrycks- och signalementsregister som behandlas för att fullgöra ett internationellt åtagande bara behandlas så länge de behövs för det ändamålet. Uppgifter om personer som har lämnat fingeravtryck med stöd av lagen (1991:572) om särskild utlänningskontroll får inte behandlas längre än tio år efter registreringen.

Direktåtkomst

17 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kustbevakningen och Skatteverket får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till personuppgifter i fingeravtrycks- och signalementsregister.

Penningtvättsregister

Rätten att föra register

18 § Polismyndigheten får föra penningtvättsregister. Personuppgifter får behandlas i penningtvättsregister om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet 1. där penningtvätt är ett led för att dölja vinning av brott eller brottslig verksamhet, eller 2. som innefattar finansiering av terrorism.

19 § I penningtvättsregister får personuppgifter behandlas som 1. kan antas ha samband med sådan brottslig verksamhet som avses i 18 §, 2. har rapporterats till Polismyndigheten med stöd av lag eller annan författning, eller 3. har lämnats av en utländsk myndighet som i sin stat ansvarar för arbetet med att förebygga, förhindra eller upptäcka sådan brottslig verksamhet som avses i 18 §.

Längsta tid som personuppgifter får behandlas

20 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i penningtvättsregister inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen avseende personens anknytning till brottslig verksamhet gjordes.

Det internationella registret

Rätten att föra register

21 § Polismyndigheten får föra ett internationellt register. Personuppgifter i det internationella registret får behandlas om det behövs för handläggningen av ärenden som rör internationellt polisiärt samarbete eller internationellt straffrättsligt samarbete. Uppgifter om dödsfall, olyckshändelser eller andra liknande händelser i utlandet får också behandlas i det internationella registret, om ärendet rör en fråga som ska handläggas av Polismyndigheten.

Längsta tid som personuppgifter får behandlas

22 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i det internationella registret inte behandlas längre än tre år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Tillträdesförbudsregistret

Rätten att föra register

23 § Polismyndigheten får föra ett register med uppgifter om personer som meddelats tillträdesförbud enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang (tillträdesförbudsregistret) i syfte att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud.

Innehåll i registret

24 § Tillträdesförbudsregistret får innehålla följande uppgifter om en person som har meddelats tillträdesförbud: 1. namn, 2. personnummer eller samordningsnummer, 3. folkbokföringsadress och annan stadigvarande adress, 4. alias, 5. fotografi, 6. anknytning till idrott och idrottsorganisation, 7. omfattningen och giltighetstiden av beslut om tillträdesförbud, och 8. överträdelse av gällande tillträdesförbud.

25 § Polismyndigheten får behandla uppgifter i tillträdesförbudsregistret i syfte att tillhandahålla idrottsorganisationer den information som behövs för att upprätthålla gällande beslut om tillträdesförbud.

Längsta tid som personuppgifter får behandlas

26 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i tillträdesförbudsregistret endast behandlas så länge tillträdesförbudet gäller.

Rätt att meddela föreskrifter

27 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. omfattningen av direktåtkomst till dna-register och fingeravtrycksoch signalementsregister och om behörighet och säkerhet vid sådan åtkomst, 2. tillgången till personuppgifter i penningtvättsregister och det internationella registret, och 3. att personuppgifter i fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 15, 16, 20, 22 och 26 §§.

6 kap.

4 3 § Personuppgifter som behandlas Förutsättningarna för att beenligt 1 § första stycket 2 eller 5 handla personuppgifter som beeller andra stycket 2 eller 2 § andra handlas med stöd av 1 eller 2 § för stycket får även behandlas när det nya ändamål regleras i 2 kap. 4 är nödvändigt för att tillhandahålla och 22 §§ brottsdatalagen information som behövs i annan (2018:000). Enbart personuppgifbrottsbekämpande verksamhet hos ter som behandlas enligt 1 § första Polismyndigheten eller i brottsbe- stycket 2 eller 5 eller andra kämpande verksamhet hos Säker- stycket 2 eller 2 § andra stycket får hetspolisen, Ekobrottsmyndigheten, i ett enskilt fall behandlas för nya Åklagarmyndigheten, Tullverket, ändamål utanför den forensiska Kustbevakningen eller Skatteverket. verksamheten. I ett enskilt fall får personuppgifter som behandlas enligt 1 eller 2 § även behandlas för att tillhandahålla information för något annat ändamål än det som anges i första stycket, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för.

4 Senaste lydelse 2015:436. 51

Känsliga personuppgifter

4 § Biometriska och genetiska uppgifter får behandlas enligt 1 § om det är absolut nödvändigt för ändamålet med behandlingen.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i personuppgifter som behandlas i registren över dnaprofiler eller fingeravtrycks- och signalementsregistren, i syfte att få fram ett urval av personer grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter.

Bevarande Längsta tid som personuppgifter får behandlas

5 6 § Nationellt forensiskt centrum får Nationellt forensiskt centrum får inte behandla personuppgifter för inte behandla personuppgifter för det ändamål som anges i 1 § första det ändamål som anges i 1 § första stycket 5 när det har förflutit fem stycket 5 längre än fem år efter år efter utgången av det kalenderår utgången av det kalenderår då då ärendet där uppgifterna före- ärendet där uppgifterna förekomkommer registrerades. mer registrerades.

6 7 § Säkerhetspolisen, Ekobrottsmyn- Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, digheten, Åklagarmyndigheten, Tullverket, Kustbevakningen och Tullverket, Kustbevakningen och Skatteverket har, trots sekretess Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att sekretesslagen (2009:400), rätt att ta ta del av personuppgifter som del av personuppgifter som behandbehandlas enligt 1 § första las enligt 1 § första stycket 5, om den stycket 5, om den mottagande mottagande myndigheten behöver myndigheten behöver uppgifterna i uppgifterna för något av de syften sin brottsbekämpande verksamhet. som anges i 1 kap. 2 § brottsdatalagen (2018:000).

5 Senaste lydelse 2015:436. 6 Senaste lydelse 2015:436. 52

Första stycket gäller inte uppgif- Första stycket gäller inte uppgifter som behandlas i särskilda regis- ter som behandlas i särskilda register enligt 4 kap. ter enligt 5 kap.

8 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Rätt att meddela föreskrifter

7 9 § Regeringen kan med stöd av Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- 8 kap. 7 § regeringsformen meddela föreskrifter om att person- dela föreskrifter om begränsning uppgifter får lämnas ut i andra fall av möjligheten att lämna ut perän som anges i 8 §. sonuppgifter elektroniskt enligt 8 §. Bestämmelser om att uppgifter får lämnas ut finns även i offentlighets- och sekretesslagen (2009:400). 10 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av behandlingen av personuppgifter enligt detta kapitel vid digital arkivering.

7 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 och 4 §§ om särskilda upplysningar, eller 3. 4 kap. 2–4 eller 7–10 §, 5 kap. 7, 15, 16, 20, 22 eller 26 § eller 6 kap. 6 § om den längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

7 Senaste lydelse 2015:436. 53

Överklagande

3 § Bestämmelser om överklagande finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 7 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet. 3. Äldre föreskrifter gäller fortfarande för Säkerhetspolisens behandling av personuppgifter i frågor som rör nationell säkerhet.

2.13 Förslag till lag om ändring i kustbevakningsdatalagen (2012:145)

1 Härigenom föreskrivs i fråga om kustbevakningsdatalagen (2012:145) dels att 1–3 kap., 4 kap. 2, 4 och 8–14 §§ och 5 kap. ska upphöra att gälla, dels att rubrikerna närmast före 4 kap. 8 och 13 §§ ska utgå, dels att nuvarande 4 kap. 1, 3, 5–7 §§ ska betecknas 3 kap. 2–6 §§, dels att rubriken till lagen samt de nya 3 kap. 2–6 §§ ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 4 kap. 1, 2, 4 och 7 §§ ska sättas närmast före de nya 3 kap. 2, 3, 4 och 6 §§, dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., tre nya paragrafer, 3 kap. 1, 7 och 8 §§, och närmast före de nya 3 kap. 1 och 7 §§ nya rubriker av följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Kustbevakningen i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

3 § Kustbevakningen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

1 Senaste lydelse av 1 kap. 2 § 2017:501 1 kap. 2 a § 2013:342 3 kap. 3 § 2014:693 3 kap. 7 § 2014:693. 55

Behandling av uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 3 § om personuppgiftsansvar, 2. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1–4 och 6–9 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling av personuppgifter

Rättsliga grunder

1 § Kustbevakningen får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna om särskild upplysning i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används som sökbegrepp.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett urval av personer grundat på etniskt ur- 56

sprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Utlämnande av personuppgifter

6 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1. Interpol, 2. Europol, 3. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol, eller 4. en kustbevakningsmyndighet eller tullmyndighet inom Europeiska ekonomiska samarbetsområdet (EES). Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

7 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

8 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 6 §.

Rätt att meddela föreskrifter

9 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 6 och 7 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 8 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga med stöd av 2 §. Upp- 57

gifter som endast ett fåtal personer har rätt att ta del av anses inte som

gemensamt tillgängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 2 § brottsdatalagen (2018:000).

2 § Följande personuppgifter får Följande personuppgifter får göras gemensamt tillgängliga i göras gemensamt tillgängliga: Kustbevakningens brottsbekämpande verksamhet : 1. Uppgifter som kan antas ha 1. Uppgifter som kan antas ha samband med misstänkt brottslig samband med misstänkt brottslig verksamhet, om den misstänkta verksamhet, om den misstänkta verksamheten verksamheten a) innefattar brott för vilket det a) innefattar brott för vilket det är föreskrivet fängelse i ett år eller är föreskrivet fängelse i ett år eller däröver , eller mer , eller b) sker systematiskt. b) sker systematiskt. 2. Uppgifter som förekommer i 2. Uppgifter som förekommer i ett ärende om utredning eller beiv- ett ärende om utredning av eller rande av brott. lagföring för brott. 3. Uppgifter som behövs för att 3. Uppgifter som behandlas i fullgöra internationella åtaganden, syfte att upprätthålla allmän ordom det krävs för att den aktuella ning och säkerhet . förpliktelsen ska kunna fullgöras. 4. Uppgifter som har rapporte- 4. Uppgifter som har rapporterats till Kustbevakningens led- rats till Kustbevakningens ledningscentraler . ningscentral . 5. Uppgifter som behandlas i syfte att fullgöra internationella åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3 § Om uppgifter som behandlas en- Om uppgifter som har gjorts ligt 1 § direkt kan hänföras till en gemensamt tillgängliga direkt kan person som inte är misstänkt för hänföras till en person som inte är brott eller för att ha utövat eller misstänkt för att ha utövat eller komma att utöva sådan brottslig komma att utöva sådan brottslig verksamhet som avses i 1 § första verksamhet som avses i 2 § 1 , ska stycket 1 , ska det genom en sär- det genom en särskild upplysning skild upplysning eller på annat sätt eller på något annat sätt framgå att framgå att personen inte är miss- personen inte är misstänkt. tänkt. Uppgifter om en person som kan Uppgifter om en person som kan 58

antas ha samband med misstänkt antas ha direkt samband med såbrottslig verksamhet ska förses dan brottslig verksamhet som avmed en upplysning om uppgifts- ses i 2 § 1 ska förses med en upplämnarens trovärdighet och uppgif- lysning om uppgiftslämnarens ternas riktighet i sak, om inte detta trovärdighet och uppgifternas rikär onödigt på grund av särskilda tighet i sak, om det inte på grund omständigheter . av omständigheterna är onödigt.

4 § Vid sökning på namn, per- Vid sökning i automatiserade sonnummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identi- sonnummer, samordningsnummer tetsbeteckningar i uppgifter som eller andra liknande identihar gjorts gemensamt tillgängliga tetsbeteckningar i uppgifter som får endast sådana uppgifter tas har gjorts gemensamt tillgängliga fram som anger att den sökta per- får endast sådana uppgifter tas sonen fram som anger att den sökta personen 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat 3. är misstänkt för att ha utövat eller komma att utöva sådan brotts- eller komma att utöva sådan brottslig verksamhet som avses i 1 § lig verksamhet som avses i 2 § 1 , första stycket 1 , 4. har anmält ett brott, 5. är målsägande i ett ärende som rör ansvar för brott, 6. förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande, 7. har gett in eller tillhandahållits en handling, 8. är anmäld försvunnen, 8. är anmäld som försvunnen, 9. har bedömts kunna komma att möta ett ingripande med grovt våld, eller 10. är efterlyst. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

5 § Begränsningarna i 5 § gäller inte Bestämmelserna i 4 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende , eller 2. sökning i en uppgiftssamling Bestämmelserna i 4 § gäller inte som har skapats för att undersöka heller vid sökning som utförs av viss brottslighet och som enbart de särskilt angivna tjänstemän i syfte som arbetar i undersökningen har att i underrättelseverksamhet beåtkomst till. arbeta och analysera personuppgifter som har gjorts gemen- 59

samt tillgängliga med stöd av 2 § 1 och som enbart dessa tjänstemän har tillgång till. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första stycket. Regeringen meddelar ytterligare föreskrifter om begränsningarna i 5 §.

2 6 § Polismyndigheten, Säkerhetspoli- Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åkla- sen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och garmyndigheten, Tullverket och Skatteverket får medges direktåt- Skatteverket får för något av de komst till personuppgifter i Kust- syften som anges i 1 kap. 2 § bevakningens brottsbekämpande brottsdatalagen (2018:000) medverksamhet . Direktåtkomsten får ges direktåtkomst till personuppendast avse personuppgifter som gifter som har gjorts gemensamt har gjorts gemensamt tillgängliga. tillgängliga med stöd av 2 § . En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter . Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Rätt att meddela föreskrifter

7 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 4 §.

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter

2 Senaste lydelse 2014:693. 60

om 1. begränsning av tillgången till sådana personuppgifter som avses i 4 §, 2. under vilka förutsättningar sökning får utföras med stöd av 5 §, och 3. omfattningen av direktåtkomst enligt 6 § och om behörighet och säkerhet vid sådan åtkomst .

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår det att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte har gjorts gemensamt tillgängliga inte behandlas längre än 1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller 2. ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör ett brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett till åtal eller annan domstolsprövning, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. 61

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § 1 eller 3–5 som längst behandlas under den tid som anges i 7–9 §§.

7 § Personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § 1 får inte behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller mer får inte behandlas längre än fem år efter utgången av det kalenderår då registreringen gjordes. Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tidsfristerna, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna om honom eller henne får behandlas.

8 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 3 eller 4 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 5 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Rätt att meddela föreskrifter

10 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3, 4 eller 7–9 §, och 2. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

11 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 2 § första stycket eller 7–9 §.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 § om särskild upplysning, eller 3. 4 kap. 2–4 eller 7–9 § om den längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

3 § Bestämmelser om överklagande finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet. 3. Äldre föreskrifter gäller fortfarande vid sådan behandling av personuppgifter som inte utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

2.14 Förslag till lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas

Härigenom föreskrivs i fråga om lagen (2014:400) om Polismyndig- 1 hetens elimineringsdatabas dels att 6 och 7 §§ ska upphöra att gälla, dels att rubriken närmast före 7 § ska utgå, dels att 1, 2, 4, 11 och 12 §§ och rubrikerna närmast före 2, 11 och 12 §§ ska ha följande lydelse.

1 §

2 §

4 §

Senaste lydelse av lagens rubrik 2014:600 6 § 2014:600. 2 Senaste lydelse 2014:600.

mineringsdatabasen. Jämförelsen neringsdatabasen. Jämförelsen ska ska göras innan jämförelse görs göras innan jämförelse görs med med andra DNA-profiler i de DNA- andra dna-profiler i de dna-regiregister som regleras i 4 kap. ster som regleras i 5 kap. lagen polisdatalagen (2010:361). (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område . En DNA-profil från prov som har En dna-profil från prov som har tagits med stöd av 28 kap. rätte- tagits med stöd av 28 kap. rättegångsbalken får vid ett tillfälle gångsbalken får vid ett tillfälle jämföras med DNA-profiler i eli- jämföras med dna-profiler i elimimineringsdatabasen. Avser DNA- neringsdatabasen. Om dna-profilen profilen en misstänkt ska jämförel- avser en misstänkt ska jämförelsen sen göras innan profilen läggs in i göras innan profilen läggs in i det det utredningsregister eller det utredningsregister eller det dna- DNA-register som regleras i 4 kap. register som regleras i 5 kap. lagen polisdatalagen . om polisens behandling av personuppgifter inom brottsdatalagens område . En DNA-profil som har tagits En dna-profil som har tagits fram för att kvalitetssäkra den fram för att kvalitetssäkra den forensiska verksamheten med forensiska verksamheten med dna- DNA-analyser och som inte hänför analyser och som inte hänför sig sig till brottsutredande verksamhet till brottsutredande verksamhet får får jämföras med DNA-profiler i jämföras med dna-profiler i elimielimineringsdatabasen. neringsdatabasen.

Gallring Längsta tid för behandling

3 11 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som längst behandlas under den tid som anges i andra–femte styckena. Uppgifter i elimineringsda- Uppgifter i elimineringstabasen ska gallras när de inte databasen får inte behandlas när de längre behövs för att utreda om en inte längre behövs för att utreda persons DNA kan ha kontaminerat om en persons dna kan ha konmaterial, prover eller lokaler. taminerat material, prover eller lokaler. Uppgifter som rör anställda vid Uppgifter som rör anställda vid Polismyndigheten ska gallras Polismyndigheten får inte behandsenast två år efter det att det för- las längre än två år efter det att det hållande som grundade skyl- förhållande som grundade skyldigdigheten att lämna prov upphörde. heten att lämna prov upphörde.

3 Senaste lydelse 2014:600 65

Uppgifter som har registrerats Uppgifter som har registrerats med stöd av 9 § ska gallras senast med stöd av 9 § får inte behandlas ett år efter det att uppgifterna regi- längre än ett år efter det att uppgifstrerades. terna registrerades. Uppgifter som rör andra än de Uppgifter som rör andra än de som anges i andra och tredje som anges i andra och tredje styckena ska gallras senast ett år styckena får inte behandlas längre efter det att det förhållande som än ett år efter det att det förgrundade skyldigheten upphörde. hållande som grundade skyldigheten upphörde.

Rättelse och skadestånd Skadestånd

12 § Bestämmelserna i personupp- Bestämmelsen om skadestånd i giftslagen (1998:204) om rättelse 7 kap. 1 § brottsdatalagen och skadestånd tillämpas på mot- (2018:000) ska tillämpas vid besvarande sätt vid behandling av handling av personuppgifter i strid personuppgifter enligt denna lag med denna lag eller föreskrifter eller enligt föreskrifter som avses i som avses i 13 eller 14 §. 13 eller 14 §.

Denna lag träder i kraft den 1 januari 2019.

2.15 Förslag till lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

Härigenom föreskrivs i fråga om lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang dels att 2, 4, 6, 8–10, 12 och 15 §§ ska upphöra att gälla, dels att rubrikerna närmast före 2, 4, 8–10, 12 och 15 §§ ska utgå, dels att nuvarande 3, 5, 7, 11, 13 och 14 §§ ska betecknas 2, 4, 5, 6, 7 och 8 §§, dels att rubriken till lagen samt 1, de nya 2, 4, 6 och 7 §§ och rubriken närmast före den nya 4 § ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 3, 6, 11 och 14 §§ ska sättas närmast före de nya 2, 5, 6 och 8 §§, dels att det ska införas en ny paragraf, 3 §, och närmast före de nya 3 och 7 §§ nya rubriker med följande lydelse.

1 §

2 §

om personuppgifterna ingår i eller eller om personuppgifterna ingår i är avsedda att ingå i en strukture- eller är avsedda att ingå i en strukrad samling av personuppgifter turerad samling av personuppgifter som är tillgängliga för sökning som är tillgängliga för sökning eller sammanställning enligt sär- eller sammanställning enligt särskilda kriterier. Lagen gäller även skilda kriterier. Lagen gäller även för annan behandling i fall som för annan behandling i fall som avses i 14 §. avses i 8 §.

Förhållandet till annan reglering

3 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Rätten att behandla personuppgifter

4 § Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. Varje idrottsorganisation är personuppgiftsansvarig för den behandling av personuppgifter som organisationen utför.

6 § Tillgången till personuppgifter Tillgången till personuppgifter ska begränsas till vad den som ska begränsas till vad den som arbetar vid Polismyndigheten eller arbetar eller utför uppdrag åt en som arbetar eller utför uppdrag åt idrottsorganisation behöver för att en idrottsorganisation behöver för kunna fullgöra arbetsuppgifterna 68

att kunna fullgöra arbetsuppgifterna eller uppdraget. eller uppdraget. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om tillgången till personuppgifter.

Längsta tid som personuppgifter får behandlas

7 § En uppgift som en idrottsor- Personuppgifter som en idrottsganisation har fått tillgång till från organisation har fått tillgång till tillträdesförbudsregistret ska tas från tillträdesförbudsregistret får bort om uppgiften inte längre be- inte behandlas efter det att tillträhövs för de ändamål som anges i desförbudets giltighetstid löpt ut 7 §, dock senast när till- eller tillträdesförbudet dessförträdesförbudets giltighetstid löper innan upphävts . ut eller om tillträdesförbudet dessförinnan upphävs .

Denna lag träder i kraft den 1 januari 2019.

2.16 Förslag till lag om ändring i åklagardatalagen (2015:433)

Härigenom föreskrivs i fråga om åklagardatalagen (2015:433) dels att 1 kap., 2 kap. och 3 kap. 3, 4 och 7 §§ ska upphöra att gälla, dels att rubriken närmast före 3 kap. 3 § ska utgå, dels att nuvarande 3 kap. 5, 6 och 8 §§ ska betecknas 3 kap. 3, 4 och 5 §§, dels att rubriken till lagen samt 3 kap. 1, 2, de nya 3–5 §§ ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 3 kap. 4 och 8 §§ ska sättas närmast före de nya 3 kap. 3och 5 §§, dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., två nya paragrafer, 3 kap. 6 och 7 §§, och närmast före 3 kap. 1 och 6 §§ nya rubriker av följande lydelse.

1 kap. Allmänna bestämmelser

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Åklagar-

myndigheten eller Ekobrottsmyndigheten i egenskap av behörig myndig-

het behandlar personuppgifter i åklagarverksamhet i syfte att

1. förebygga eller förhindra brottslig verksamhet,

3. handlägga frågor om ändring eller verkställighet av straffrättsliga på-

4. handlägga frågor som rör upprätthållande av allmän ordning och

Bestämmelser om personuppgiftsbehandling vid Ekobrottsmyndigheten

finns också i lagen (2010:361) om polisens behandling av personuppgifter

2 § Åklagarmyndigheten och Ekobrottsmyndigheten är var och en per-

sonuppgiftsansvarig för den behandling av personuppgifter som myndig-

Behandling av uppgifter om juridiska personer

3 § Bestämmelserna om personuppgifter i följande paragrafer gäller

också vid behandling av uppgifter om juridiska personer:

2. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter,

3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1, 2 och 4 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Personuppgifter får behandlas om det är nödvändigt för att Åklagarmyndigheten eller Ekobrottsmyndigheten ska kunna utföra följande uppgifter: 1. förebygga eller förhindra brottslig verksamhet, 2. utreda eller lagföra brott, 3. handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder, 4. handlägga frågor som rör upprätthållande av allmän ordning och säkerhet, eller 5. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna om särskild upplysning i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp.

Utlämnande av personuppgifter

5 § Om det är förenligt med svenska intressen får personuppgifter lämnas ut till 1. Eurojust, 71

2. Interpol, 3. Europol, eller 4. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol. Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

6 § Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndigheten, Säkerhetspolisen, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

7 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 5 §.

Rätt att meddela föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 5 och 6 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 7 § första stycket.

3 kap.

Allmän bestämmelse

1 § Detta kapitel innehåller särskilda Detta kapitel innehåller särskilda bestämmelser för behandling av bestämmelser för behandling av personuppgifter som görs eller har personuppgifter som görs eller har gjorts gemensamt tillgängliga i gjorts gemensamt tillgängliga med åklagarväsendets operativa verk- stöd av 2 § . Uppgifter som endast samhet . Uppgifter som endast ett ett fåtal personer har rätt att ta del fåtal personer har rätt att ta del av av anses inte som gemensamt anses inte som gemensamt till- tillgängliga. gängliga. Detta kapitel gäller inte när per- Detta kapitel gäller inte när personuppgifter behandlas med stöd sonuppgifter behandlas med stöd av 2 kap. 7 §. av 2 kap. 2 § brottsdatalagen (2018:000) .

2 § Personuppgifter i åklagarväsen- Alla personuppgifter som bedets operativa verksamhet får handlas för syften som omfattas av göras gemensamt tillgängliga. denna lags tillämpningsområde får göras gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om sådana uppgifter.

3 § Vid sökning på namn, per- Vid sökning i automatiserade sonnummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identi- sonnummer, samordningsnummer tetsbeteckningar i uppgifter som eller andra liknande identihar gjorts gemensamt tillgängliga tetsbeteckningar i uppgifter som får sådana uppgifter tas fram som har gjorts gemensamt tillgängliga, anger att den sökta personen får endast sådana uppgifter tas fram som anger att den sökta personen 1. är anmäld för brott, 1. är eller har varit misstänkt för 2. är eller har varit misstänkt för brott, brott, 2. är misstänkt för att ha utövat 3. är misstänkt för att ha utövat eller komma att utöva brottslig eller för att komma att utöva verksamhet, brottslig verksamhet, 3. har anmält ett brott, 4. har anmält ett brott, 4. är målsägande i ett ärende 5. är målsägande i ett ärende som rör ansvar för brott, som rör ansvar för brott, 5. är sökande, motpart eller 6. är sökande, motpart eller annan part eller kan jämställas med annan part eller kan jämställas med part i ett ärende, part i ett ärende, 6. förekommer i ett ärende som 7. förekommer i ett ärende som vittne eller någon annan som läm- vittne eller annan som lämnar eller nar eller har lämnat uppgifter eller har lämnat uppgifter eller yttrande, yttrande, 7. är eller har varit åklagare i ett 8. är eller har varit åklagare i ett ärende, eller är eller har varit ärende eller är eller har varit offentlig försvarare eller måls- offentlig försvarare eller målsägägandebiträde eller kan jämställas andebiträde eller kan jämställas med sådana, eller med sådana, eller 8. har gett in eller tillhandahållits 9. har gett in eller tillhandahållits en handling. en handling.

4 § Bestämmelserna i 5 § gäller inte Bestämmelserna i 3 § gäller inte vid sökning i en viss handling eller vid sökning i en viss handling eller i ett visst ärende. i ett visst ärende. Regeringen kan med stöd av 73

8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 5 §.

5 § Åklagarmyndigheten, Ekobrotts- Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndigheten, myndigheten, Polismyndig-heten, Säkerhetspolisen, Tullverket, Kust- Säkerhetspolisen, Tullverket, Kustbevakningen och Skatteverket får i bevakningen och Skatteverket får den brottsbekämpande verksam- för något av de syften som anges i heten medges direktåtkomst till 1 kap. 2 § brottsdatalagen personuppgifter i åklagarväsendets (2018:000) medges direktåtkomst operativa verksamhet. Direktåt- till personuppgifter som har gjorts komsten får endast avse person- gemensamt tillgängliga med stöd uppgifter som har gjorts gemen- av 2 § . samt tillgängliga. En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet.

Rätt att meddela föreskrifter

6 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 3 §.

7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. gemensamt tillgängliga uppgifter, och 2. omfattningen av direktåtkomst enligt 5 § och om behörighet och säkerhet vid sådan åtkomst.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår det att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

Personuppgifter i ärenden

2 § Personuppgifter i ett ärende får inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då ärendet avslutades av åklagaren, eller, om frågan prövats av domstol, från utgången av det kalenderår då domstolens avgörande fick laga kraft.

3 § Om en förundersökning mot en person inte har inletts eller har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga personuppgifter

4 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte kan hänföras till ett ärende inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Rätt att meddela föreskrifter

5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att uppgifter i vissa ärendetyper eller vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 2 §, 2. att personuppgifter får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 4 §, och 3. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, eller 2. 4 kap. 2 eller 4 § om den längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor. 75

Skadestånd

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet.

2.17 Förslag till lag om ändring i domstolsdatalagen (2015:728)

Härigenom föreskrivs i fråga om domstolsdatalagen (2015:728) dels att punkt 3 i ikraftträdande- och övergångsbestämmelserna till lagen (2018:000) om ändring i den lagen ska upphöra att gälla, dels att 2 och 16 §§ ska ha följande lydelse.

2 §

Denna lag gäller vid behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Lagen gäller också när personuppgifterna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. Lagen gäller inte vid behandling av personuppgifter som omfattas av lagen (2018:000) om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

16 § Personuppgifter får lämnas ut på Personuppgifter får lämnas ut medium för automatiserad be- elektroniskt på annat sätt än handling om det inte är olämpligt. genom direktåtkomst om det inte är olämpligt. Regeringen eller den myndighet Regeringen eller den myndighet som regeringen bestämmer kan som regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- med stöd av 8 kap. 7 § regeringsformen meddela ytterligare före- formen meddela ytterligare föreskrifter om begränsningar av möj- skrifter om begränsningar av möjligheterna att lämna ut personupp- ligheten att lämna ut personuppgifter på medium för automatise- gifter elektroniskt. rad behandling .

Denna lag träder i kraft den 1 januari 2019.

2.18 Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse.

15 §

Migrationsverket får föra separata register över fingeravtryck och foto-

grafier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716).

Med begränsning av de ändamål som annars gäller enligt 11 och 13 §§

får uppgifter om fingeravtryck eller fotografier i registren användas

1. vid prövning av ansökningar om uppehållstillstånd där skäl som

anges i 4 kap. 1–2 a §§ utlänningslagen åberopas,

2. i ärenden om avvisning och utvisning,

4. om det behövs för att kontrollera identiteten av en person på ett

fotografi som kommit in till Migrationsverket, eller

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela

1. ytterligare föreskrifter om vilka uppgifter som får behandlas i regi-

stren över fingeravtryck och fotografier, och

Denna lag träder i kraft den 1 januari 2019.

2.19 Förslag till lag om ändring i tullagen (2016:253) Härigenom föreskrivs att 4 kap. 8 § tullagen (2016:253) ska ha följande lydelse.

4 kap.

8 §

Ett transportföretag får lämna uppgifter enligt 6 § på så sätt att de görs läsbara för Tullverket genom terminalåtkomst. Tullverket får ta del av uppgifter Tullverket får ta del av uppgifter genom terminalåtkomst endast i genom terminalåtkomst endast i den omfattning och under den tid den omfattning och under den tid som behövs för att kontrollera som behövs för att kontrollera aktuella transporter. Uppgifter som aktuella transporter. hålls tillgängliga på detta sätt får inte ändras eller på annat sätt bearbetas eller lagras av Tullverket. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst ska omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott.

Denna lag träder i kraft den 1 januari 2019.

2.20 Förslag till lag om ändring i tullbrottsdatalagen (2017:447)

Härigenom föreskrivs i fråga om tullbrottsdatalagen (2017:447) dels att 1 kap., 2 kap., 3 kap. 5 § och 4 kap. 5 § ska upphöra att gälla, dels att nuvarande 3 kap. 6–8 §§ och 4 kap. 2–4 och 6–9 §§ ska betecknas 3 kap. 5–7 §§ och 4 kap. 12, 2–6 och 8 §§, dels att rubriken till lagen samt 3 kap. 1–4 §§, de nya 3 kap. 5–7 §§, 4 kap. 1 och 10 §§, de nya 4 kap. 2–5, 8 och 12 §§, rubriken till 4 kap., rubrikerna närmast före 4 kap. 1 § och den nya 4 kap. 4 § ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 3 kap. 8 § och 4 kap. 3, 5 och 9 §§ ska sättas närmast före de nya 3 kap. 7 § respektive 4 kap. 2, 4 och 7 §§, dels att det ska införas tre nya kapitel, 1, 2 och 5 kap., fem nya paragrafer, 3 kap. 8 och 9 §§ och 4 kap. 7, 9 och 11 §§, och närmast före 3 kap. 1 § och de nya 3 kap. 8 § och 4 kap. 12 § nya rubriker av följande lydelse.

1 kap. Allmänna bestämmelser

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Tullverket i

egenskap av behörig myndighet behandlar personuppgifter i syfte att

förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i

lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen samt

i föreskrifter som regeringen har meddelat i anslutning till dessa lagar,

finns det särskilda bestämmelser om behandling av personuppgifter. Om

det i dessa författningar finns avvikande bestämmelser ska de tillämpas i

stället för bestämmelserna i denna lag.

3 § Tullverket är personuppgiftsansvarigt för den behandling av per-

sonuppgifter som myndigheten utför.

Behandling av uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller

också vid behandling av uppgifter om juridiska personer:

2. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1–5 och 8–11 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Tullverket får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna om särskild upplysning i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Tullverket får behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används som sökbegrepp.

6 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. 81

Utlämnande av personuppgifter

7 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1. Interpol, 2. Europol, 3. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol, eller 4. en tullmyndighet eller kustbevakningsmyndighet inom Europeiska ekonomiska samarbetsområdet (EES). Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

9 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 7 §.

Personuppgifter från transportföretag

10 § Personuppgifter som lämnas till Tullverket enligt 15 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen eller 4 kap. 6 § tullagen (2016:253) får behandlas för att planera kontroller och välja ut kontrollobjekt för något av de syften som anges i 1 § första stycket 1 eller 2. Personuppgifter som avses i första stycket får endast i ett enskilt fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brottsdatalagen (2018:000).

11 § Vid terminalåtkomst enligt 16 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen eller 4 kap. 8 § tullagen (2016:253) får Tullverket inte ändra eller på annat sätt bearbeta personuppgifterna.

12 § Vid sökning i personuppgifter som avses i 10 § första stycket får namn, personnummer, samordningsnummer och andra liknande identitetsbeteckningar användas som sökbegrepp endast om uppgifterna avser en person som 1. är eller har varit misstänkt för brott, 2. är misstänkt för att ha utövat eller komma att utöva sådan brottslig 82 verksamhet som avses i 3 kap. 2 § första stycket 1, eller

3. övervakas under de förutsättningar som anges i 3 kap. 2 § första stycket 2.

Rätt att meddela föreskrifter

13 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 9 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller särskilda Detta kapitel innehåller särskilda bestämmelser för behandling av bestämmelser för behandling av personuppgifter som görs eller har personuppgifter som görs eller har gjorts gemensamt tillgängliga i gjorts gemensamt tillgängliga med Tullverkets brottsbekämpande stöd av 2 § . Uppgifter som endast verksamhet . Uppgifter som endast ett fåtal personer har rätt att ta del ett fåtal personer har rätt att ta del av anses inte som gemensamt av anses inte som gemensamt till- tillgängliga. gängliga. Detta kapitel gäller inte när per- Detta kapitel gäller inte när personuppgifter behandlas med stöd sonuppgifter behandlas med stöd av 2 kap. 7 § . av 2 kap. 2 § brottsdatalagen (2018:000) .

2 § Följande personuppgifter får göras gemensamt tillgängliga: 1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten a) innefattar brott för vilket det är föreskrivet fängelse i ett år eller mer, eller b) sker systematiskt. 2. Uppgifter som behövs för 2. Uppgifter som behövs för övervakningen av en person , om övervakningen av en person som han eller hon a) kan antas komma att begå brott för vilket det är föreskrivet fängelse i två år eller mer, och b) är allvarligt kriminellt belastad. 3. Uppgifter som förekommer i 3. Uppgifter som förekommer i ett ärende om utredning eller beiv- ett ärende om utredning av eller rande av brott. lagföring för brott. 4. Uppgifter som behövs för att 4. Uppgifter som har rapportefullgöra internationella åtagan- rats till Tullverkets ledningscenden, om det krävs för att den aktu- traler . ella förpliktelsen ska kunna fullgöras . 83

5. Uppgifter som har rappor- 5. Uppgifter som behandlas i terats till Tullverkets kommunika- syfte att fullgöra internationella tionscentral . åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras. Personuppgifter från transportföretag som behandlas enligt 2 kap. 10 § första stycket får göras gemensamt tillgängliga endast om det behövs i ett enskilt fall . Tillgången till uppgifter som görs gemensamt tillgängliga med stöd av första stycket 2 ska begränsas till särskilt angivna tjänstemän som har till uppgift att arbeta med övervakningen. Information om att en person är föremål för övervakning får dock göras tillgänglig för andra.

3 § För gemensamt tillgängliga Det ska framgå genom en säruppgifter ska det genom en sär- skild upplysning eller på något skild upplysning eller på något annat sätt om personuppgifter har annat sätt framgå för vilket när- gjorts gemensamt tillgängliga med mare ändamål personuppgifterna stöd av 2 § första stycket 2. behandlas . Har personuppgifterna gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2 , ska detta särskilt framgå .

4 § Om uppgifter som är gemensamt Om uppgifter som har gjorts tillgängliga direkt kan hänföras till gemensamt tillgängliga direkt kan en person som inte är misstänkt för hänföras till en person som inte är brott eller för att ha utövat eller misstänkt för att ha utövat eller komma att utöva sådan brottslig komma att utöva sådan brottslig verksamhet som avses i 2 § första verksamhet som avses i 2 § första stycket 1, ska det genom en sär- stycket 1, ska det genom en särskild upplysning eller på annat sätt skild upplysning eller på något framgå att personen inte är miss- annat sätt framgå att personen inte tänkt. är misstänkt. Uppgifter om en person som kan Uppgifter om en person som kan antas ha samband med misstänkt antas ha direkt samband med såbrottslig verksamhet ska förses dan brottslig verksamhet som med en upplysning om uppgifts- avses i 2 § första stycket 1 eller lämnarens trovärdighet och upp- som övervakas med stöd av 2 § gifternas riktighet i sak, om inte första stycket 2, ska förses med en detta är onödigt på grund av sär- upplysning om uppgiftslämnarens skilda omständigheter. Detsamma trovärdighet och uppgifternas gäller uppgifter om personer som riktighet i sak, om det inte på avses i 2 § första stycket 2 . grund av omständigheterna är onödigt.

5 § Vid sökning på namn, person- Vid sökning i automatiserade nummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identitetsbe- sonnummer, samordningsnummer teckningar i uppgifter som har eller andra liknande identitetsbegjorts gemensamt tillgängliga får teckningar i uppgifter som har endast sådana uppgifter tas fram gjorts gemensamt tillgängliga, får som anger att den sökta personen endast sådana uppgifter tas fram som anger att den sökta personen 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1, 4. övervakas enligt 2 § första stycket 2, 5. har anmält ett brott, 6. är målsägande i ett ärende som rör ansvar för brott, 7. förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande, 8. har gett in eller tillhandahållits en handling, 9. har bedömts kunna komma att möta ett ingripande med grovt våld, eller 10. är efterlyst. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

6 § Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende , eller 2. sökning i en uppgiftssamling som har skapats för att undersöka viss brottslighet eller vissa kriminella grupperingar och som enbart de som arbetar i undersökningen har åtkomst till. Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte heller vid sökning som utförs av heller vid sökning som görs av särskilt angivna tjänstemän och särskilt angivna tjänstemän som görs 1. när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 1. för att förebygga, förhindra 2. i syfte att i underrättelseeller upptäcka brottslig verksam- verksamhet bearbeta och analy- 85

het som innefattar brott för vilket sera personuppgifter som har det är föreskrivet fängelse i fyra år gjorts gemensamt tillgängliga med eller däröver eller för sådant stöd av 2 § första stycket 1 eller 2 ändamål som avses i 2 § första och som enbart dessa tjänstemän stycket 2, eller har tillgång till, 2. för att utreda brott för vilket 3. i syfte att utreda brott för vildet är föreskrivet fängelse i fyra år ket det är föreskrivet fängelse i eller däröver . fyra år eller mer, eller 4. i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Regeringen eller den myndighet Bestämmelserna i 5 § gäller inte som regeringen bestämmer kan heller vid sökning som en tjänstemed stöd av 8 kap. 7 § regerings- man vid någon av Tullverkets formen meddela föreskrifter om ledningscentraler utför på begäran under vilka förutsättningar sök- av en tulltjänsteman som verkstälning får äga rum med stöd av ler ett ingripande eller vidtar en första och andra styckena. Rege- åtgärd som rör en en-skild. ringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 6 §.

7 § Polismyndigheten, Säkerhets- Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, polisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kustbevak- Åklagarmyndigheten, Kustbevakningen och Skatteverket får med- ningen och Skatteverket får för ges direktåtkomst till personupp- något av de syften som anges i gifter i Tullverkets brottsbekäm- 1 kap. 2 § brottsdatalagen pande verksamhet. Direktåtkoms- (2018:000) medges direktåtkomst ten får endast avse personupp- till personuppgifter som har gjorts gifter som är gemensamt tillgäng- gemensamt tillgängliga med stöd liga. av 2 § . En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Rätt att meddela föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 5 §.

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsning av tillgången till sådana personuppgifter som avses i 5 §, 2. under vilka förutsättningar sökning får utföras med stöd av 6 §, och 3. omfattningen av direktåtkomst enligt 7 § och behörighet och säkerhet vid sådan åtkomst.

4 kap. Bevarande och gallring av 4 kap. Längsta tid som personpersonuppgifter uppgifter får behandlas

Generella bestämmelser Allmän bestämmelse

1 § Detta kapitel gäller, om inte annat sägs, bara för automatiserad behandling av personuppgifter. Personuppgifter får inte bevaras Av 2 kap. 17 § första stycket under längre tid än vad som be- brottsdatalagen (2018:000) framhövs för något eller några av de går att personuppgifter inte får ändamål som anges i lagen. behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen . I följande paragrafer anges hur länge uppgifter som behandlas automatiserat längst får bevaras: 1. 3 och 4 §§ om uppgifter som inte har gjorts gemensamt tillgängliga, 2. 5–7 §§ om uppgifter i ärenden om utredning eller beivrande av brott som har gjorts gemensamt tillgängliga, och 3. 9 och 10 §§ om andra uppgifter som har gjorts gemensamt 87

tillgängliga än som anges i 2.

2 § Personuppgifter som behandlas Trots det som sägs i 2 kap. 17 § automatiserat och som inte har andra stycket brottsdatalagen gjorts gemensamt tillgängliga ska , (2018:000) får personuppgifter om de behandlas i ett ärende, gall- som inte har gjorts gemensamt ras senast ett år efter det att ären- tillgängliga inte behandlas längre det avslutades. Om de inte kan än hänföras till ett ärende, ska upp- 1. ett år efter det att ärendet avgifterna gallras senast ett år efter slutades , om de behandlas i ett det att de behandlades automatise- ärende, eller rat första gången. 2. ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende . Första stycket gäller inte per- Första stycket gäller inte personuppgifter i ärenden om utred- sonuppgifter i ärenden om utredning eller beivrande av brott. ning av eller lagföring för brott.

3 § I 4 kap. 8 § tullagen (2016:253) Personuppgifter som med stöd och 16 § lagen (1996:701) om av 15 § lagen (1996:701) om Tull- Tullverkets befogenheter vid verkets befogenheter vid Sveriges Sveriges gräns mot ett annat land gräns mot ett annat land inom inom Europeiska unionen finns Europeiska unionen eller 4 kap. bestämmelser om lagring och 6 § tullagen (2016:253) tillhandaförstöring av vissa uppgifter från hålls på annat sätt än genom tertransportföretag . minalåtkomst, ska omedelbart förstöras om de visar sig sakna betydelse för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2. Det som sägs i första stycket gäller också vid behandling av personuppgifter som ingår i en strukturerad samling personuppgifter .

Gemensamt tillgängliga upp- Gemensamt tillgängliga uppgifter i ärenden om utredning gifter i ärenden om utredning av eller beivrande av brott eller lagföring för brott

4 § Om en brottsanmälan avskrivs Om en brottsanmälan avskrivs på grund av att den påstådda gär- på grund av att den påstådda gärningen inte utgör brott, får person- ningen inte utgör ett brott, får uppgifterna i anmälan inte längre personuppgifterna i anmälan inte behandlas i Tullverkets brottsbe- längre behandlas för ändamål kämpande verksamhet . Om en inom denna lags tillämpningsom- 88 brottsanmälan i annat fall inte har råde . Om en brottsanmälan i annat

lett till förundersökning eller fall inte har lett till förundersökannan motsvarande utredning, får ning eller annan motsvarande personuppgifterna inte behandlas i utredning, får personuppgifterna Tullverkets brottsbekämpande inte behandlas för ändamål inom verksamhet när åtal inte längre får denna lags tillämpningsområde väckas för brottet. när åtal inte längre får väckas för brottet.

5 § Om en förundersökning har lett Om en förundersökning har lett till åtal eller annan domstols- till åtal eller annan domprövning, får personuppgifterna i stolsprövning, får personupp-gifförundersökningen inte behandlas i terna i förundersökningen inte Tullverkets brottsbekämpande behandlas för ändamål inom denna verksamhet när det har förflutit lags tillämpningsområde längre än fem år efter utgången av det kalen- fem år efter utgången av det kalenderår då domen, eller det beslut derår då domstolens avgörande som meddelades med anledning av fick laga kraft. talan, fick laga kraft. Om en förundersökning har lagts Om en förundersökning har lagts ned eller avslutats på annat sätt än ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i genom åtal, får personuppgifterna i förundersökningen inte behandlas i förundersökningen inte behandlas Tullverkets brottsbekämpande för ändamål inom denna lags tillverksamhet när det har förflutit lämpningsområde längre än fem fem år efter utgången av det kalen- år efter utgången av det kalenderår derår då åklagarens eller förunder- då åklagarens eller förundersöksökningsledarens beslut medde- ningsledarens beslut meddelades. lades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte-gångsbalken.

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § första stycket 1, 2, 4 eller 5 som längst behandlas under den tid som anges i 8–11 §§.

8 § Personuppgifter som har gjorts gemensamt tillgängliga enligt 3 kap. 2 § första stycket 1 eller 2 ska gallras enligt andra–fjärde styckena. Personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § 89

första stycket 1 får, om de behandlas i ett ärende, inte behandlas längre än ett år efter det att ärendet avslutades. Uppgifter som kan antas ha Om personuppgifterna inte besamband med sådan brottslig handlas i ett ärende får de inte verksamhet som anges i 3 kap. 2 § behandlas längre än tre år efter första stycket 1 ska gallras senast utgången av det kalenderår då tre år efter utgången av det kalen- registreringen avseende personen derår då registreringen avseende gjordes. Personuppgifter som kan personen gjordes. Uppgifter som antas ha samband med brottslig kan antas ha samband med brotts- verksamhet som innefattar brott lig verksamhet som innefattar brott för vilket det är föreskrivet fängför vilket det är föreskrivet fäng- else i två år eller mer får inte beelse i två år eller däröver ska dock handlas längre än fem år efter gallras senast fem år efter ut- utgången av det kalenderår då gången av det kalenderår då regi- registreringen gjordes. Om en ny streringen gjordes. Om en ny regi- registrering beträffande personens strering beträffande personen görs anknytning till brottslig verksamföre utgången av gallringsfristen , het görs före utgången av de tidsbehöver de uppgifter som finns om fristerna , får de uppgifter som personen inte gallras så länge redan finns om personen fortsätta någon av uppgifterna om honom att behandlas så länge någon av eller henne får bevaras . uppgifterna om honom eller henne får behandlas . Uppgifter som har behandlats i samband med sådan övervakning som avses i 3 kap. 2 § första stycket 2 ska gallras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Den tid då en misstänkt eller Den tid då en misstänkt person övervakad person avtjänar ett avtjänar ett fängelsestraff eller fängelsestraff eller genomgår slu- genomgår sluten ungdomsvård ten ungdomsvård eller rätts- eller rättspsykiatrisk vård med psykiatrisk vård med särskild särskild utskrivningsprövning ska utskrivningsprövning ska inte inte räknas med vid beräkningen räknas med vid beräkningen av de av de tidsfrister som anges i andra frister som anges i andra och stycket . tredje styckena.

9 § Personuppgifter som behandlas i samband med sådan övervakning som avses i 3 kap. 2 § första stycket 2 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen avseende personen 90 gjordes.

Den tid då en övervakad person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av den tidsfrist som anges i första stycket.

10 § Personuppgifter som har gjorts gemensamt tillgängliga enligt 3 kap. 2 § första stycket 4 eller 5 ska gallras enligt andra eller tredje stycket. Uppgifter som har behandlats Personuppgifter som behandlas med stöd av 3 kap. 2 § första med stöd av 3 kap. 2 § första stycket 4 ska gallras senast ett år stycket 4 får inte behandlas längre efter utgången av det kalenderår då än ett år efter utgången av det ärendet som uppgifterna be- kalenderår då de behandlades handlades i avslutades . automatiserat första gången . Uppgifter som har behandlats med stöd av 3 kap. 2 § första stycket 5 ska gallras senast ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

11 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 5 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Rätt att meddela föreskrifter

12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att vissa kategorier av person- 1. att vissa kategorier av personuppgifter får bevaras i den brotts- uppgifter får fortsätta att behandbekämpande verksamheten under las för ändamål inom denna lags längre tid än vad som anges i 6, 7, tillämpningsområde under längre 9 och 10 §§ , tid än vad som anges i 4, 5 eller 8– 11 § , 2. att personuppgifter, med avvi- 2. att personuppgifter får bekelse från 3 § första stycket, 9 och handlas för arkivändamål av all- 10 §§ , får bevaras för historiska , mänt intresse eller vetenskapliga , statistiska eller vetenskapliga statistiska eller historiska ändamål 91

ändamål , och under längre tid än vad som anges i 2 § första stycket eller 8–11 §§ och 3. digital arkivering. 3. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 och 4 §§ om särskilda upplysningar, eller 3. 4 kap. 2–5 eller 8–11 § om den längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet.

2.21 Förslag till lag om ändring i skattebrottsdatalagen (2017:452)

Härigenom föreskrivs i fråga om skattebrottsdatalagen (2017:452) dels att 1 kap., 2 kap., 3 kap. 3 och 5 §§ och 4 kap. 4 § ska upphöra att gälla, dels att nuvarande 3 kap. 4 och 6–8 §§ och 4 kap. 2, 3 och 5–8 §§ ska betecknas 3 kap. 3–6 §§ och 4 kap. 9, 2–5 och 7 §§, dels att rubriken till lagen samt 3 kap. 1 och 2 §§, de nya 3 kap. 3–6 §§, 4 kap. 1 §, de nya 4 kap. 2–4, 7 och 9 §§, rubriken till 4 kap. och rubriken närmast före 4 kap. 1 § ska ha följande lydelse, dels att rubrikerna närmast före nuvarande 3 kap. 5 och 8 §§ och 4 kap. 3, 4 och 8 §§ ska sättas närmast före de nya 3 kap. 4 och 6 §§ respektive 4 kap. 2, 3 och 6 §§, dels att det ska införas tre nya kapitel, 1, 2 och 5 kap., fyra nya paragrafer, 3 kap. 7 och 8 §§ och 4 kap. 6 och 8 §§, och närmast före 3 kap. 1 § och de nya 3 kap. 7 § och 4 kap. 9 § nya rubriker av följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Skatteverket i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott.

Personuppgiftsansvar

2 § Skatteverket är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför.

Behandling av uppgifter om juridiska personer

3 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 2 § om personuppgiftsansvar, 2. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1–4 och 7 och 8 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 93

3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Skatteverket får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften.

Behandling för nya ändamål

2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna om särskild upplysning i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Sökning

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att uppgifter som beskriver en persons utseende används som sökbegrepp.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökning i syfte att få fram ett urval av personer grundat på etniskt ursprung, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Beskattningsdatabasen

6 § I lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet finns bestämmelser om beskattningsdatabasen. Vid sökning i beskattningsdatabasen som görs för något av de syften som anges i 1 § får endast uppgift om namn, personnummer eller samordningsnummer användas.

Utlämnande av personuppgifter

7 § Personuppgifter får lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kustbevakningen och Tullverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

9 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 6 §.

Rätt att meddela föreskrifter

10 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 9 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller sär- Detta kapitel innehåller särskilda skilda bestämmelser för behand- bestämmelser för behandling av ling av personuppgifter som görs personuppgifter som görs eller har eller har gjorts gemensamt till- gjorts gemensamt tillgängliga med gängliga i Skatteverkets brottsbe- stöd av 2 § . Uppgifter som endast kämpande verksamhet . Uppgifter ett fåtal personer har rätt att ta del som endast ett fåtal personer har av anses inte som gemensamt rätt att ta del av anses inte som tillgängliga. gemensamt tillgängliga. Detta kapitel gäller inte när per- Detta kapitel gäller inte när personuppgifter behandlas med stöd sonuppgifter behandlas med stöd av 2 kap. 7 § . av 2 kap. 2 § brottsdatalagen (2018:000) .

2 § Följande personuppgifter får göras gemensamt tillgängliga: 1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten

a) innefattar brott för vilket det är föreskrivet fängelse i ett år eller mer, eller b) sker systematiskt. 2. Uppgifter som förekommer i ett ärende om utredning av brott. 3. Uppgifter som behövs för att 3. Uppgifter som behandlas i fullgöra internationella åtaganden, syfte att fullgöra internationella om det krävs för att den aktuella åtaganden, om det krävs för att den förpliktelsen ska kunna fullgöras. aktuella förpliktelsen ska kunna fullgöras.

3 § Om uppgifter som är gemen- Om uppgifter som har gjorts samt tillgängliga direkt kan hänfö- gemensamt tillgängliga direkt kan ras till en person som inte är miss- hänföras till en person som inte är tänkt för brott eller för att ha ut- misstänkt för att ha utövat eller övat eller komma att utöva sådan komma att utöva sådan brottslig brottslig verksamhet som avses i verksamhet som avses i 2 § 1, ska 2 § första stycket 1, ska det genom det genom en särskild upplysning en särskild upplysning eller på eller på något annat sätt framgå att annat sätt framgå att personen inte personen inte är misstänkt. är misstänkt. Uppgifter om en person som kan Uppgifter om en person som kan antas ha samband med misstänkt antas ha direkt samband med såbrottslig verksamhet ska förses dan brottslig verksamhet som med en upplysning om uppgifts- avses i 2 § 1 ska förses med en lämnarens trovärdighet och upp- upplysning om uppgiftslämnarens gifternas riktighet i sak, om inte trovärdighet och uppgifternas rikdetta är onödigt på grund av sär- tighet i sak, om det inte på grund skilda omständigheter . av omständigheterna är onödigt.

4 § Vid sökning på namn, person- Vid sökning i automatiserade nummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identitetsbe- sonnummer, samordningsnummer teckningar i uppgifter som har eller andra liknande identitetsbegjorts gemensamt tillgängliga får teckningar i uppgifter som har endast sådana uppgifter tas fram gjorts gemensamt tillgängliga får som anger att den sökta personen endast sådana uppgifter tas fram som anger att den sökta personen 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat 3. är misstänkt för att ha utövat eller komma att utöva sådan eller komma att utöva sådan brottslig verksamhet som avses i brottslig verksamhet som avses i 2 § första stycket 1, 2 § 1, 4. har anmält ett brott, 5. är målsägande i ett ärende som rör ansvar för brott, 6. förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande, 7. har gett in eller tillhandahållits en handling, 96

8. har bedömts kunna komma att möta ett ingripande med grovt våld, eller 9. är eller har varit registrerad som funktionär i en eller flera juridiska personer vilka kan antas ha samband med brottslig verksamhet. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

5 § Bestämmelserna i 6 § gäller inte Bestämmelserna i 4 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende , eller 2. sökning i en uppgiftssamling som har skapats för att undersöka viss brottslighet eller vissa kriminella grupperingar och som enbart de som arbetar i undersökningen har åtkomst till. Bestämmelserna i 6 § gäller inte Bestämmelserna i 4 § gäller inte heller vid sökning som utförs av heller vid sökning som görs av särskilt angivna tjänstemän och särskilt angivna tjänstemän som görs 1. när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 1. för att förebygga, förhindra 2. i syfte att i underrättelseverkeller upptäcka brottslig verksam- samhet bearbeta och analysera het som innefattar brott för vilket personuppgifter som har gjorts det är föreskrivet fängelse i fyra år gemensamt tillgängliga med stöd eller däröver, eller av 2 § 1 eller 2 och som enbart dessa tjänstemän har tillgång till, eller 2. för att utreda brott för vilket 3. i syfte att utreda brott för vildet är föreskrivet fängelse i fyra år ket det är föreskrivet fängelse i eller däröver . fyra år eller mer. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första och andra styckena. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag 97

från 6 §.

6 § Polismyndigheten, Säkerhets- Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, polisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket Åklagarmyndigheten, Tullverket och Kustbevakningen får medges och Kustbevakningen får för något direktåtkomst till personuppgifter i av de syften som anges i 1 kap. 2 § Skatteverkets brottsbekämpande brottsdatalagen (2018:000) medverksamhet. Direktåtkomsten får ges direktåtkomst till personuppendast avse personuppgifter som gifter som har gjorts gemensamt har gjorts gemensamt tillgängliga. tillgängliga med stöd av 2 § . En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Rätt att meddela föreskrifter

7 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 4 §.

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsning av tillgången till sådana personuppgifter som avses i 4 §, 2. under vilka förutsättningar sökning får utföras med stöd av 5 §, och 3. omfattningen av direktåtkomst enligt 6 § och om behörighet och säkerhet vid sådan åtkomst.

4 kap. Bevarande och gallring av 4 kap. Längsta tid som personpersonuppgifter uppgifter får behandlas

Generella bestämmelser Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Personuppgifter får inte bevaras Av 2 kap. 17 § första stycket under längre tid än vad som be- brottsdatalagen (2018:000) framhövs för något eller några av de går det att personuppgifter inte får ändamål som anges i lagen . behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I följande paragrafer anges hur länge uppgifter som behandlas automatiserat längst får bevaras: 1. 3 § om uppgifter som inte har gjorts gemensamt tillgängliga, 2. 4–6 §§ om uppgifter i ärenden om utredning av brott som har gjorts gemensamt tillgängliga, och 3. 8 § om andra uppgifter som har gjorts gemensamt tillgängliga än som anges i 2.

2 § Personuppgifter som behandlas Trots det som sägs i 2 kap. 17 § automatiserat och som inte har andra stycket brottsdatalagen gjorts gemensamt tillgängliga ska , (2018:000) får personuppgifter om de behandlas i ett ärende, som inte har gjorts gemensamt gallras senast ett år efter det att tillgängliga inte behandlas längre ärendet avslutades. Om de inte kan än hänföras till ett ärende, ska upp- 1. ett år efter det att ärendet avgifterna gallras senast ett år efter slutades , om de behandlas i ett det att de behandlades automatise- ärende, eller rat första gången. 2. ett år efter det att de behandlades automatiserat första gången , om de inte kan hänföras till ett ärende . Första stycket gäller inte personuppgifter i ärenden om utredning av brott.

3 § Om en brottsanmälan avskrivs Om en brottsanmälan avskrivs på grund av att den påstådda gär- på grund av att den påstådda gärningen inte utgör brott, får person- ningen inte utgör ett brott, får uppgifterna i anmälan inte längre personuppgifterna i anmälan inte behandlas i Skatteverkets brottsbe- längre behandlas för ändamål kämpande verksamhet . Om en inom denna lags tillämpningsbrottsanmälan i annat fall inte har område . Om en brottsanmälan i 99

lett till förundersökning eller annat fall inte har lett till förunderannan motsvarande utredning, får sökning eller annan motsvarande personuppgifterna inte behandlas i utredning, får personuppgifterna Skatteverkets brottsbekämpande inte behandlas för ändamål inom verksamhet när åtal inte längre får denna lags tillämpningsområde väckas för brottet. när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett Om en förundersökning har lett till åtal eller annan dom- till åtal eller annan domstolsstolsprövning, får personupp- prövning, får personuppgifterna i gifterna i förundersökningen inte förundersökningen inte behandlas behandlas i Skatteverkets brotts- för ändamål inom denna lags bekämpande verksamhet när det tillämpningsområde längre än fem har förflutit fem år efter utgången år efter utgången av det kalenderår av det kalenderår då domen, eller då domstolens avgörande fick laga det beslut som meddelades med kraft. anledning av talan, fick laga kraft. Om en förundersökning har lagts Om en förundersökning har lagts ned eller avslutats på annat sätt än ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i genom åtal, får personuppgifterna i förundersökningen inte behandlas i förundersökningen inte behandlas Skatteverkets brottsbekämpande för ändamål inom denna lags verksamhet när det har förflutit tillämpningsområde längre än fem fem år efter utgången av det år efter utgången av det kalenderår kalenderår då åklagarens eller då åklagarens eller förundersökförundersökningsledarens beslut ningsledarens beslut meddelades. meddelades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § 1 eller 3 som längst behandlas under den tid som anges i 7 och 8 §§.

7 § Personuppgifter som har gjorts gemensamt tillgängliga enligt 3 kap. 2 § 1 eller 3 ska gallras enligt andra och tredje styckena. Uppgifter som kan antas ha Personuppgifter som kan antas samband med sådan brottslig verk- ha samband med sådan brottslig samhet som anges i 3 kap. 2 § 1 verksamhet som anges i 3 kap. 2 § ska gallras senast tre år efter ut- 1 får inte behandlas längre än tre 100 gången av det kalenderår då regi- år efter utgången av det kalenderår

streringen avseende personen gjor- då registreringen avseende persodes. Uppgifter som kan antas ha nen gjordes. Personuppgifter som samband med brottslig verksamhet kan antas ha samband med brottssom innefattar brott för vilket är lig verksamhet som innefattar brott föreskrivet fängelse i två år eller för vilket det är föreskrivet fängdäröver ska dock gallras senast else i två år eller mer får inte befem år efter utgången av det kalen- handlas längre än fem år efter derår då registreringen gjordes. utgången av det kalenderår då Om en ny registrering beträffande registreringen gjordes. Om en ny personen görs före utgången av registrering beträffande personens gallringsfristen, behöver de upp- anknytning till brottslig verksamgifter som finns om personen inte het görs före utgången av de tidsgallras så länge någon av uppgif- fristerna , får de uppgifter som terna om honom eller henne får redan finns om personen fortsätta bevaras . att behandlas så länge någon av uppgifterna om honom eller henne får behandlas . Uppgifter som har behandlats med stöd av 3 kap. 2 § 3 ska gallras senast ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

8 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 3 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Rätt att meddela föreskrifter

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att vissa kategorier av person- 1. att vissa kategorier av personuppgifter får bevaras i den brotts- uppgifter får fortsätta behandlas bekämpande verksamheten under för ändamål inom denna lags längre tid än vad som anges i 5, 6 tillämpningsområde under längre och 8 §§ , tid än vad som anges i 3, 4, 7 och 8 §§ , 2. att personuppgifter, med avvi- 2. att personuppgifter får bekelse från 3 § första stycket och handlas för arkivändamål av all- 8 § , får bevaras för historiska , mänt intresse eller vetenskapliga , statistiska eller vetenskapliga statistiska eller historiska ändamål ändamål, och under längre tid än vad som anges i 2 § första stycket , 7 och 8 §§ och 3. digital arkivering. 3. begränsning av behandlingen av personuppgifter för ändamål 101

inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 § om särskild upplysning, eller 3. 4 kap. 2–4, 7 eller 8 § om den längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:000) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 januari 2019. 2. En sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har skett efter ikraftträdandet.

2.22 Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete

1 Härigenom föreskrivs att 6 kap. 1 §, 7 kap. 1, 3, 4 och 7 §§, 8 kap. 3 §, 9 kap. 4 och 5 §§ och 10 kap. 1–3 §§ lagen (2017:496) om internationellt polisiärt samarbete ska ha följande lydelse.

6 kap.

1 §

7 kap.

1 §

Vid samarbete enligt Prümrådsbeslutet får ett utländskt kontaktställe medges direktåtkomst till referensuppgifter i de svenska registren över dna-profiler. Efter en överenskommelse mellan Sverige och en annan stat får kontaktstället i den andra staten göra en automatisk jämförelse mellan sina oidentifierade dna-profiler och referensuppgifter i de svenska registren över dna-profiler. Första och andra styckena gäller Första och andra styckena gäller endast de register över dna-profiler endast de register över dna-profiler som regleras i polisdatalagen som regleras i lagen (2010:361) (2010:361). om polisens behandling av person-

uppgifter inom brottsdatalagens område .

3 § Vid samarbete enligt Prüm- Vid samarbete enligt Prümrådsrådsbeslutet får ett utländskt kon- beslutet får ett utländskt kontakttaktställe medges direktåtkomst till ställe medges direktåtkomst till referensuppgifter i svenska finger- referensuppgifter i svenska fingeravtrycksregister som förs med stöd avtrycksregister som förs med stöd av polisdatalagen (2010:361). av lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område .

4 § I syfte att förebygga, förhindra I syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller upptäcka brottslig verksamhet eller utreda brott får det svenska eller utreda brott får det svenska kontaktstället i enskilda fall genom kontaktstället i enskilda fall genom direktåtkomst söka uppgifter i en direktåtkomst söka uppgifter i en annan stats fingeravtrycksregister. annan stats fingeravtrycksregister. Uppgifter får behandlas endast i Uppgifter får behandlas endast i den utsträckning den andra staten den utsträckning den andra staten tillåter det och om behandlingen i tillåter det och om behandlingen i motsvarande fall hade varit tillåten motsvarande fall hade varit tillåten i svenska fingeravtrycksregister i svenska fingeravtrycksregister som förs med stöd av polisdata- som förs med stöd av lagen lagen (2010:361). (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område . Det svenska kontaktstället ansvarar för att kontrollera om det mottagna fingeravtrycket stämmer överens med det fingeravtryck sökningen avsåg.

7 § Bestämmelserna i personupp- Bestämmelsen om skadestånd i giftslagen (1998:204) om rättelse 7 kap. 1 § brottsdatalagen och skadestånd gäller vid be- (2018:000) ska tillämpas vid behandling av personuppgifter enligt handling av personuppgifter i strid detta kapitel eller enligt föreskrif- med detta kapitel eller föreskrifter ter som har meddelats i anslutning som har meddelats i anslutning till till kapitlet. kapitlet.

8 kap.

3 § Bestämmelserna i personupp- Bestämmelsen om skadestånd i giftslagen (1998:204) om rättelse 7 kap. 1 § brottsdatalagen och skadestånd gäller vid be- (2018:000) ska tillämpas vid behandling av personuppgifter enligt handling av personuppgifter i strid detta kapitel eller enligt föreskrif- med detta kapitel eller föreskrifter ter som har meddelats i anslutning som har meddelats i anslutning till till kapitlet. kapitlet. 104

9 kap.

4 § Det är förbjudet att till tredjeland eller en internationell organisation överföra eller göra tillgängliga sådana personuppgifter som har hämtats från VIS och som har lagts in i systemet av en annan stat. Detta är dock tillåtet i brådskande fall om 1. de villkor för sökning som anges i 1 § andra stycket är uppfyllda, 2. det är förenligt med svenska intressen att uppgifterna lämnas ut, 3. den stat som har lagt in uppgifterna i systemet samtycker till det, och 4. förutsättningarna i 33 och 4. förutsättningarna i 8 kap. 1 § 34 §§ personuppgiftslagen brottsdatalagen (2018:000) är upp- (1998:204) är uppfyllda. fyllda.

5 § Bestämmelserna i personupp- Vid behandling av personuppgiftslagen (1998:204) om rättelse gifter enligt detta kapitel eller enoch skadestånd gäller vid behand- ligt föreskrifter som har meddelats i ling av personuppgifter enligt detta anslutning till kapitlet ska bestämkapitel eller enligt föreskrifter som melsen om skadestånd i 7 kap. 1 § har meddelats i anslutning till brottsdatalagen (2018:000) tillämkapitlet. pas .

10 kap.

1 § Vid samarbete enligt avtalet med Vid samarbete enligt avtalet med USA får ett amerikanskt kontakt- USA får ett amerikanskt kontaktställe trots 33 § personuppgifts- ställe medges direktåtkomst till lagen (1998:204) medges direktåt- referensuppgifter i svenska fingerkomst till referensuppgifter i avtrycksregister som förs med stöd svenska fingeravtrycksregister som av lagen (2010:361) om polisens förs med stöd av polisdatalagen behandling av personuppgifter (2010:361). inom brottsdatalagens område .

2 § På begäran av behöriga myndigheter får ett svenskt kontaktställe i enskilda fall genom direktåtkomst söka uppgifter i amerikanska fingeravtrycksregister i syfte att utreda ett brott för vilket det enligt svensk lag är föreskrivet fängelse i mer än ett år. Detsamma gäller om sökningen görs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar ett sådant brott. Uppgifter får behandlas endast Uppgifter får behandlas endast om behandlingen i motsvarande om behandlingen i motsvarande fall hade varit tillåten i svenska fall hade varit tillåten i svenska fingeravtrycksregister som förs fingeravtrycksregister som förs med stöd av polisdatalagen med stöd av lagen (2010:361) om (2010:361). polisens behandling av personuppgifter inom brottsdatalagens område . Det svenska kontaktstället ansvarar för att kontrollera om det mottagna fingeravtrycket stämmer överens med det fingeravtryck sökningen avsåg. 105

3 § Bestämmelserna i personupp- Vid behandling av personuppgiftslagen (1998:204) om rättelse gifter enligt detta kapitel eller enoch skadestånd gäller vid be- ligt föreskrifter som har meddelats handling av personuppgifter enligt i anslutning till kapitlet ska bedetta kapitel eller enligt föreskrif- stämmelsen om skadestånd i 7 kap. ter som har meddelats i anslutning 1 § brottsdatalagen (2018:000) till kapitlet. tillämpas .

1. Denna lag träder i kraft den 1 januari 2019. 2. Äldre föreskrifter gäller fortfarande för uppgifter som behandlas av Säkerhetspolisen med stöd av polisdatalagen (2010:361) i lydelsen före den 1 januari 2019.

2.23 Förslag till lag om ändring i säkerhetsskyddslagen (2018:000) Härigenom föreskrivs att 3 kap. 13 och 14 §§ säkerhetsskyddslagen (2018:000) ska ha följande lydelse.

3 kap.

13 §

14 §

Registerkontroll ska göras om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass. Uppgifter ska löpande hämtas under den tid deltagandet i den säkerhetskänsliga verksamheten pågår. För säkerhetsklass 1 eller 2 får För säkerhetsklass 1 eller 2 får uppgifter om den kontrollerade uppgifter om den kontrollerade som finns i belastningsregistret som finns i belastningsregistret eller misstankeregistret eller som eller misstankeregistret eller som behandlas med stöd av polisdata- behandlas med stöd av lagen lagen (2010:361) hämtas. Motsva- (2010:361) om polisens behandling rande uppgifter får även hämtas av personuppgifter inom brottsdaom den kontrollerades make eller talagens område hämtas. Motsvasambo. rande uppgifter får även hämtas För säkerhetsklass 3 får sådana om den kontrollerades make eller uppgifter om den kontrollerade sambo. som finns i belastningsregistret För säkerhetsklass 3 får sådana eller misstankeregistret eller som uppgifter om den kontrollerade behandlas hos Säkerhetspolisen som finns i belastningsregistret med stöd av polisdatalagen häm- eller misstankeregistret eller som tas. behandlas hos Säkerhetspolisen med stöd av lagen om polisens behandling av personuppgifter inom brottsdatalagens område hämtas. Om det finns synnerliga skäl får även andra uppgifter än sådana som anges i andra och tredje styckena hämtas.

1. Denna lag träder i kraft den 1 april 2019. 2. Äldre föreskrifter gäller fortfarande för uppgifter som hämtas från Säkerhetspolisen och som behandlas med stöd av polisdatalagen (2010:361) i lydelsen före den 1 januari 2019.

3 Ärendet och dess beredning

Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd under våren 2018. Reformen omfattar dels Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, dels Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, här kallat dataskyddsdirektivet. Regeringen beslutade den 17 mars 2016 kommittédirektiv om genomförande av dataskyddsdirektivet (dir. 2016:21). Utredningen om 2016 års dataskyddsdirektiv redovisade den 5 april 2017 delbetänkandet Brottsdatalag (SOU 2017:29). I delbetänkandet föreslås att direktivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. Regeringen beslutade den 1 mars 2018 lagrådsremissen Brottsdatalag. Remissen har granskats av Lagrådet. Utredningens slutbetänkande Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) redovisades den 4 oktober 2017. Slutbetänkandets lagförslag, utom förslaget som gäller en särskild lag för Säkerhetspolisens behandling av personuppgifter, behandlas i denna lagrådsremiss. Förslaget om Säkerhetspolisens behandling av personuppgifter kommer att tas om hand i en kommande lagrådsremiss. En sammanfattning av betänkandet finns i bilaga 1 . Betänkandets lagförslag i relevanta delar finns i bilaga 2 . Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3 . Remissvaren finns tillgängliga i Justitiedepartementet (Ju2017/07698/L4). Vissa remissinstanser har framfört förslag till ändringar av andra författningar än de som är föremål för översyn inom ramen för detta lagstiftningsärende. Dessa förslag lämnas utan åtgärd. Chefen för Justitiedepartementet gav i september 2016 en utredare i uppdrag att biträda departementet med att lämna förslag på de författningsändringar som behövs i domstolsdatalagen (2015:728) och domstolsdataförordningen (2015:729) med anledning av dataskyddsförordningen (Ju2016/06265/LP). Uppdraget redovisades i augusti 2017 i departementspromemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41). En sammanfattning av promemorian i relevanta delar finns i bilaga 4 , och promemorians lagförslag i relevanta delar finns i bilaga 5 . Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 6 . Remissyttrandena finns tillgängliga i Justitiedepartementet (Ju2017/06965/DOM). Promemorians förslag om anpassning av domstolsdatalagen till dataskyddsförordningen behandlas i propositionen Anpassning av domstolsdatalagen till EU:s dataskyddsförordning (prop. 2017/18:113). I lagrådsremissen behandlar regeringen promemorians förslag om avgränsning av dom- 109

stolsdatalagens tillämpningsområde och komplettering av lagens ändamålsbestämmelser. Övriga delar av promemorian bereds vidare i Regeringskansliet.

4 En anpassning av registerförfattningarna

4.1 Dataskyddsreformen

Europeiska unionens nya dataskyddsreglering består av två rättsliga instrument. Det ena är dataskyddsförordningenoch det andra är dataskyddsdirektivet. Reformen innebär att reglerna om personuppgiftsbehandling i framtiden kommer att finnas i två parallella regelverk. Personuppgiftslagen (1998:204) upphör att gälla när dataskyddsförordningen börjar tillämpas den 25 maj 2018. Den nya lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, i fortsättningen dataskyddslagen, kommer då att komplettera förordningen, se prop. 2017/18:105. Dataskyddslagen kommer att innehålla bestämmelser av generell karaktär på förordningens område. Dataskyddsförordningen och dataskyddslagen gäller inte när dataskyddsdirektivet är tillämpligt. Direktivet ska vara genomfört senast den 6 maj 2018. Regeringen föreslår i lagrådsremissen Brottsdatalag att direktivet i huvudsak ska genomföras genom en ny brottsdatalag. I brottsdatalagen, som ska gälla generellt inom direktivets tillämpningsområde, dras gränsen mot förordningens tillämpningsområde. Där regleras också vilka behöriga myndigheter som ska tillämpa lagen och andra frågor som är gemensamma för alla behöriga myndigheter. Brottsdatalagen kommer därmed, inom lagens tillämpningsområde, att fylla i stort sett samma funktion som personuppgiftslagen gör i dag. Brottsdatalagen kommer att vara subsidiär till annan lag eller förordning som innehåller bestämmelser som avviker från lagen. På samma sätt som i dag kommer det även i fortsättningen att finnas särskilda registerförfattningar för flertalet av de myndigheter som ska tillämpa brottsdatalagen. Dessa författningar behöver anpassas till brottsdatalagen och den nya EU-regleringen.

4.2 Utgångspunkter för anpassningen av befintlig lagstiftning till brottsdatalagen

Brottsdatalagen kommer att fylla ungefär samma funktion som personuppgiftslagen gör i dag i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet. Det kommer dock fortfarande att krävas ytterligare reglering som tar hänsyn till de särskilda behov som vissa myndigheter har av att kunna behandla personuppgifter för att utföra sina arbetsuppgifter. Sådan särreglering bör finnas i myndigheternas registerförfattningar.

Regleringen i registerförfattningarna utgår i dag från personuppgiftslagen på så sätt att författningen antingen gäller i stället för personuppgiftslagen, men hänvisar till vissa bestämmelser i den lagen, eller att författningen gäller utöver personuppgiftslagen. Personuppgiftslagen är allmänt hållen och tar bara begränsad hänsyn till de särskilda behov som vissa samhällssektorer har. Genom att brottsdatalagen i stället innehåller bestämmelser som är skräddarsydda för brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet minskar behovet av att ha särregler i registerförfattningarna. En utgångspunkt för den nya regleringen är därför att de generella bestämmelserna i brottsdatalagen i så stor utsträckning som möjligt ska ersätta motsvarande bestämmelser i registerförfattningarna. En annan utgångspunkt är att regleringen i de olika registerförfattningarna bör vara densamma, om det inte finns några sakliga skäl för särlösningar. En mer enhetlig reglering underlättar informationsutbytet, vilket är ett övergripande syfte med direktivet. Med dessa utgångspunkter behandlas i detta avsnitt vissa övergripande frågor om den kommande utformningen av registerförfattningarna.

4.3 Merparten av bestämmelserna är förenliga med dataskyddsdirektivet

Regeringens bedömning: Merparten av bestämmelserna i registerförfattningarna är förenliga med dataskyddsdirektivet och behöver inte ändras på grund av direktivets innehåll. Många bestämmelser behöver dock ändras för att få en enhetlig terminologi i registerförfattningarna. Det krävs också omfattande redaktionella ändringar i författningarna.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Med undantag för kriminalvårdens lagstiftning har samtliga aktuella registerförfattningar tillkommit under de senaste åren. Det innebär att de uppfyller kraven som ställs i dataskyddsrambeslutet. Direktivet bygger vidare på regleringen i dataskyddsrambeslutet och registerförfattningarna är därmed till stor del redan anpassade till de krav som ställs i direktivet. Det stora flertalet av bestämmelserna i registerförfattningarna uppfyller alltså direktivets krav och behöver inte ändras i sak. Det kan dock även i de nya registerförfattningarna finnas enskilda bestämmelser som måste ändras för att stå i överensstämmelse med hur brottsdatalagen genomför direktivet. Flera bestämmelser av generell karaktär i registerförfattningarna ersätts av nya bestämmelser i brottsdatalagen och kan därför utgå ur författningarna. Det krävs vidare omfattande ändringar i registerförfattningarna av redaktionella skäl, bl.a. med anledning av ändrade hänvisningar. Vissa bestämmelser bör dessutom ändras för att skapa en mer enhetlig utformning av registerförfattningarna eller en terminologi som är anpassad till brottsdatalagen.

Kriminalvårdens registerförfattning avviker i många avseenden från den modernare reglering som gäller för övriga behöriga myndigheter. Kriminalvårdens reglering kräver därför särskilda överväganden. Vidare får skillnaderna i registerförfattningarnas tillämpningsområden betydelse för hur de bör anpassas till brottsdatalagen. Eftersom vissa författningar gäller för personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde går det inte att använda samma mall för regleringen. De bestämmelser i registerförfattningarna som inte kräver någon saklig ändring kommer inte att kommenteras när respektive författning behandlas. Bestämmelser som enbart blir föremål för mindre ändringar av språklig eller redaktionell karaktär kommer inte heller att tas upp särskilt.

4.4 Lagarnas tillämpningsområden

Regeringens bedömning: Registerförfattningarna bör även i fortsättningen innehålla bestämmelser om tillämpningsområdet. Regeringens förslag: Regleringen bör i likhet med tillämpningsområdet för brottsdatalagen utgå från syftet med personuppgiftsbehandlingen. Det bör också framgå att registerförfattningarna endast är tilllämpliga när en myndighet agerar i egenskap av behörig myndighet.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del.

Skälen för regeringens bedömning och förslag

Bestämmelser om tillämpningsområdet bör finnas kvar Brottsdatalagen kommer att innehålla bestämmelser om lagens tillämpningsområde och det kan därför ifrågasättas om det i fortsättningen behövs några bestämmelser om detta i registerförfattningarna. Dataskyddsreformen innebär dock att de behöriga myndigheterna kommer att få tillämpa ett flertal författningar vid behandlingen av personuppgifter och det är ofrånkomligt att regleringen blir förhållandevis svåröverskådlig. Redan detta talar för att tillämpningsområdet för varje registerförfattning bör anges så tydligt som möjligt. Inte minst bör det underlätta för myndigheterna om gränsdragningen mot dataskyddsförordningens tillämpningsområde kan klargöras i respektive författning. Vidare finns i dag vissa mer specifika bestämmelser om registerförfattningarnas tillämpningsområde som kommer att behövas även i fortsättningen. Som exempel kan nämnas bestämmelser om att en viss registerförfattning gäller för flera myndigheter (se t.ex. 1 kap. 2 § polisdatalagen). Mot den bakgrunden instämmer regeringen i utredningens bedömning att det även fortsättningsvis bör finnas bestämmelser om tilllämpningsområdet i registerförfattningarna.

Från verksamhet till syfte Den nuvarande regleringen i registerförfattningarna utgår från den verksamhet där behandlingen av personuppgifter utförs. I brottsdatalagen, som har sin grund i direktivets reglering, är i stället syftet med personuppgiftsbehandlingen avgörande för om lagen är tillämplig eller inte. Det är därför inte möjligt att i registerförfattningarna behålla bestämmelser som knyts till den verksamhet där behandlingen utförs. Eftersom regleringen ska utgå från syftet med behandlingen av personuppgifter bör uttrycket brottsbekämpande verksamhet utmönstras ur registerförfattningarna. I stället bör tillämpningsområdet utgå från hur 1 kap. 2 § brottsdatalagen är formulerad. Det innebär att tillämpningsområdet bör knytas till att personuppgifter behandlas i något av de syften som anges i brottsdatalagen, nämligen förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Ändringen innebär att tillämpningsområdet för registerförfattningarna kommer att bli något snävare än i dag, eftersom personuppgiftsbehandling som sker i den brottsbekämpande verksamheten men som har syften som ligger utanför brottsdatalagens tillämpningsområde inte kommer att omfattas av regleringen. Ett sådant exempel är när Polismyndigheten lämnar uppgifter från den brottsbekämpande verksamheten till tillståndsverksamheten. Då kommer i stället dataskyddsförordningens regelverk att bli tillämpligt.

Myndigheten ska agera i egenskap av behörig myndighet Det är inte enbart syftet med personuppgiftsbehandlingen som avgör om brottsdatalagen är tillämplig. Det krävs också att myndigheten agerar i egenskap av behörig myndighet enligt den lagen. Behörig myndighet definieras som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det bör av bestämmelserna om tillämpningsområdet i respektive registerförfattning framgå att författningen endast är tillämplig när myndigheten agerar i egenskap av behörig myndighet.

Hur förhåller sig brottsdatalagens och registerförfattningarnas tillämpningsområden till varandra? Den nya regleringens struktur innebär att brottsdatalagen, som ska tilllämpas i hela rättskedjan, bildar den yttre ramen för regleringen och att registerförfattningarna inskränker rätten att behandla personuppgifter till behandling i vissa syften i respektive verksamhet. Registerförfattningarnas tillämpningsområden kommer alltså att vara snävare än brottsdatalagens. Som exempel kan nämnas att tillämpningsområdet för flertalet registerförfattningar inte omfattar behandling av personuppgifter i syfte att verkställa påföljder eller upprätthålla allmän ordning och säkerhet. Registerförfattningarna kommer inom sitt respektive tillämpningsområde att gälla utöver brottsdatalagen. Det innebär att de kommer att innehålla undantag, avvikelser och preciseringar i förhållande till brottsdatalagen. Regleringens struktur medför att registerförfattningarna måste läsas tillsammans med brottsdatalagen. 113

En annan utgångspunkt bör vara att en myndighets registerförfattning ska reglera all myndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. I dag regleras dock framför allt Polismyndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i flera olika författningar, vilket framgår av 1 kap. 3 § polisdatalagen. Det kommer inte heller i fortsättningen alltid att vara möjligt att i en och samma författning reglera all myndighetens personuppgiftsbehandling. Det bör i så stor utsträckning som möjligt framgå av respektive registerförfattning när det finns annan sådan reglering inom brottsdatalagens tillämpningsområde som ersätter bestämmelserna i registerförfattningen.

4.5 Ska registerförfattningarna reglera vissa frågor som inte rör dataskydd?

Regeringens bedömning: Registerförfattningarna bör även i fortsättningen innehålla sekretessbrytande bestämmelser. De bör också reglera på vilket sätt personuppgifter får lämnas ut och stadga en viss föreskriftsrätt som inte direkt rör tillämpningsområdet.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Registerförfattningarna innehåller i dag inte bara dataskyddsbestämmelser utan också vissa andra bestämmelser som har nära samband med dataskyddsregleringen. En första kategori är de sekretessbrytande bestämmelser som finns i flertalet registerförfattningar. Vissa sekretessbrytande bestämmelser har tillkommit för att det ska vara möjligt att medge direktåtkomst till personuppgifter medan andra har till syfte att bryta sekretessen för visst informationsutbyte, t.ex. med Interpol och Europol. De sekretessbrytande bestämmelserna har ett så nära samband med personuppgiftsbehandlingen att de har en naturlig plats i registerförfattningarna. Det är också svårt att se att de skulle kunna placeras i någon annan författning. De bör därför finnas kvar i registerförfattningarna. Sekretessbrytande bestämmelser finns även i offentlighets- och sekretesslagen (2009:400) och i andra författningar som ska tillämpas av de behöriga myndigheterna. Bestämmelserna i registerförfattningarna reglerar alltså inte uttömmande när sekretessen bryts. Den andra kategorin är de bestämmelser som reglerar på vilket sätt som personuppgifter får lämnas ut. Exempelvis finns det i flertalet registerförfattningar en bestämmelse som föreskriver att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Även dessa bestämmelser måste anses ha sin naturliga plats i registerförfattningarna. De medverkar dessutom indirekt till dataskyddet, eftersom de begränsar möjligheten att lämna ut personuppgifter elektroniskt. Den tredje kategorin är de bestämmelser som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas för historiska, statistiska

eller vetenskapliga ändamål och om digital arkivering. Även sådana bestämmelser bör finnas kvar i registerförfattningarna. Genom att dessa frågor även i fortsättningen regleras i registerförfattningarna kan också den nuvarande strukturen behållas så långt möjligt.

5 Generella ändringar av registerförfattningarna

5.1 Registerförfattningarna har likartat innehåll och därför liknande behov av ändringar

Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndigheten, Kustbevakningen, Tullverket och Skatteverket har registerförfattningar som är uppbyggda på samma sätt. Det är framför allt de inledande kapitlen i registerförfattningarna som har ett till stor del likartat innehåll. Eftersom registerförfattningarna har betydande likheter är behovet av ändringar i dem i stor utsträckning detsamma. Det finns därför anledning att i detta avsnitt behandla de ändringar som är desamma för alla eller ett flertal av registerförfattningarna. Kriminalvårdens registerlagstiftning skiljer sig till stora delar från övriga registerförfattningar, men även den innehåller vissa bestämmelser som liknar dem som finns i de övriga registerförfattningarna. När så är fallet behandlas även kriminalvårdens bestämmelser i detta avsnitt. Domstolarnas registerlagstiftning behandlas i avsnitt 12.

5.2 En ny lagteknisk struktur

Regeringens förslag: En bestämmelse införs i respektive registerförfattning om att den gäller utöver brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten tillstyrker förslaget att registerförfattningarna bör gälla utöver brottsdatalagen. Sveriges advokatsamfund ansluter sig till bedömningen att vald lagteknisk modell ställer särskilda krav på tillämparen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen gäller i stället för personuppgiftslagen (se exempelvis 2 kap. 1 § polisdatalagen). Lagen om behandling av personuppgifter inom kriminalvården har en annan struktur. I 2 § föreskrivs att om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av den tillämpas personuppgiftslagen. Brottsdatalagen är till skillnad från personuppgiftslagen anpassad till de brottsbekämpande myndigheternas verksamhet. I förhållande till brottsdatalagen bör registerförfattningarna endast innehålla de bestäm- 115

melser som krävs för att regleringen ska passa för respektive myndighets verksamhet. Registerförfattningarna bör därför utformas så att de gäller utöver brottsdatalagen. En bestämmelse som anger det bör tas in i respektive registerförfattning. Även kriminalvårdens registerlagstiftning bör anpassas så att den gäller utöver brottsdatalagen. I brottsdatalagen finns alla grundläggande bestämmelser om hur personuppgifter får behandlas. Där regleras också den personuppgiftsansvariges skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare bestämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel. Där anges också vad som gäller för överföring av personuppgifter till tredjeland. Att registerförfattningarna föreslås gälla utöver brottsdatalagen innebär att de framför allt bör innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. I den mån en fråga regleras i brottsdatalagen men inte i registerförfattningen ska alltså brottsdatalagen tillämpas. Det innebär vidare att de bestämmelser som finns i registerförfattningarna ska läsas tillsammans med regleringen i brottsdatalagen. Det kan vara fråga om bestämmelser som t.ex. preciserar vilka särskilda krav som gäller vid behandling av en viss typ av personuppgifter eller hur länge en viss typ av personuppgifter får behandlas. Det kan även finnas bestämmelser som inskränker möjligheten att behandla vissa personuppgifter. En konsekvens av att en registerförfattning gäller utöver brottsdatalagen är att tillämparen inte kan nöja sig med att ta del av registerförfattningens reglering utan också måste tolka bestämmelserna i registerförfattningen i ljuset av regleringen i brottsdatalagen. Om formuleringen av en bestämmelse i en registerförfattning t.ex. medger två olika tolkningar, men bara den ena av dem är förenlig med regleringen i brottsdatalagen, är det den tolkningen som gäller. I en författning som gäller utöver en annan upprepas inte bestämmelserna i den överordnade författningen, utom i de fall där det är nödvändigt för förståelsen av en bestämmelse i den förstnämnda författningen. Inte heller görs det hänvisningar till bestämmelserna i den överordnade författningen om det inte är absolut nödvändigt för sammanhanget. En författning som gäller utöver en annan ställer därför särskilda krav på tillämparen.

5.3 Bestämmelser som inte längre behövs bör upphävas

5.3.1 Hänvisningar till personuppgiftslagen

Regeringens förslag: Alla hänvisningar till personuppgiftslagen i registerförfattningarna ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten ansluter sig till bedömningen att det saknas behov av att införa en generell bestämmelse som motsvarar

22 § personuppgiftslagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Några hänvisningar till personuppgiftslagen ska inte finnas Personuppgiftslagen upphör att gälla den 25 maj 2018, då dataskyddsförordningen ska börja tillämpas och dataskyddslagen träder i kraft. Personuppgiftslagen kommer dock, enligt en övergångsbestämmelse, att fortsätta gälla i den utsträckning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den lagen. I 2 kap. 2 § polisdatalagen, 2 kap. 2 § kustbevakningsdatalagen, 2 kap. 2 § åklagardatalagen, 2 kap. 2 § tullbrottsdatalagen och 2 kap. 2 § skattebrottsdatalagen räknas det upp vilka paragrafer i personuppgiftslagen som ska tillämpas när personuppgifter behandlas enligt respektive lag. I lagen om behandling av personuppgifter inom kriminalvården finns det inte någon motsvarande uppräkning men 2 § innehåller en erinran om att personuppgiftslagen gäller om inte annat är föreskrivet. Därutöver föreskrivs i 8 § att bestämmelserna i personuppgiftslagen om rättelse och skadestånd gäller även vid behandling av personuppgifter enligt kriminalvårdens registerförfattning. Det finns även andra bestämmelser i den lagen som hänvisar till personuppgiftslagen. Brottsdatalagen innehåller en för de behöriga myndigheterna gemensam reglering av all personuppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. När brottsdatalagen börjar gälla bör det inte längre finnas några hänvisningar till personuppgiftslagen i registerförfattningarna. Sådana bestämmelser bör därför upphävas.

Vissa hänvisningar ska inte ersättas Alla de hänvisningar till personuppgiftslagen som räknas upp i nyss nämnda bestämmelser har inte någon motsvarighet i brottsdatalagen. Hit hör bestämmelsen i 8 § första stycket personuppgiftslagen om förhållandet till offentlighetsprincipen. Den frågan regleras fortsättningsvis i dataskyddsförordningen och dataskyddslagen. Det finns inga bestämmelser om förhållandet till offentlighetsprincipen i brottsdatalagen och det bör inte heller finnas sådana bestämmelser i registerförfattningarna. I 42 § personuppgiftslagen föreskrivs en skyldighet att lämna upplysningar till allmänheten om sådana behandlingar som inte ska anmälas till tillsynsmyndigheten. Det finns inte längre något behov av en sådan bestämmelse, eftersom varken direktivet eller brottsdatalagen föreskriver någon motsvarande anmälningsskyldighet.

Användningen av personnummer I 22 § personuppgiftslagen, som registerförfattningarna hänvisar till, föreskrivs det att personnummer och samordningsnummer bara får behandlas utan samtycke när det är klart motiverat bl.a. med hänsyn till ändamålet med behandlingen och vikten av en säker identifiering. Bestämmelsen om behandling av personnummer och liknande identifie- 117

ringsuppgifter har ingen motsvarighet i direktivet. Det finns inte något behov av att införa en generell bestämmelse som motsvarar 22 § personuppgiftslagen, eftersom kraven på en säker identifiering väger särskilt tungt i verksamhet inom brottsdatalagens tillämpningsområde och användningen av personnummer och liknande identitetsuppgifter därmed nära nog alltid är motiverad. En sådan bestämmelse skulle därför inte fylla någon praktisk funktion för att skydda enskildas integritet.

5.3.2 Undantag från viss informationsskyldighet

Regeringens förslag: De nuvarande undantagen från informationsskyldigheten vid behandling av personuppgifter i ljud- eller bildupptagningar och i samband med larm ska tas bort.

Utredningens förslag överensstämmer med regeringens . Remissinstanserna: Sveriges advokatsamfund påpekar att det finns situationer då en fotograferad person, som förekommer i en upptagning som har tillkommit i annat syfte än att samla in personuppgifter om honom eller henne, är så pass utpekad eller i en sådan utsatt situation att det kan finnas en skyldighet att informera enligt 4 kap. 2 § brottsdatalagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 23 § personuppgiftslagen ska den personuppgiftsansvarige självmant informera den registrerade om behandling av personuppgifter som samlas in från den registrerade själv. I 2 kap. 2 § tredje stycket polisdatalagen, 2 kap. 2 § tredje stycket kustbevakningsdatalagen och 2 kap. 2 § tredje stycket tullbrottsdatalagen görs undantag från den informationsskyldigheten vid behandling av personuppgifter genom bilder eller ljud och i samband med larm, om det med hänsyn till omständigheterna inte finns tid att informera. Motsvarande undantag för behandling genom ljud eller bilder görs i 2 kap. 2 § tredje stycket skattebrottsdatalagen. I brottsdatalagen finns ingen skyldighet att självmant informera den registrerade som helt motsvarar 23 § personuppgiftslagen. I 4 kap. 1 § brottsdatalagen föreskrivs att den personuppgiftsansvarige ska göra viss allmän information tillgänglig, exempelvis via den personuppgiftsansvariges webbplats. I 4 kap. 2 § samma lag föreskrivs att den registrerade i specifika fall ska informeras om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Därutöver ska den personuppgiftsansvarige enligt 4 kap. 3 § brottsdatalagen till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Den enda bestämmelse i brottsdatalagen som föreskriver en direkt skyldighet att självmant informera den registrerade är alltså 4 kap. 2 § som rör information i specifika fall. Sådana specifika fall kan exempelvis föreligga om den enskilde riskerar att lida någon rättsförlust, t.ex. om känsliga personuppgifter har behandlats på ett otillåtet sätt (se lagrådsremissen Brottsdatalag, avsnitt 10.2.7). Informationsskyldigheten enligt 4 kap. 2 och 3 §§ brottsdatalagen begränsas i 4 kap. 5 § brottsdatalagen. I den sistnämnda paragrafen anges att informationsskyldigheten inte gäller i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut 118

som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att t.ex. förebygga brott. När det gäller informationsskyldighet vid behandling av personuppgifter vid ljud- och bildupptagningar kan inledningsvis konstateras att om en person t.ex. fångas på bild som en följd av att han eller hon kameraövervakas enligt bestämmelser i rättegångsbalken eller i underrättelseverksamhet gäller normalt sett sekretess enligt 18 kap. 1 eller 2 §§ offentlighets- och sekretesslagen. Någon skyldighet finns då inte enligt brottsdatalagen att informera personen om att uppgifterna behandlas. Det kan emellertid uppstå situationer då en person fångas på en ljud- eller bildupptagning som inte i sin helhet omfattas av sekretess, exempelvis då en förbipasserande person syns på bilder från en brottsplats eller då polisen öppet dokumenterar ett visst händelseförlopp på grund av oroligheter i samband med en fotbollsmatch eller en demonstration. I dessa fall rör det sig om upptagningar som har tillkommit i annat syfte än att samla in personuppgifter om den berörda personen och personens identitet är som regel okänd. För det fall identiteten är känd, och personen därmed i och för sig skulle kunna informeras om att hans eller hennes personuppgifter behandlas på aktuellt sätt, kan det ifrågasättas vilket värde informationen skulle ha för den enskilde. Under angivna förutsättningar är det svårt att se att personen i fråga skulle riskera att lida någon rättsförlust av behandlingen och alltså föreligger inte heller något sådant specifikt fall som aktualiserar informationsskyldighet. Som Sveriges advokatsamfund har påpekat skulle det kunna uppkomma situationer då en fotograferad eller filmad person, som förekommer i en upptagning som har tillkommit i annat syfte än att samla in personuppgifter om honom eller henne, är så pass utpekad eller utsatt att det finns en skyldighet att informera enligt 4 kap. 2 § brottsdatalagen. Sådana situationer bör dock endast komma att uppstå undantagsvis. Utgångspunkten måste i stället vara att någon informationsskyldighet som regel inte uppkommer gentemot exempelvis förbipasserande på ljud- och bildupptagningar. Även i fråga om information som lämnas av registrerade i samband med larm är det svårt att se att de som larmar skulle lida någon rättsförlust av behandlingen och att det skulle föreligga något sådant specifikt fall som aktualiserar informationsskyldighet. De som larmar får anses känna till att deras personuppgifter registreras genom ljudupptagning. Det innebär att det inte behövs någon information för att de registrerade ska kunna ta tillvara sina rättigheter. Mot bakgrund av vad som anförts ovan bedöms de nuvarande undantagen från informationsskyldigheten vid behandling av personuppgifter i ljud- eller bildupptagningar och i samband med larm inte längre fylla någon funktion och de bör därför tas bort.

5.3.3 Hänvisningar till lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen

Regeringens förslag: Bestämmelser som hänvisar till lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (2013 års lag) ska upphävas när brottsdatalagen träder i kraft. I 2 a § lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 5 § polisdatalagen, 1 kap. 2 a § kustbevakningsdatalagen, 1 kap. 3 § åklagardatalagen, 1 kap. 3 § andra stycket tullbrottsdatalagen och 1 kap. 3 § skattebrottsdatalagen hänvisas till att bestämmelserna i 2013 års lag, och föreskrifter som har meddelats i anslutning till den lagen, ska tillämpas i stället för bestämmelserna i respektive författning. Som en konsekvens av att 2013 års lag upphävs bör alla hänvisningar till den lagen upphävas.

5.3.4 Syftet med lagarna

Regeringens förslag: Bestämmelser som beskriver syftet med respektive registerförfattning ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten har inget emot att bestämmelserna tas bort men betonar att det är viktigt att det framgår att intresset av att skydda den enskildes integritet och intresset av effektiviteten i polisens verksamhet är jämbördiga intressen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 1 kap. 1 § första stycket brottsdatalagen är syftet med lagen dels att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Regleringen ger uttryck för att det ska gälla en väl avvägd balans mellan, å ena sidan, skyddet för den personliga integriteten, och, å andra sidan, samhällets behov av att myndigheter kan behandla personuppgifter i den verksamhet som omfattas av direktivets tillämpningsområde (se lagrådsremissen Brottsdatalag, avsnitt 6.1.3). I 1 kap. 1 § polisdatalagen, 1 kap. 1 § kustbevakningsdatalagen, 1 kap. 1 § åklagardatalagen, 1 kap. 1 § tullbrottsdatalagen och 1 kap. 1 § skattebrottsdatalagen anges det övergripande syftet med respektive lag. Exempelvis anges i 1 kap. 1 § polisdatalagen att syftet med lagen är att ge bl.a. Polismyndigheten möjlighet att behandla personuppgifter på ett ända- 120

målsenligt sätt i sin brottsbekämpande verksamhet och skydda människor mot att deras personliga integritet kränks vid sådan behandling. Brottsdatalagen kommer att tillämpas av alla myndigheter som behandlar personuppgifter inom lagens tillämpningsområde och registerförfattningarna ska läsas tillsammans med brottsdatalagen. Den dubbla målsättningen med brottsdatalagen – att stärka integritetsskyddet och att samtidigt värna om att behöriga myndigheter kan behandla personuppgifter på ett ändamålsenligt sätt – gäller således oavsett om det är t.ex. Polismyndigheten eller Kustbevakningen som behandlar personuppgifter. Det finns då inte skäl att i registerförfattningarna behålla bestämmelser som anger att syftet med lagen i stort sett är detsamma som det övergripande syftet med brottsdatalagen. Det finns inte heller skäl att väga eller särskilt ange förhållandet mellan de dubbla syftena i registerförfattningarna utöver vad som framgår av brottsdatalagen. Bestämmelserna i registerfattningarna som anger syftet med lagen bör sammanfattningsvis upphävas. Att syftet inte framgår direkt av var och en av registerförfattningarna innebär inte att integritetsskyddet försvagas.

5.3.5 Automatiserad behandling

Regeringens förslag: Bestämmelser om att registerförfattningarna endast gäller vid behandling av personuppgifter som är automatiserad eller på annat sätt strukturerad ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 1 kap. 3 § brottsdatalagen gäller lagen för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I 1 § andra stycket lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 2 § andra stycket polisdatalagen, 1 kap. 2 § andra stycket kustbevakningsdatalagen, 1 kap. 2 § första stycket åklagardatalagen, 1 kap. 2 § tullbrottsdatalagen och 1 kap. 2 § skattebrottsdatalagen finns det bestämmelser med motsvarande innehåll. Det finns inte något behov av att i registerförfattningarna upprepa att de i huvudsak gäller för automatiserad behandling. Sådana bestämmelser bör därför upphävas.

5.3.6 Bestämmelser om lagarnas uppbyggnad

Regeringens förslag: Bestämmelser om hur registerförfattningarna är uppbyggda eller var en viss typ av bestämmelser finns ska som huvudregel upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. 121

Skälen för regeringens förslag: I 1 kap. 7 § polisdatalagen, 1 kap. 5 § kustbevakningsdatalagen, 1 kap. 5 § tullbrottsdatalagen och 1 kap. 5 § skattebrottsdatalagen anges hur respektive lag är uppbyggd. När polisdatalagen infördes såg lagstiftaren ett behov av att tydliggöra hur lagens olika kapitel förhöll sig till varandra, hur de skulle tillämpas och av vem. Den regleringen har senare använts som mönster för de övriga registerförfattningarna. Genom att brottsdatalagen innehåller den generella regleringen för de behöriga myndigheterna kommer åtskilliga bestämmelser i registerförfattningarna inte längre att behövas. Tillämpningsområdet för flera av lagarna ändras också på det sättet att bestämmelser om behandling av personuppgifter för andra syften än de som anges i brottsdatalagen rensas bort. Behovet av bestämmelser om lagarnas uppbyggnad minskar till följd av dessa ändringar. Det bör därför inte finnas bestämmelser om hur lagarna är uppbyggda, om det inte finns särskilda skäl för det (se avsnitt 7.2.3). I polisdatalagen och kustbevakningsdatalagen finns det bestämmelser om bevarande och gallring i olika kapitel. Lagarna innehåller därför – för att skapa en överblick – bestämmelser som anger var i lagen bevarande och gallring regleras (se 2 kap. 12 § och 3 kap. 9 § polisdatalagen och 3 kap. 4 § kustbevakningsdatalagen). En annan lagstiftningsteknik används i tullbrottsdatalagen och skattebrottsdatalagen, där alla bestämmelser om bevarande och gallring är samlade i ett särskilt kapitel. Där inleds i stället kapitlet med en bestämmelse som presenterar innehållet. Bestämmelser om bevarande och gallring bör som huvudregel hållas samman, se vidare avsnitt 5.5. Därmed finns det inte längre behov av bestämmelser som tydliggör var i lagen sådana frågor regleras, varför de bör upphävas.

5.3.7 Personuppgiftsombud

Regeringens förslag: Bestämmelser i registerförfattningarna om att de personuppgiftsansvariga ska utse personuppgiftsombud ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 3 kap. 13 § brottsdatalagen ska personuppgiftsansvariga utse ett eller flera dataskyddsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten både när ett dataskyddsombud utses och när ombudet entledigas. I 2 kap. 5 § polisdatalagen, 2 kap. 5 § kustbevakningsdatalagen, 2 kap. 4 § åklagardatalagen, 2 kap. 4 § tullbrottsdatalagen och 2 kap. 4 § skattebrottsdatalagen föreskrivs skyldighet att utse ett eller flera personuppgiftsombud och att anmäla till tillsynsmyndigheten när ett sådant ombud utses eller entledigas. I och med att det i brottsdatalagen finns en generell bestämmelse om skyldighet att utse dataskyddsombud, som är den benämning som används i stället för personuppgiftsombud, behövs inga sådana bestämmelser i registerförfattningarna. Bestämmelserna om att personuppgiftsombud ska utses bör därför upphävas. 122

5.3.8 Behandling för diarieföring

Regeringens förslag: Bestämmelser i registerförfattningarna om att personuppgifter får behandlas om det är nödvändigt för diarieföring eller för att utföra andra nödvändiga handläggningsåtgärder ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 2 kap. 2 § brottsdatalagen får personuppgifter alltid behandlas om det är nödvändigt för diarieföring. Personuppgifter får också behandlas om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. I 2 kap. 9 § polisdatalagen, 2 kap. 6 § kustbevakningsdatalagen, 2 kap. 7 § åklagardatalagen, 2 kap. 7 § tullbrottsdatalagen och 2 kap. 7 § skattebrottsdatalagen föreskrivs att personuppgifter får behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till myndigheten i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Eftersom brottsdatalagen innehåller en motsvarande bestämmelse finns det inte något skäl att behålla bestämmelserna i registerförfattningarna. De bör därför upphävas.

5.3.9 Behandling av känsliga personuppgifter

Regeringens förslag: Generella bestämmelser i registerförfattningarna om behandling av känsliga personuppgifter och användning av känsliga personuppgifter som sökbegrepp ska upphävas. Det gäller även bestämmelser om att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag till systematik men framhåller att det är viktigt att förslaget inte innebär en försämring av skyddet för den personliga integriteten vid behandling av känsliga personuppgifter. Inspektionen påpekar bl.a. att de generella bestämmelserna i brottsdatalagen om behandling av känsliga personuppgifter därför måste analyseras tillsammans med de eventuella avvikelser, t.ex. avseende sökförbudet, som föreslås för respektive registerförfattning. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Känsliga personuppgifter I 2 kap. 11 och 12 §§ brottsdatalagen finns det bestämmelser om känsliga personuppgifter. I 2 kap. 11 § föreskrivs att personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte får behandlas. Om uppgifter om en person behandlas 123

får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person och genetiska uppgifter behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Att biometriska uppgifter som används för att identifiera en person och genetiska uppgifter ingår i uppräkningen av känsliga personuppgifter har sin grund i direktivet. Detsamma gäller uppgifter om sexuell läggning, även om de redan tidigare som regel har betraktats som känsliga personuppgifter. I 5 § lagen om behandling av personuppgifter inom kriminalvården, 2 kap. 10 § polisdatalagen, 2 kap. 8 § åklagardatalagen, 2 kap. 7 § kustbevakningsdatalagen, 2 kap. 10 § tullbrottsdatalagen och 2 kap. 8 § skattebrottsdatalagen finns det bestämmelser om behandling av känsliga personuppgifter. Eftersom behandling av känsliga personuppgifter regleras i brottsdatalagen, finns det inte skäl att behålla motsvarande generella regler i registerförfattningarna. De bör därför upphävas. I föregående avsnitt föreslås att de allmänna bestämmelserna i registerförfattningarna om behandling för diarieföring ska upphävas. Enligt 2 kap. 13 § brottsdatalagen, som hänvisar till 2 kap. 2 §, får även känsliga personuppgifter behandlas om det är nödvändigt för diarieföring. Detsamma gäller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. I 2 kap. 10 § andra stycket polisdatalagen, 2 kap. 7 § andra stycket kustbevakningsdatalagen, 2 kap. 8 § andra stycket åklagardatalagen, 2 kap. 10 § andra stycket tullbrottsdatalagen och 2 kap. 8 § andra stycket skattebrottsdatalagen finns det motsvarande bestämmelser om att känsliga personuppgifter får behandlas för diarieföring eller andra nödvändiga handläggningsuppgifter. Det finns inte anledning att behålla dessa bestämmelser, eftersom det finns en motsvarande reglering i brottsdatalagen. Bestämmelserna i registerförfattningarna bör därför upphävas.

Uppgifter som beskriver en persons utseende I 2 kap. 7 § andra stycket brottsdatalagen föreskrivs att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Bestämmelsen har placerats tillsammans med reglerna om personuppgifters kvalitet i stället för i anslutning till bestämmelserna om behandling av känsliga personuppgifter, eftersom den gäller oberoende av om uppgifterna om utseende är känsliga personuppgifter eller inte. I 2 kap. 10 § tredje stycket polisdatalagen, 2 kap. 7 § tredje stycket kustbevakningsdatalagen, 2 kap. 8 § tredje stycket åklagardatalagen, 2 kap. 10 § tredje stycket tullbrottsdatalagen och 2 kap. 8 § tredje stycket skattebrottsdatalagen finns bestämmelser med motsvarande innehåll. Eftersom det i brottsdatalagen finns en bestämmelse om hur uppgifter om personers utseende ska utformas behöver det inte regleras i registerförfattningarna. Bestämmelser om det bör således upphävas.

Registerförfattningarna ska inte längre innehålla sökförbud I 2 kap. 14 § brottsdatalagen föreskrivs ett generellt förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Enligt 3 kap. 5 § polisdatalagen, 4 kap. 4 § kustbevakningsdatalagen, 3 kap. 4 § åklagardatalagen, 3 kap. 5 § tullbrottsdatalagen och 3 kap. 5 § skattebrottsdatalagen får känsliga personuppgifter inte användas som sökbegrepp vid sökning i personuppgifter som gjorts gemensamt tillgängliga. Något motsvarande sökförbud finns inte för uppgifter som endast ett fåtal har tillgång till. Enligt 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården får känsliga personuppgifter inte användas som sökbegrepp om inte regeringen har föreskrivit det. Mot bakgrund av att brottsdatalagen innehåller ett generellt sökförbud behövs inte längre bestämmelserna i registerförfattningarna om användning av känsliga personuppgifter som sökbegrepp. De bör därför upphävas. Detsamma bör gälla 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården och de bestämmelser om användning av känsliga personuppgifter som sökbegrepp som finns i tillhörande förordning Bestämmelser som innebär undantag från det generella sökförbudet behandlas närmare i bl.a. avsnitt 7.3.3. Som Datainspektionen framhåller är det av vikt att det samlade förslaget om behandling av känsliga personuppgifter inte innebär någon försämring av skyddet för den personliga integriteten. Mot bakgrund av det som anförts i nämnda avsnitt och i lagrådsremissen Brottsdatalag, avsnitt 8.1.4, bedömer regeringen inte att förslagen i sin helhet får någon sådan effekt.

5.3.10 Tillgången till personuppgifter

Regeringens förslag: Bestämmelser i registerförfattningarna om tillgången till personuppgifter ska upphävas. Det gäller även bestämmelser om att regeringen eller den myndighet som regeringen bestämmer har rätt att meddela föreskrifter om det.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Tillgången till personuppgifter bör enbart regleras i brottsdatalagen Enligt 3 kap. 6 § brottsdatalagen ska den personuppgiftsansvarige se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Enligt 3 kap. 23 § 2 brottsdatalagen kan regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om tillgången till personuppgifter. I 2 kap. 11 § polisdatalagen, 2 kap. 3 § kustbevakningsdatalagen, 2 kap. 9 § åklagardatalagen, 2 kap. 11 § tullbrottsdatalagen och 2 kap. 10 § skattebrottsdatalagen föreskrivs att tillgången till personuppgifter 125

ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Bestämmelserna kompletteras av en möjlighet för regeringen, eller den myndighet som regeringen bestämmer, att meddela närmare föreskrifter om tillgången till personuppgifter. I bestämmelser om direktåtkomst i nämnda lagar föreskrivs det att den mottagande myndigheten ansvarar för att tillgången till personuppgifter begränsas på motsvarande sätt (se t.ex. 3 kap. 8 § andra stycket polisdatalagen). Likartade bestämmelser finns i 6 och 10 §§ lagen om behandling av personuppgifter inom kriminalvården. Eftersom det finns en generellt tillämplig bestämmelse i brottsdatalagen som föreskriver att tillgången till personuppgifter ska begränsas, finns det inte något behov av att behålla motsvarande bestämmelser i registerförfattningarna. Det gäller även bestämmelser om begränsning av tillgången till personuppgifter vid direktåtkomst. I registerförfattningarna bör det inte heller finnas några bestämmelser om föreskriftsrätt om tillgången till personuppgifter, eftersom det är fråga om interna förhållanden i myndigheterna.

5.3.11 Särskilda upplysningar

Regeringens förslag: Registerförfattningarna ska inte innehålla bestämmelser som motsvarar brottsdatalagens bestämmelser om särskilda upplysningar. Bestämmelser om att vissa personuppgifter ska förses med särskilda upplysningar ska dock finnas kvar för uppgifter som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Bestämmelserna om särskilda upplysningar ska liksom i dag enbart gälla vid behandling av personuppgifter som har gjorts gemensamt tillgängliga.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten ansluter sig till utredningens bedömningar om att även fortsatt använda uttrycket misstänkt och rörande särskilda upplysningar om uppgiftslämnarens trovärdighet och riktighet i sak. Säkerhets- och integritetsskyddsnämnden efterfrågar ett förtydligande av om bestämmelsen i 3 kap. 4 § polisens brottsdatalag är avsedd att utgöra ett komplement till eller avvikelse från kraven i 2 kap. 9 och 10 §§ brottsdatalagen. Nämnden efterfrågar också ett förtydligande av om kravet på särskild upplysning avseende personer som inte är misstänkta för att ha utövat eller kommer att utöva brottslig verksamhet tar sikte på personer som över huvud taget inte är misstänkta för någon brottslighet eller personer som inte är misstänkta för den brottsliga verksamhet som undersöks. Datainspektionen avstyrker utredningens förslag att kravet på särskilda upplysningar enbart ska gälla om personuppgifterna har gjorts gemensamt tillgängliga. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Bestämmelser om särskilda upplysningar Enligt 2 kap. 3 § andra stycket brottsdatalagen ska det ändamål som personuppgifter behandlas för tydliggöras genom en särskild upplysning, om det inte framgår av sammanhanget eller på annat sätt. I 2 kap. 9 § brottsdatalagen föreskrivs att personuppgifter som rör olika kategorier av registrerade så långt det är möjligt ska särskiljas, t.ex. personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott. Om det inte framgår av sammanhanget eller på annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. Enligt 2 kap. 10 § brottsdatalagen ska vidare personuppgifter som grundar sig på fakta så långt det är möjligt skiljas från personuppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på något annat sätt ska den tydliggöras genom en särskild upplysning. I flera av registerförfattningarna föreskrivs att det i vissa fall ska lämnas särskilda upplysningar. Bestämmelser om särskilda upplysningar, med något olika innehåll, finns i 3 kap. 3 och 4 §§ polisdatalagen, 4 kap. 2 och 3 §§ kustbevakningsdatalagen, 3 kap. 3 § åklagardatalagen, 3 kap. 3 och 4 §§ tullbrottsdatalagen och 3 kap. 3 och 4 §§ skattebrottsdatalagen. De särskilda upplysningarna ska avse att personen i fråga inte är misstänkt vare sig för brott eller för att utöva brottslig verksamhet. I fråga om den som är misstänkt för att utöva eller att komma att utöva brottslig verksamhet ska de särskilda upplysningarna belysa uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det ska också finnas en särskild upplysning om ändamålet med behandlingen, om det inte framgår på annat sätt. Bestämmelserna om särskilda upplysningar gäller endast för personuppgifter som har gjorts gemensamt tillgängliga.

Upplysningar om ändamålet med behandlingen Registerförfattningarna bör inte innehålla bestämmelser som motsvarar brottsdatalagens krav på att ändamålet med behandlingen ska framgå. Bestämmelser som ställer upp sådana krav bör därför upphävas.

Särskilda upplysningar bara om uppgifterna är gemensamt tillgängliga Kraven på särskilda upplysningar i de brottsbekämpande myndigheternas registerförfattningar gäller alltså enligt nuvarande reglering endast uppgifter som har gjorts gemensamt tillgängliga. Frågan är om det finns skäl att i registerförfattningarna fortsatt göra undantag från bestämmelserna om särskilda upplysningar för personuppgifter som inte har gjort gemensamt tillgängliga. Såväl direktivet som brottsdatalagen ger utrymme för att göra undantag från kravet på särskilda upplysningar i aktuellt fall. Direktivets krav på särskilda upplysningar beträffande vilken kategori en person tillhör och beträffande att fakta ska skiljas från personliga bedömningar gäller bara så långt det är möjligt att lämna sådan information. Kravet i 2 kap. 3 § andra stycket brottsdatalagen, om att ändamålet med behandlingen ska framgå, följer inte av direktivet utan skapar ett sådant extra skydd för enskildas integritet som direktivet medger att nationell rätt får innehålla. 127

Behovet av särskilda upplysningar gör sig framför allt gällande om personuppgifter behandlas utanför sitt ursprungliga sammanhang. I förarbetena till polisdatalagen diskuteras ingående skälen för att ha sådana bestämmelser och när särskilda upplysningar inte behövs (se prop. 2009/10:85 s. 145 f.). När ett fåtal personer behandlar uppgifterna och är införstådda med varför det görs finns det inget behov av särskilda upplysningar. I dessa fall tillgodoses integritetsskyddet som de särskilda upplysningarna syftar till att skapa på annat sätt. Regeringen anser därför, till skillnad från Datainspektionen , att kravet på särskilda upplysningar på samma sätt som i dag enbart ska gälla vid behandling av personuppgifter som har gjorts gemensamt tillgängliga. För de behöriga myndigheter som inte har en reglering som gör skillnad mellan uppgifter som har gjorts gemensamt tillgängliga och andra uppgifter kommer bestämmelserna i brottsdatalagen om särskilda upplysningar att gälla utan undantag. Det kan förefalla som om det därmed ställs högre krav på de myndigheter som i dag överhuvudtaget inte behöver förse personuppgifter med särskilda upplysningar, medan de myndigheter som har en sådan reglering får undantag från kraven i brottsdatalagen i vissa fall. Enligt brottsdatalagen ska personuppgifter förses med särskilda upplysningar bara om det förhållande som upplysningen skulle avse inte framgår av sammanhanget eller på något annat sätt. Det är framför allt i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och varför uppgifter om honom eller henne behandlas. När det gäller andra myndigheter än de brottsbekämpande kommer det därför normalt inte att krävas några särskilda upplysningar och då finns det inte heller skäl att ha något undantag.

Upplysningar om vilken kategori en person tillhör I brottsdatalagen ställs det delvis andra krav på särskilda upplysningar än i registerförfattningarna. Sådana bestämmelser i registerförfattningarna som innebär att det genom en särskild upplysning ska framgå att en viss person inte är misstänkt täcks, såvitt gäller brottsutredande och lagförande verksamhet, av regleringen i 2 kap. 9 § brottsdatalagen. Det finns därför inte skäl att i registerförfattningarna behålla bestämmelser som föreskriver att det ska framgå att en person inte är misstänkt för brott i brottsutredande och lagförande verksamhet. Underrättelseverksamheten är emellertid i stor utsträckning oreglerad och i den reglering som finns gör man ingen tydlig uppdelning mellan olika kategorier av personer. Det generella krav som uppställs i 2 kap. 9 § brottsdatalagen är därför språkligt mindre väl lämpat att tillämpas i underrättelseverksamhet. Det är än viktigare ur integritetssynpunkt att det i underrättelseverksamheten görs tydlig skillnad mellan personer som har ett direkt samband med den brottsliga verksamheten och andra personer. Mot den bakgrunden bör det nuvarande kravet i registerförfattningarna på särskilda upplysningar behållas. Säkerhets- och integritetsskyddsnämnden efterfrågar ett förtydligande av om sådana bestämmelser är avsedda att utgöra ett komplement till eller avvikelse från kraven i brottsdatalagen. Konsekvensen av de föreslagna särreglerna för underrättelseverksamheten i detta avseende är att 128

det preciserade kravet när det gäller särskilda upplysningar om personer som inte är misstänkta gäller istället för det mer generellt hållna kravet på åtskillnad mellan olika kategorier av registrerade. Det väcker frågan hur man ska se på det förhållandet att begreppet misstänkt används i registerförfattningarna även om personer vilkas uppgifter behandlas i underrättelseverksamhet, trots att regelverket i övrigt förutsätter att ett konkret brott har begåtts för att någon ska kunna betecknas som misstänkt. Misstänkt används i detta sammanhang för att skilja ut personer som kan ha direkt samband med den brottsliga verksamheten från andra (se t.ex. 3 kap. 4 § polisdatalagen och 3 kap. 4 § tullbrottsdatalagen). Användningen av begreppet misstänkt kritiserades av Lagrådet när polisdatalagen infördes. Regeringen valde att behålla det under hänvisning till tidigare lagstiftning på området (se prop. 2009/10:85 s. 150 och 522). Uttrycket är så inarbetat att det inte heller bör ändras nu. Säkerhets- och integritetsskyddsnämnden menar att det bör förtydligas om kravet på särskilda upplysningar avseende personer som inte är misstänkta för att ha utövat eller kommer att utöva brottslig verksamhet tar sikte på personer som över huvud taget inte är misstänkta för någon brottslighet eller personer som inte är misstänkta för den brottsliga verksamhet som undersöks. Kravet på särskild upplysning avseende personer som inte är misstänkta tar sikte på personer som inte är misstänkta för den brottsliga verksamhet som undersöks. Den alternativa tolkning som Säkerhets- och integritetsskyddsnämnden tar upp skulle enligt regeringens mening leda till att det eftersträvade integritetsskyddet inte får avsedd effekt. Exempelvis bör uppgifter om en person som är misstänkt för ett trafikbrott i många fall kunna förses med särskild upplysning om att han eller hon inte är misstänkt då uppgifterna behandlas för ändamålet att förebygga, förhindra eller upptäcka sexualbrott.

Särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak När det gäller bestämmelsen i 2 kap. 10 § brottsdatalagen, som föreskriver att fakta ska skiljas från personliga bedömningar och att det ska anges genom en särskild upplysning om det inte framgår på annat sätt, kan det ifrågasättas om det går att dra en parallell med de bestämmelser som i dag finns i registerförfattningarna. Det är framför allt beträffande uppgifter som behandlas i underrättelseverksamhet som det enligt 3 kap. 4 § polisdatalagen, 4 kap. 3 § kustbevakningsdatalagen, 3 kap. 4 § tullbrottsdatalagen och 3 kap. 4 § skattebrottsdatalagen krävs särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Ovan nämnda bestämmelser preciserar vilka upplysningar som krävs i fråga om personuppgifter som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. En förundersökning rör ett konkret brott och det framgår då som regel direkt av sammanhanget varför det har ansetts finnas fog för att behandla uppgifter, t.ex. av förhörsprotokoll eller vittneslistor. Risken för missuppfattningar inom ramen för handläggningen av en sådan utredning är därför liten (se prop. 2009/10:85, s. 151). När det gäller uppgifter som behandlas i underrättelsesyfte är det 129

särskilt angeläget av integritetsskyddskäl att det går att utläsa om den som har lämnat uppgifterna kan anses vara tillförlitlig samt graden av riktighet i sak. Det är t.ex. viktigt att veta om informationen består av kontrollerade fakta eller endast icke styrkta påståenden. De bestämmelser i registerförfattningarna som föreskriver att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet ställer upp mer preciserade krav än bestämmelsen i 2 kap. 10 § brottsdatalagen och bör därför behållas. Säkerhets- och integritetsskyddsnämnden efterfrågar ett förtydligande av om bestämmelserna är avsedda att utgöra ett komplement till eller avvikelse från kraven i brottsdatalagen. Konsekvensen av de föreslagna särreglerna för underrättelseverksamheten är att det mer preciserade kravet när det gäller särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak gäller istället för det allmänna kravet att fakta ska skiljas från bedömningar i 2 kap. 10 § brottsdatalagen. Kravet på upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak bör endast avse uppgifter om den som antas utöva eller komma att utöva den brottsliga verksamheten. Eftersom det krav som gäller för anknytningen till den brottsliga verksamheten således är mycket lågt ställt träffar regleringen en relativt vid personkrets. Så snart det finns något som stöder ett antagande om att en person har direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga bör således uppgifterna om personen förses med en särskild upplysning. Det är vidare endast sådana uppgifter som belyser på vilket sätt personen är knuten till brottsligheten som bör förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det kan, förutom anknytningen till den brottsliga verksamheten, t.ex. röra sig om uppgifter om brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas. På samma sätt som i dag bör det göras undantag från kravet på särskild upplysning om det inte finns något behov av en sådan, därför att det framgår av sammanhanget vem som är uppgiftslämnare och hur trovärdig uppgiften är eller det av annat skäl är onödigt med en sådan upplysning. Om det t.ex. är fråga om uppgifter som hämtas från förundersökningar eller domar är en särskild upplysning som regel onödig om källan framgår. Enligt förarbetena till polisdatalagen anses det vara onödigt att bedöma trovärdigheten om uppgiftslämnaren är en polisman. Detsamma bör gälla andra tjänstemän med brottsbekämpande uppgifter. Däremot kan det även i ett sådant fall behövas en upplysning om uppgiftens riktighet i sak, eftersom förutsättningarna för att göra en viss iakttagelse kan behöva belysas (se prop. 2009/10:85 s. 341). Den nuvarande formuleringen av bestämmelserna innebär att det krävs särskild upplysning om det inte på grund av särskilda omständigheter är onödigt. Det har framkommit att det anses vara oklart vilka särskilda omständigheter som kan föranleda avsteg från huvudregeln och att detta har lett till en omotiverat restriktiv tillämpning. Regleringen bör därför ändras så att det ställs krav på särskilda upplysningar om det inte på 130 grund av omständigheterna är onödigt. Med en sådan formulering undvi-

ker man den osäkerhet som kan finnas om vilken typ av omständigheter som kan göra behovet av särskilda upplysningar överflödigt. Om de samlade omständigheterna gör att trovärdigheten och riktigheten kan bedömas bör det vara tillräckligt.

5.3.12 Generella bestämmelser om längsta tid för behandling av personuppgifter

Regeringens förslag: Generella bestämmelser i registerförfattningarna om att personuppgifter inte får bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i respektive författning ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I 7 § lagen om behandling av personuppgifter inom kriminalvården, 2 kap. 12 § polisdatalagen, 3 kap. 4 § kustbevakningsdatalagen, 2 kap. 10 § åklagardatalagen, 4 kap. 1 § tullbrottsdatalagen och 4 kap. 1 § skattebrottsdatalagen föreskrivs att personuppgifter inte får bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i respektive lag. Generella bestämmelser om att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen bör upphävas, eftersom det finns en motsvarande reglering i brottsdatalagen. Bestämmelserna om längsta tid för behandling behandlas vidare i avsnitt 5.5.

5.3.13 Hänvisningar till offentlighets- och sekretesslagen

Regeringens förslag: Hänvisningar i registerförfattningarna till att det finns bestämmelser om utlämnande i offentlighets- och sekretesslagen ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Umeå universitet, juridiska institutionen, ansluter sig till bedömningen att hänvisningarna bör upphävas. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 2 kap. 19 § andra stycket och 5 kap. 9 § andra stycket polisdatalagen, 3 kap. 8 § andra stycket kustbevakningsdatalagen, 2 kap. 15 § andra stycket åklagardatalagen, 2 kap. 14 § andra stycket tullbrottsdatalagen och 2 kap. 13 § andra stycket skattebrottsdatalagen, som alla reglerar viss föreskriftsrätt, finns det hänvisningar till regleringen om utlämnande i offentlighets- och sekretesslagen. Bestämmelserna erinrar om att det även i offentlighets- och sekretesslagen finns bestämmelser om utlämnande. Syftet med bestämmelserna är enbart att klargöra att det i den lagen finns bestämmelser om utlämnande. 131

Eftersom det finns bestämmelser om utlämnande också i andra författningar, exempelvis i tryckfrihetsförordningen, och hänvisningen är så generellt utformad fyller bestämmelserna i registerförfattningarna inte någon funktion. Bestämmelserna innehåller inte heller någon materiell reglering. De bör därför upphävas.

5.4 Behov av nya bestämmelser och anpassningar

5.4.1 Uppgifter om juridiska personer

Regeringens förslag: Bestämmelser i registerförfattningarna som rör behandling av uppgifter om juridiska personer ska behållas. Hänvisningar ska också göras till de bestämmelser i brottsdatalagen som motsvarar dem som i dag finns i registerförfattningarna och som är tillämpliga vid behandling av uppgifter om juridiska personer.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 1 kap. 6 § polisdatalagen, 1 kap. 3 § kustbevakningsdatalagen, 1 kap. 4 § åklagardatalagen, 1 kap. 4 § tullbrottsdatalagen och 1 kap. 4 § skattebrottsdatalagen föreskrivs att vissa bestämmelser i författningarna även ska tillämpas på uppgifter om juridiska personer. Direktivet gäller enbart till skydd för fysiska personer och tillämpningsområdet för brottsdatalagen har utformats med det som grund. Bestämmelserna i registerförfattningarna om att de i vissa delar ska tillämpas på uppgifter om juridiska personer behöver inte tas bort med anledning av dataskyddsreformen. Det är visserligen allmänt sett inte lika angeläget att skydda uppgifter om juridiska personer som uppgifter om fysiska personer. Eftersom uppgifter om juridiska personer i många fall samtidigt är indirekta personuppgifter kan behovet av särskilda skyddsregler för uppgifter om juridiska personer diskuteras. I de fall där man tidigare har ansett att det finns goda skäl att ge visst skydd även för uppgifter om juridiska personer finns det emellertid inte skäl att ta bort det skyddet. Bestämmelser om skydd för uppgifter om juridiska personer bör därför behållas. Frågan är då om bestämmelserna enbart bör ta sikte på frågor som regleras i respektive registerförfattning, trots att vissa frågor som i dag regleras i registerförfattningarna och som ska tillämpas även på uppgifter om juridiska personer regleras i brottsdatalagen. Mot bakgrund av förslaget om att behålla dagens reglering bör en hänvisning göras till de bestämmelser i brottsdatalagen som motsvarar dem som i dag finns i registerförfattningarna och som är tillämpliga vid behandling av uppgifter om juridiska personer.

5.4.2 Administrativa sanktionsavgifter

Regeringens förslag: En sanktionsavgift ska få tas ut av den personuppgiftsansvarige vid överträdelse av vissa bestämmelser i registerförfattningarna. Det gäller överträdelse av bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter, om särskilda upplysningar och om längsta tid för behandling av personuppgifter. Sanktionsavgiften ska vara högst 10 000 000 kronor.

Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att sanktionsavgiften bör vara minst 50 000 kr och högst 20 000 000 kr. Remissinstanserna: Polismyndigheten ifrågasätter att överträdelser av bestämmelser om särskilda upplysningar och längsta tid för behandling av personuppgifter, särskilt inom ramen för sådan komplex verksamhet som brottsbekämpning, ska kunna föranleda sanktionsavgift eftersom det i dessa fall är fråga om tillämpning av bestämmelser som kräver bedömningar. Datainspektionen tillstyrker att det ska vara möjligt att utdöma sanktionsavgifter vid överträdelse av registerförfattningarna. Försvarets radioanstalt ifrågasätter om det är lämpligt att sanktionsavgifter ska kunna tas ut av myndigheter eftersom tjänstemannaansvar kan utkrävas, det finns möjlighet att utkräva skadestånd vid överträdelser av t.ex. den föreslagna brottsdatalagen och eftersom regeringen också har möjlighet att ställa krav på myndigheter för att komma till rätta med överträdelser. Sala kommun har anfört att beloppet synes vara väl högt och kan bli betungande för en liten myndighet. Sveriges advokatsamfund ställer sig tveksam till att ett sanktionssystem som består av sanktionsavgifter i kombination med skadestånd är det mest effektiva sättet att se till att den nya lagregleringen följs. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Vilka överträdelser ska kunna leda till sanktionsavgift? Bestämmelser om möjlighet att ta ut administrativa sanktionsavgifter vid överträdelser av bestämmelser i brottsdatalagen har tagits in i 6 kap. den lagen. Sanktionsavgift kan enligt brottsdatalagen tas ut vid överträdelse av bestämmelser i den lagen. Sanktionsavgifter har bedömts kunna säkerställa efterlevnaden av bestämmelser i brottsdatalagen på nödvändigt sätt och har ansetts vara den lämpligaste reaktionen på överträdelser av regleringen även för myndigheternas del (se lagrådsremissen Brottsdatalag, avsnitt 12.2.2). Vissa bestämmelser i brottsdatalagen har visserligen ansetts vara av sådan art att någon sanktionsavgift inte bör komma i fråga vid överträdelser av dem, men det har inte ansetts motiverat att generellt undanta överträdelser av alla sådana bestämmelser som i någon mån kräver eller ger utrymme för olika bedömningar. Det finns inte skäl att välja någon annan lösning i fråga om sanktioner vid överträdelser av bestämmelser i registerförfattningarna än den som har valts för överträdelser av bestämmelserna i brottsdatalagen. De synpunkter som har lämnats av Polismyndigheten , Försvarets radioanstalt, 133

Sveriges advokatsamfund och Sala kommun i fråga om sanktionsavgifter föranleder inte någon annan bedömning. Om en bestämmelse i en registerförfattning ersätter, preciserar eller på annat sätt kompletterar en bestämmelse i brottsdatalagen som kan föranleda sanktionsavgift, bör alltså även överträdelse av bestämmelsen i registerförfattningen kunna föranleda sanktionsavgift. Med dessa utgångspunkter ska överträdelse av bestämmelser i de brottsbekämpande myndigheternas och kriminalvårdens registerförfattningar om tillåtna rättsliga grunder för behandling av personuppgifter och om längsta tid för behandling av personuppgifter kunna föranleda sanktionsavgift. Detsamma ska gälla bestämmelser om särskilda upplysningar. Det bör i respektive registerförfattning anges vilka överträdelser som kan föranleda sanktionsavgift.

Ska en sanktionsavgift kunna tas ut även vid behandling av uppgifter om juridiska personer? Sanktionsavgift är främst tänkt att utgöra en reaktion på sådan otillåten behandling av personuppgifter som riskerar att kränka den personliga integriteten, vilket talar för att inskränka tillämpningen till uppgifter om fysiska personer. Eftersom direktivet enbart skyddar uppgifter om fysiska personer och bestämmelserna om sanktionsavgift har införts som en konsekvens av kravet på sanktioner i direktivet finns det inte skäl att utsträcka möjligheten att ta ut sanktionsavgift till överträdelser som gäller behandling av uppgifter om juridiska personer. Omfattar behandlingen även uppgifter om fysiska personer kan sanktionsavgift tas ut för den överträdelsen om förutsättningarna för det är uppfyllda.

Hur hög bör sanktionsavgiften vara? Enligt 6 kap. 3 § första och andra styckena brottsdatalagen ska sanktionsavgift tas ut med ett lägre belopp vid mindre allvarliga överträdelser och med ett högre belopp vid allvarligare överträdelser. Det framgår av paragrafen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelse av brottsdatalagens bestämmelser om tillåtna rättsliga grunder för behandling, särskilda upplysningar och längsta tid för behandling av personuppgifter är enligt paragrafen allvarliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i registerförfattningarna. Det finns inte anledning att i registerförfattningarna avvika från de belopp som fastställs i brottsdatalagen. En bestämmelse som anger det högsta belopp som kan komma i fråga bör finnas i var och en av registerförfattningarna.

Vem ska betala sanktionsavgift? Den som är personuppgiftsansvarig ansvarar även för den behandling som ett personuppgiftsbiträde utför. En sanktionsavgift ska bara kunna tas ut av ett personuppgiftsbiträde i de fall där biträdet brutit mot uttryckliga skyldigheter enligt brottsdatalagen. Eftersom registerförfattningarna inte innehåller några sådana skyldigheter för personuppgiftsbiträden bör sanktionsavgift för överträdelser av bestämmelser i registerförfattningarna endast kunna tas ut av personuppgiftsansvariga. Om ett personupp- 134 giftsbiträde i strid med brottsdatalagen har bestämt ändamålen med och

medlen för behandlingen är biträdet att anse som personuppgiftsansvarig för den behandlingen och sanktionsavgift kan då tas ut i samma utsträckning som av en personuppgiftsansvarig (se 3 kap. 19 § andra stycket brottsdatalagen). Det kommer då att gälla även vid överträdelse av bestämmelser i en registerförfattning.

Brottsdatalagens handläggningsbestämmelser gäller I brottsdatalagen finns det bestämmelser i 6 kap. 3 § tredje stycket, 4 och 5 §§ om hur sanktionsavgiften ska bestämmas och i 6 kap. 6 och 7 §§ om vad som gäller i fråga om beslut om sanktionsavgift. Att registerförfattningarna föreslås gälla utöver brottsdatalagen innebär att de handläggnings- och verkställighetsregler som finns i brottsdatalagen även gäller i de fall där sanktionsavgift tas ut för överträdelser av bestämmelser i registerförfattningarna. Några bestämmelser om handläggningen behövs därför inte i registerförfattningarna.

5.4.3 Skadestånd

Regeringens förslag: I registerförfattningarna ska det anges att bestämmelsen om skadestånd i brottsdatalagen ska tillämpas när personuppgifter behandlas i strid med registerförfattningarna eller föreskrifter som har meddelats i anslutning till dem.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker att rätten till skadestånd i brottsdatalagen även ska tillämpas på motsvarande sätt när personuppgifter behandlas i strid med registerförfattningarna. Sveriges advokatsamfund ställer sig tveksam till att ett sanktionssystem som består av sanktionsavgifter i kombination med skadestånd är det mest effektiva sättet att se till att den nya lagregleringen följs. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som personuppgiftsbehandling i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. I registerförfattningarna finns det inte några bestämmelser om skadestånd. I stället hänvisas det i 2 kap. 2 § första stycket 12 polisdatalagen, 2 kap. 2 § första stycket 12 kustbevakningsdatalagen, 2 kap. 2 § första stycket 12 åklagardatalagen, 2 kap. 2 § första stycket 12 tullbrottsdatalagen och 2 kap. 2 § första stycket 12 skattebrottsdatalagen till 48 § personuppgiftslagen när det gäller skadestånd. Enligt 8 § lagen om behandling av personuppgifter inom kriminalvården gäller personuppgiftslagens bestämmelser om skadestånd vid behandling av personuppgifter enligt den lagen eller föreskrifter som har meddelats i anslutning till den. Rätten till skadestånd vid skada och kränkning bör vara densamma när personuppgifter behandlas i strid med bestämmelser i registerförfattningarna som vid behandling i strid med brottsdatalagen. Det finns inte skäl att välja någon annan lösning vid överträdelser av bestämmelser i regis- 135

terförfattningarna än den som har valts i brottsdatalagen. Det bör framgå genom att det i registerförfattningarna föreskrivs att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med registerförfattningarna eller föreskrifter som har meddelats i anslutning till dem. Den synpunkt som har lämnats av Sveriges advokatsamfund bör därför inte föranleda någon åtgärd.

5.4.4 Överklagande

Regeringens förslag: Det ska finnas hänvisningar i registerförfattningarna till bestämmelser om överklagande i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Brottsdatalagen innehåller generella bestämmelser om överklagande. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering, radering eller begränsning av behandlingen av personuppgifter, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge omprövning av ett automatiserat beslut. Enligt 7 kap. 3 § får tillsynsmyndighetens beslut enligt lagen överklagas till allmän förvaltningsdomstol. I 7 kap. 4 § föreskrivs att andra beslut enligt lagen än de nu nämnda inte får överklagas I 2 kap. 2 § första stycket 13 polisdatalagen, 2 kap. 2 § första stycket 13 kustbevakningsdatalagen, 2 kap. 2 § första stycket 13 åklagardatalagen, 2 kap. 2 § första stycket 13 tullbrottsdatalagen och 2 kap. 2 § första stycket 13 skattebrottsdatalagen hänvisas det till överklagandereglerna i 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen. I 51 § första stycket regleras rätten att överklaga tillsynsmyndighetens beslut om annat än föreskrifter. Enligt 52 § första stycket får en myndighets beslut i fråga om information efter ansökan, om rättelse och underrättelse till tredje man, om information vid automatiserade beslut och om upplysningar till allmänheten om personuppgiftsbehandlingar som inte har anmälts till tillsynsmyndigheten överklagas. Enligt 53 § personuppgiftslagen får andra beslut inte överklagas. I 12–16 §§ lagen om behandling av personuppgifter inom kriminalvården finns det särskilda överklagandebestämmelser. I brottsdatalagen anges uttömmande vilka beslut av behöriga myndigheter som får överklagas. Rätten att överklaga omfattar enbart sådana beslut som en myndighet har fattat i egenskap av personuppgiftsansvarig och som berör den enskilde och går honom eller henne emot. Några andra beslut av en behörig myndighet får inte överklagas. Myndigheterna kommer att fatta beslut om exempelvis rättelse, radering eller begränsning av behandlingen med stöd av brottsdatalagen. Det blir alltså inte aktuellt att med stöd av någon av registerförfattningarna fatta sådana beslut som rör enskilda som de bör ha rätt att överklaga. I enlighet med regeringens ställningstagande i avsnitt 5.4.2 bör det i respektive register- 136

författning anges vilka överträdelser som kan föranleda sanktionsavgift. Tillsynsmyndigheten beslutar om sanktionsavgift med stöd av 5 kap. 7 § och 6 kap. 6 § brottsdatalagen även när det gäller överträdelser av bestämmelserna i registerförfattningarna. Tillsynsmyndighetens beslut om sanktionsavgifter vid dessa överträdelser får därför överklagas enligt brottsdatalagen och någon särskild reglering avseende rätten att överklaga sådana beslut behövs således inte. Mot bakgrund av vad som anförts ovan finns det alltså inte skäl att särskilt reglera frågan om överklagande i registerförfattningarna. Det bör däremot framgå av registerförfattningarna att överklagande regleras i brottsdatalagen.

5.4.5 Uppgifter till rättsstatistiken

Regeringens förslag: Bestämmelser i registerförfattningarna om överlämnande av personuppgifter för att framställa rättsstatistik ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 9 § lagen om behandling av personuppgifter inom kriminalvården, 2 kap. 14 § polisdatalagen, 2 kap. 12 § åklagardatalagen, 2 kap. 15 § tullbrottsdatalagen och 2 kap. 14 § skattebrottsdatalagen föreskrivs att personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. En bestämmelse av motsvarande betydelse finns i 2 kap. 21 § brottsdatalagen. Bestämmelserna i registerförfattningarna bör därmed upphävas. Kustbevakningen har idag ingen sådan uppgiftsskyldighet som gäller för ovan uppräknade myndigheter. Det finns emellertid inte skäl att undanta myndigheten från tillämpningsområdet av 2 kap. 21 § brottsdatalagen. Kustbevakningen får alltså nu motsvarande uppgiftsskyldighet som övriga brottsbekämpande myndigheter och kriminalvården.

5.4.6 Terminologin anpassas

Regeringens förslag: Terminologin i registerförfattningarna ska anpassas till brottsdatalagen och i viss utsträckning till dataskyddsförordningen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Uttrycket brottsbekämpning Uttrycket brottsbekämpande verksamhet bör utmönstras ur registerförfattningarna, se vidare avsnitt 4.4. I stället bör som i brottsdatalagen utgångspunkten vara att personuppgifter behandlas i syfte att förebygga, 137

förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Brottsbekämpande verksamhet anses i dag omfatta både att förebygga, förhindra och upptäcka brottslig verksamhet och att utreda och beivra brott. I brottsdatalagen görs dock, i linje med hur direktivet är utformat, skillnad mellan brottsbekämpning och lagföring. Uppgiften att beivra brott hänförs till lagföring. Uttrycket brottsbekämpning kommer därmed att ha en snävare innebörd än i dag. Det blir emellertid ingen saklig skillnad för de myndigheter som har till uppgift att både utreda och beivra brott, eftersom både brottsbekämpning och lagföring omfattas av registerförfattningens tillämpningsområde. För Skatteverket, som i motsats till övriga myndigheter inte har några lagförande uppgifter, innebär det inte heller någon ändring i sak att terminologin ändras på detta sätt.

Uttrycket ”beivra brott” Brottsdatalagen gäller för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Uttrycket lagföra brott används i brottsdatalagen i stället för beivra brott. I flera av registerförfattningarna används i dag uttrycket beivra brott. Det förekommer bl.a. i 2 kap. 7 § polisdatalagen, 3 kap. 2 § kustbevakningsdatalagen, 2 kap. 5 § åklagardatalagen och 2 kap. 5 § tullbrottsdatalagen. Registerförfattningarna bör anpassas så att terminologin stämmer överens med hur tillämpningsområdet anges i 1 kap. 2 § brottsdatalagen. Det innebär att uttrycket beivra brott bör ersättas av lagföra brott i registerförfattningarna.

5.5 Särskilt om längsta tid för behandling av personuppgifter

5.5.1 Regleringen samlas

Regeringens bedömning: Bestämmelserna om bevarande och gallring i registerförfattningarna bör formuleras om så att det tydligare framgår att det är fråga om dataskyddsbestämmelser. Regeringens förslag: Regler om hur länge uppgifter får behandlas ska som huvudregel samlas i särskilda kapitel i registerförfattningarna.

Utredningens bedömning och förslag överensstämmer med regeringens. Remissinstanserna: Kammarrätten i Stockholm påpekar att de olika tidsfristerna för hur länge personuppgifter får behandlas är mycket svåröverskådliga och att det skulle vara bra om det gick att hitta ett mer enhetligt system. Polismyndigheten, Datainspektionen och Riksarkivet ser positivt på att terminologin på området renodlas så att begreppen bevarande och gallring endast används i arkivlagens (1990:782) mening. Polismyndigheten och Datainspektionen tillstyrker vidare förslaget att 138

reglerna samlas i särskilda kapitel i registerförfattningarna. Riksarkivet välkomnar att det slås fast att regleringen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringen bedömning och förslag

Olika typer av bestämmelser I registerförfattningarna finns bestämmelser om bevarande och gallring av personuppgifter. Regleringen gäller enbart personuppgifter som behandlas automatiserat. Den styr således inte hur länge uppgifter som behandlas på papper får bevaras, varken i den brottsbekämpande verksamheten eller för arkivändamål. När det i detta avsnitt talas om hur länge personuppgifter får behandlas eller i vilken utsträckning behandling för arkivändamål är tillåten avses enbart automatiserad behandling. Enligt de brottsbekämpande myndigheternas registerförfattningar gäller som huvudregel att personuppgifter inte får behandlas under längre tid än vad som behövs för något av de ändamål som omfattas av respektive lags tillämpningsområde. I enlighet med regeringens ställningstagande i avsnitt 5.3.12 bör dessa bestämmelser upphävas eftersom motsvarande reglering finns i brottsdatalagen. Därutöver finns det två olika typer av bestämmelser om bevarande och gallring av personuppgifter. Tullbrottsdatalagen kan tas som exempel, men motsvarande bestämmelser finns i de övriga brottsbekämpande myndigheternas registerförfattningar. Den ena typen är bestämmelser om gallring (se 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen) som gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personuppgifterna inte får behandlas automatiserat efter vissa i lagen angivna tidsfrister. De får alltså inte heller som utgångspunkt arkiveras digitalt ( jfr prop. 2016/17:91 s. 218). Det följer av att det i 2 kap. 2 § andra stycket tullbrottsdatalagen görs undantag från 8 § andra stycket personuppgiftslagen, som föreskriver att arkivlagstiftningen har företräde framför personuppgiftslagstiftningen. Behandling för arkivändamål är dock tillåten om det med stöd av 4 kap. 2 § 2 har meddelats föreskrifter om att personuppgifterna får bevaras för historiska, statistiska eller vetenskapliga ändamål. Sådana föreskrifter får enligt 17 § tullbrottsdataförordningen (2017:450) meddelas av Riksarkivet. Den andra typen av bestämmelser begränsar möjligheten att behandla personuppgifter som har gjorts gemensamt tillgängliga och som rör ärenden om utredning av eller lagföring för brott (se 4 kap. 6 och 7 §§ tullbrottsdatalagen och se vidare avsnitt 5.5.3). De reglerar hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten men hindrar inte, till skillnad från bestämmelserna om gallring, att handlingar arkiveras digitalt enligt arkivlagens (1990:782) bestämmelser. När behandling inte längre är tillåten för brottsbekämpande ändamål kan bevarande således ske för arkivändamål utan att det krävs särskilda föreskrifter om det. I 4 kap. 2 § 1 och 3 tullbrottsdatalagen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om digital arkivering och om att vissa kategorier av personuppgifter får be- 139

handlas i den brottsbekämpande verksamheten under längre tid än vad som annars är föreskrivet. Sådana föreskrifter finns i 11–14 §§ tullbrottsdataförordningen. Av 11 § framgår att personuppgifter som arkiveras digitalt ska avskiljas från den brottsbekämpande verksamheten och att åtkomst till uppgifterna ska begränsas på visst sätt.

Bestämmelserna om bevarande och gallring är dataskyddsbestämmelser Utgångspunkten i det arkivrättsliga regelverket är att uppgifter ska bevaras, medan presumtionen i regelverk som skyddar personuppgifter är den omvända. Gallring enligt det arkivrättsliga regelverket syftar till att begränsa arkivens omfattning bland annat för att därmed öka deras tillgänglighet, medan gallring enligt registerförfattningarna syftar till att skydda enskildas personliga integritet (se exempelvis prop. 2009/10:85 s. 207 f. och prop. 2016/17:91 s. 169). Orden bevarande och gallring bör enbart användas i den betydelse de har i arkivlagstiftningen, för att så långt som möjligt skilja mellan arkivrättsliga regler och regler om dataskydd. När syftet med bestämmelserna som i detta fall är att skydda den personliga integriteten bör regleringen därför i stället ange den yttersta gränsen för hur länge personuppgifterna får behandlas. Det gäller både de nuvarande gallringsbestämmelserna och bestämmelserna som begränsar möjligheten att behandla personuppgifter i den brottsbekämpande verksamheten. Bestämmelserna bör därför formuleras om så att de genomgående anger den längsta tid uppgifterna får behandlas. Avsikten är dock inte att den ändrade terminologin ska föranleda några ändringar i sak. Regeringens vidare överväganden gällande de nuvarande gallringsbestämmelserna och de bestämmelser om föreskriftsrätt som finns i anslutning till dessa behandlas nedan i avsnitt 5.5.2. Övervägandena gällande de nuvarande bestämmelserna om bevarande av uppgifter i ärenden om utredning eller beivrande av brott och om föreskriftsrätt i anslutning till dessa finns i avsnitt 5.5.

En samlad reglering I tullbrottsdatalagen och skattebrottsdatalagen har bestämmelserna om bevarande och gallring samlats i ett särskilt kapitel. Den lösningen ger tillämparen en bättre överblick över hur länge personuppgifter får behandlas enligt lagen och bör så långt möjligt väljas i de övriga registerförfattningarna. I de fall där behandling av personuppgifter i särskilda register eller viss specifik verksamhet regleras särskilt bör dock bestämmelser som reglerar hur länge personuppgifter får behandlas i registret eller verksamheten hållas samman med regleringen i övrigt. Som Kammarrätten i Stockholm anser kan regleringen om hur länge personuppgifter får behandlas framstå som svåröverskådlig. Regleringen måste delas upp i flera olika bestämmelser, eftersom att det inte är lämpligt att låta samma tidsfrist gälla för all personuppgiftsbehandling. Med dessa förutsättningar är det svårt att skapa en reglering som är överskådlig och lättillgänglig. Genom att i stor utsträckning samla regleringen i varje registerförfattning och välja samma lagtekniska lösning för samtliga berörda registerförfattningar skapas dock enhetlighet i den utsträckning som det är möjligt. 140

5.5.2 Bestämmelser som innebär att behandling inte längre får ske för något ändamål

Regeringens förslag: De bestämmelser som i dag reglerar gallring ska behållas men formuleras om så att de i stället anger den längsta tid som personuppgifterna får behandlas. Det ska även fortsättningsvis finnas bestämmelser om föreskriftsrätt avseende behandling av personuppgifter för vetenskapliga, statistiska eller historiska ändamål. Bestämmelserna ska formuleras om så det framgår att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten anser att det, när begreppet gallring tas bort, är oklart om uttrycket längsta tid för behandling ändå ska tolkas som avvikande bestämmelser om gallring i arkivlagens mening. Den fråga som då inställer sig enligt myndigheten är om uppgifterna ska gallras med stöd av polisens brottsdatalag eller om gallringsföreskrifter från Riksarkivet behövs. Polismyndigheten anför vidare att det framstår som mer ändamålsenligt att i brottsdatalagen och polisens brottsdatalag – om ambitionen är att dessa lagar ska vara renodlade dataskyddslagar – endast reglera hur länge personuppgifterna får behandlas för syften inom lagens tillämpningsområde. Polismyndigheten vill i sammanhanget också framhålla att arkivering av handlingar från brottsbekämpande verksamhet på papper inte längre är ett möjligt alternativ utifrån den omfattande och komplicerade arkivbildning som myndigheten hanterar. Polismyndigheten anser att det utifrån ett rättssäkerhets- och handlingsoffentlighetsperspektiv inte är ändamålsenligt att ange pappersarkivering som ett alternativ för behandling för arkivändamål. Riksarkivet har framfört att det i fråga om lämplig skyddsåtgärd för att skydda den enskildes integritet vid arkivering inte alltid är säkrare med arkivering på papper än elektronisk sådan. Riksarkivet bedömer också att integritetskänsliga personuppgifter som huvudregel inte bör gallras och att sådana uppgifter i stället bör skyddas genom bestämmelser om sekretess och informationssäker behandling av uppgifterna. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Gallringsbestämmelserna ska finnas kvar men formuleras om Behandling av personuppgifter för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde (se lagrådsremissen Brottsdatalag, avsnitt 8.2.2). Det kan mot den bakgrunden ifrågasättas om bestämmelser om gallring bör finnas i registerförfattningar som reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Som nyss konstaterats är syftet med gallringsbestämmelserna att skydda enskildas personliga integritet genom att det föreskrivs när den automatiserade behandlingen av personuppgifter ska upphöra. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elektroniskt, anses detta skydd ha tillgodosetts (se t.ex. prop. 2016/17:91, s. 171). Bestämmelserna reglerar således inte fullt ut i vilken utsträck- 141

ning det är tillåtet att behandla personuppgifterna för arkivändamål, utan styr endast i vilken form det får göras genom att ange att automatiserad behandling för arkivändamål inte är tillåten. De hindrar alltså inte arkivering på papper. Om det inte längre skulle finns några bestämmelser i registerförfattningarna som föreskriver när den automatiserade behandlingen av personuppgifter ska upphöra, skulle arkivlagens huvudregel om bevarande behöva tillämpas om uppgifterna finns i allmänna handlingar. En del av dagens integritetsskydd går då förlorat. Bestämmelser som reglerar hur länge personuppgifter får behandlas automatiserat och vara digitalt tillgängliga är därför även fortsatt nödvändiga för att tillgodose skyddet för enskildas personliga integritet. Sådana bestämmelser bör därför även fortsättningsvis finnas i registerförfattningarna. I enlighet med regeringens bedömning i föregående avsnitt bör bestämmelserna om gallring emellertid formuleras om så att det framgår att de är dataskyddsbestämmelser. De bör utgå från hur länge personuppgifterna får behandlas automatiserat. Det gäller 7 § första stycket lagen om behandling av personuppgifter inom kriminalvården och de gallringsbestämmelser som finns i tillhörande förordning, 2 kap. 13 §, 3 kap. 14 §, 4 kap. 7, 14, 15, 20 och 22 §§ polisdatalagen, 3 kap. 5 § och 4 kap. 13 § kustbevakningsdatalagen, 2 kap. 10 § tredje stycket åklagardatalagen, 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen och 4 kap. 3 och 8 §§ skattebrottsdatalagen. Någon ändring av hur länge personuppgifterna får behandlas bör som huvudregel inte göras. Polismyndigheten anser att det är oklart om uttrycket längsta tid för behandling ska tolkas som sådana avvikande bestämmelser om gallring som avses i 10 § arkivlagen. Myndighetens synpunkt rör de uppgifter som är undantagna från bestämmelsen i 2 kap. 17 § andra stycket brottsdatalagen, dvs. de uppgifter som omfattas av de nuvarande bestämmelserna om gallring. Riksarkivet har definierat gallring som förstöring av allmänna handlingar eller förstöring av uppgifter i allmänna handlingar. Det är också fråga om gallring när andra åtgärder vidtas med allmänna handlingar som medför förlust av t.ex. betydelsebärande data eller sökmöjligheter. När det gäller gallring av elektroniska upptagningar avses normalt att viss information raderas från databäraren (se exempelvis RA-FS 2009:1 och betänkandet Myndighetsdatalag, SOU 2015:39, s. 526). Reglerna om längsta tid för behandling innebär att man inte längre får behandla uppgifterna automatiserat för något ändamål. De får därmed samma verkan som en åtgärd för gallring av elektroniska upptagningar. Att behandlingen av personuppgifterna upphör får därmed i praktiken till följd att det inte kan bli aktuellt för Riksarkivet att meddela gallringsföreskrifter avseende automatiserad behandling av samma uppgifter.

Det ska även i fortsättningen vara tydligt att arkivlagstiftning inte har företräde Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar enligt andra stycket inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- 142

material lämnas till en arkivmyndighet. Av registerförfattningarna följer att arkivlagstiftningen inte har företräde när gallringsbestämmelser är tillämpliga (se t.ex. 2 kap. 2 § andra stycket polisdatalagen). Syftet med regleringen är som nyss nämnts att förtydliga att personuppgifter i dessa fall inte får behandlas automatiserat för arkivändamål, det vill säga att uppgifterna inte får arkiveras digitalt. Uppgifterna får dock behandlas för arkivändamål om de överförs till pappersform. För att tydliggöra att ingen förändring i det avseendet är avsedd, trots den ändrade terminologin, bör det i registerförfattningarna göras undantag från 2 kap. 17 § andra stycket brottsdatalagen i ovan nämnda paragrafer. Såväl Polismyndigheten som Riksarkivet framför synpunkter gällande arkivering på papper och framhållit fördelarna med elektronisk sådan. Riksarkivet bedömer vidare att integritetskänsliga personuppgifter som huvudregel inte borde gallras. Med anledning av dessa synpunkter finns det skäl att framhålla att syftet med förslaget i denna del inte har varit att åstadkomma någon förändring i sak utan främst att göra vissa förtydliganden avseende skillnaden mellan regler om dataskydd och arkivrättsliga regler. Det pågår en bred översyn av den arkivrättsliga regleringen (dir. 2017:106). Något utrymme att se över förutsättningarna för digital arkivering finns inte inom ramen för detta lagstiftningsärende. Det finns dock anledning att peka på att registerförfattningarna även fortsättningsvis föreslås innehålla bestämmelser om föreskriftsrätt som ger utrymme för digital arkivering (se vidare avsnittet nedan).

Bestämmelser om föreskriftsrätten avseende behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål ska finnas kvar I flertalet av registerförfattningarna upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Sådana bestämmelser finns bl.a. i 2 kap. 13 § tredje stycket polisdatalagen, 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket kustbevakningsdatalagen, 2 kap. 11 § 2 åklagardatalagen, 4 kap. 2 § 2 tullbrottsdatalagen och 4 kap. 2 § 2 skattebrottsdatalagen (se vidare exempelvis 17 § tullbrottsdataförordningen och 3 § RA-MS 2010:68). I 9 § tredje stycket personuppgiftslagen används samma uttryck, det vill säga historiska, statistiska eller vetenskapliga ändamål. I dataskyddsförordningen används i stället uttrycken arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Historiska ändamål delas alltså upp i arkivändamål av allmänt intresse och historiska forskningsändamål. Avsikten med uppdelningen är att förtydliga vad som avses med historiska ändamål. Även i direktivet görs i artikel 4.3 skillnad mellan behandling för arkivändamål av allmänt intresse och vetenskaplig, statistisk och historisk användning för ändamål som omfattas av direktivets tillämpningsområde. Det finns även fortsättningsvis behov av att kunna meddela föreskrifter om att personuppgifter som behandlas med stöd av registerförfattningarna får fortsätta att behandlas automatiserat för historiska, statistiska eller vetenskapliga ändamål när den längsta tillåtna tiden för behandling som anges i registerförfattningen löper ut. Sådana föreskrifter ger möjlighet att tillgodose dels rätten att ta del av allmänna handlingar, dels 143

rättskipningens, förvaltningens och forskningens behov. Bestämmelserna bör dock formuleras om så att föreskriftsrätten avser hur länge personuppgifterna får behandlas. För att terminologin ska motsvara dataskyddsförordningens och dataskyddsdirektivets bör det vidare framgå att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse. I lagen om behandling av personuppgifter inom kriminalvården har man valt en annan lösning än föreskriftsrätt för att tillgodose myndighetens behov av att kunna behandla personuppgifter för historiska, statistiska och vetenskapliga ändamål. I 7 § andra stycket den lagen föreskrivs en generell möjlighet för myndigheten att behandla personuppgifter för angivna ändamål. Kriminalvården har även i fortsättningen behov av att kunna behandla personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Detta behov bör dock, i likhet med vad som föreslås beträffande övriga registerförfattningar, tillgodoses genom föreskrifter meddelade av regeringen eller den myndighet som regeringen bestämmer. Föreskriftsrätten bör alltså ersätta den nuvarande regleringen. Det kan även här ifrågasättas om bestämmelser om föreskriftsrätt som möjliggör fortsatt behandling av personuppgifter för arkivändamål av allmänt intresse och för historiska, statistiska eller vetenskapliga ändamål bör finnas i registerförfattningar som endast reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Eftersom föreskriftsrätten gäller enbart personuppgifter som behandlas för ändamål som omfattas av registerförfattningens tillämpningsområde kan föreskriftsrätten inte överföras till den generellt tillämpliga arkivlagstiftningen. Det finns inte heller någon annan naturlig plats för sådana bestämmelser. Föreskriftsrätten bör därför även fortsättningsvis regleras i registerförfattningarna även om det, som Polismyndigheten bedömer, skulle kunna framstå som mer ändamålsenligt att endast låta dem innehålla bestämmelser som reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde.

5.5.3 Bestämmelser som innebär att behandling inte längre får ske för ändamål inom registerförfattningens tillämpningsområde

Regeringens förslag: Bestämmelser som i dag reglerar hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten ska formuleras om så att det framgår att de bara begränsar behandling för ändamål inom registerförfattningens tillämpningsområde. Bestämmelser om föreskriftsrätt avseende fortsatt behandling av vissa kategorier av personuppgifter ska finnas kvar i registerförfattningarna, men det ska förtydligas att de endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet. Bestämmelser om föreskriftsrätt avseende digitalt arkiverade uppgifter ska också finnas kvar i registerförfattningarna. Det ska dock förtydligas att de bestämmelserna endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet. Det ska även förtyd- 144

ligas att föreskriftsrätten avser begränsning av behandlingen av arkiverade uppgifter.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten menar att utredningen antyder att myndigheternas arkivhantering omfattas av tillämpningsområdet för polisens brottsdatalag och att det inte är ett lämpligt angreppssätt eftersom behandling för arkivändamål endast ska regleras av dataskyddsförordningen. Myndigheten har även redogjort för vad som krävs enligt dataskyddsförordningen för att på nytt få behandla personuppgifter som har arkiverats och efterfrågar, i likhet med Kriminalvården , ett förtydligande av vad som krävs för återförande av personuppgifter för något av de ändamål som anges i en registerförfattning. Enligt Polismyndigheten föreligger det vidare ett starkt behov av att frågor som rör förhållandet mellan dataskyddsregler och arkivregler utreds närmare. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Det är bara behandlingen för ändamål inom registerförfattningens tillämpningsområde som begränsas I 3 kap. 10 och 11 §§ polisdatalagen, 4 kap. 9 och 10 §§ kustbevakningsdatalagen, 4 kap. 6 och 7 §§ tullbrottsdatalagen och 4 kap. 5 och 6 §§ skattebrottsdatalagen anges hur länge vissa personuppgifter får behandlas automatiserat i den brottsbekämpande verksamheten. Enligt 2 kap. 10 § andra stycket åklagardatalagen gäller motsvarande vid behandling för ändamål i den operativa verksamheten. Bestämmelserna hindrar inte att uppgifterna fortsätter att behandlas automatiserat för andra ändamål under längre tid än vad som anges i dem, vilket innebär att personuppgifterna bl.a. får behandlas automatiserat för arkivändamål. Bestämmelserna begränsar alltså enbart möjligheten till fortsatt behandling i den verksamhet som regleras i respektive registerförfattning. För att tydliggöra det bör det framgå att bestämmelserna enbart reglerar hur länge personuppgifter får behandlas för ändamål inom respektive registerförfattnings tillämpningsområde.

Bestämmelser om föreskriftsrätt avseende fortsatt behandling inom tillämpningsområdet ska finnas kvar Av registerförfattningarna framgår att regeringen, i några fall också den myndighet som regeringen bestämmer, kan meddela föreskrifter om att vissa kategorier av personuppgifter får behandlas under längre tid i den brottsbekämpande verksamheten än vad som framgår av lag, se exempelvis 4 kap. 2 § första punkten tullbrottsdatalagen och 3 kap. 12 § polisdatalagen. Det finns även fortsättningsvis behov av att kunna meddela sådana föreskrifter. Upplysningsbestämmelserna om sådana föreskrifter bör därför finnas kvar i registerförfattningarna, men det bör förtydligas att de endast omfattar behandling av personuppgifter för ändamål inom registerförfattningarnas tillämpningsområde.

Konsekvenserna av att uppgifter har arkiverats Att uppgifter har arkiverats, oavsett om det görs digitalt eller i pappersform, innebär inte att det är förbjudet att på nytt behandla personuppgifterna för något av de ändamål som anges i en registerförfattning. Polismyndigheten har efterfrågat ett förtydligande av vad som krävs för återförande av personuppgifter för något av de ändamål som anges i en registerförfattning, mot bakgrund av skillnader i tolkning av finalitetsprincipens tillämplighet på dataskyddsförordningen respektive dataskyddsdirektivets område. Även Kriminalvården efterfrågar ett klargörande om hur frågor om bevarande av personuppgifter ska hanteras när uppgifter som behandlats under ett regelverk övergår till att behandlas under ett annat regelverk. När uppgifter avskiljs och behandlas uteslutande för arkivändamål behandlas de inte längre enligt brottsdatalagen och omfattas inte av dataskyddsdirektivets reglering, utan behandlingen styrs av dataskyddsförordningen och dataskyddslagen. Om uppgifter därefter återförs till den operativa verksamheten sker en ny insamling av uppgifter på brottsdatalagens område, och någon bedömning enligt finalitetsprincipen ska därför inte göras. Insamlingen förutsätter dock att det finns en tillåten rättslig grund och att regleringen i övrigt tillåter den nya behandlingen. Ett typiskt exempel kan vara att det kommer fram uppgifter som gör att en nedlagd förundersökning som har arkiverats bör återupptas eller att fråga om resning eller annat extraordinärt rättsmedel aktualiseras beträffande en dom eller ett beslut som har fått laga kraft. Ny behandling av de arkiverade uppgifterna kan då påbörjas för det ändamålet.

Bestämmelser om föreskriftsrätt avseende fortsatt användning av digitalt arkiverade uppgifter ska finnas kvar Som nämnts tidigare framgår av registerförfattningarna att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela föreskrifter om digital arkivering, se exempelvis 4 kap. 2 § punkten 3 tullbrottsdatalagen och 2 kap. 12 § andra stycket polisdatalagen. I de brottsbekämpande myndigheternas registerförordningar föreskrivs det att personuppgifterna ska avskiljas från myndighetens brottsbekämpande eller operativa verksamhet vid digital arkivering, se exempelvis 11 § tullbrottsdataförordningen och 19 § polisdataförordningen. Syftet är att uppgifterna inte ska vara digitalt åtkomliga i den verksamheten. Det ska alltså inte vara möjligt för vem som helst att enkelt söka fram de digitalt arkiverade personuppgifterna. Normalt bör det bara vara arkivarier som förfogar över uppgifterna och kan göra sökningar i dem. Med hänsyn till att arkivlagen inte hindrar eller ställer upp några begränsningar för fortsatt automatiserad behandling av arkiverade uppgifter finns det även i fortsättningen behov av att kunna meddela föreskrifter till skydd för den personliga integriteten vid digital arkivering. Bestämmelserna om föreskriftsrätt avseende fortsatt behandling av digitalt arkiverade uppgifter bör därför finnas kvar. Frågan är dock om bestämmelserna ska finnas kvar i registerförfattningarna eller placeras i annan reglering. Behandling av uppgifter som görs för arkivändamål styrs av dataskyddsförordningen. Det kan därför, precis som Polismyndigheten gör, 146

ifrågasättas om bestämmelser om föreskriftsrätt avseende fortsatt behandling av uppgifter som har arkiverats digitalt bör placeras i registerförfattningar som reglerar personuppgiftsbehandlingen inom brottsdatalagens tillämpningsområde. Syftet med föreskrifterna om digital arkivering är att förhindra att uppgifterna fortsätter att behandlas på samma sätt som tidigare trots att bevarandet inte längre sker för verksamhetsändamål utan för arkivändamål. Föreskrifterna utgör därmed en del av det skydd för enskildas integritet som övriga bestämmelser i registerförfattningarna för med sig. Dessa omständigheter, i kombination med att det i vart fall inte finns någon annan mer naturlig placering av bestämmelserna, ger tillräckliga skäl för att placera bestämmelserna i registerförfattningarna. Det bör dock tydliggöras att föreskriftsrätten avser begränsningar av den behandling som sker av arkiverade uppgifter inom registerförfattningarnas tillämpningsområde. Med anledning av Polismyndighetens invändning om att det finns ett behov av att närmare utreda frågor som rör förhållandet mellan dataskyddsregler och arkivrättsliga regler finns det skäl att återigen nämna att det pågår en utredning med uppdrag att se över arkivområdet (se avsnitt 5.5.2).

5.5.4 Omständigheter som påverkar längsta tid för behandling i underrättelseverksamhet

Regeringens förslag: Det är bara uppgifter om en persons anknytning till brottslig verksamhet som ska påverka längsta tid för behandling av personuppgifter i underrättelseverksamhet.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag att endast uppgifter om en persons anknytning till brottslig verksamhet ska påverka längsta tid för behandling av personuppgifter i underrättelseverksamhet och bedömningen att tiden för hur länge personuppgifter får behandlas inte ska kunna påverkas av vilka uppgifter som helst. Säkerhets- och integritetsskyddsnämnden och Polismyndigheten bedömer att det är angeläget att det tydliggörs om en ny registrering avseende en person förlänger tiden för behandling enbart avseende den personen, eller om registreringen även påverkar tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet. Polismyndigheten ser positivt på att det förtydligas vilka omständigheter som kan påverka längsta tid för behandling i underrättelseverksamhet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I dag föreskrivs det i vissa bestämmelser att den tid som personuppgifter får behandlas i underrättelseverksamhet kan förlängas om en ny registrering avseende personen i fråga görs. Sådana bestämmelser finns bl.a. i 3 kap. 14 §, 4 kap. 20 § och 6 kap. 12 § polisdatalagen, 4 kap. 13 § kustbevakningsdatalagen och 4 kap. 9 § tullbrottsdatalagen. Det framgår emellertid inte av bestämmelserna vad den registrering som kan föranleda att personuppgifter får fort- 147

sätta att behandlas ska avse. Tiden för hur länge personuppgifter får behandlas ska inte kunna påverkas av vilka uppgifter som helst. En uppgift i form av en anteckning om att någon begärt ut en allmän handling som innehåller personuppgifter är ett exempel på en sådan uppgift som inte ska kunna föranleda förlängning av den tid som personuppgifterna får behandlas. Vidare saknar normalt t.ex. ny folkbokföringsadress, nytt registreringsnummer på fordon som personen disponerar eller någon annan sådan uppgift betydelse för frågan om personen utövar eller kan komma att utöva brottslig verksamhet. Det bör därför tydliggöras att endast sådana omständigheter som har betydelse för personens anknytning till brottslig verksamhet ska påverka hur länge personuppgifterna får behandlas. En sådan omständighet kan vara att personen har begått brott, men det bör då vara fråga om ett brott som har någon anknytning till den brottsliga verksamheten. Att en person gör sig skyldig till en helt annan typ av brottslighet torde sällan ha en sådan betydelse. Säkerhets- och integritetsskyddsnämnden och Polismyndigheten efterfrågar ett tydliggörande av om en ny registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till samma brottsliga verksamhet. Det är inte uteslutet att så kan vara fallet. Till exempel kan ett brott begånget av en person innebära att misstankarna mot en annan person stärks eftersom det tydliggör att båda har starka kopplingar till en viss plats, en viss annan person eller en viss företeelse. I vilka fall en ny registrering avseende en person ska påverka tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet måste dock avgöras från fall till fall.

5.6 Särskilt om elektroniskt utlämnande

5.6.1 Olika former av elektroniskt utlämnande

Direktåtkomst Det finns inte någon legaldefinition av uttrycket direktåtkomst. Det som vanligtvis avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt Informationshanteringsutredningen bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myndighetsdatalag, SOU 2015:39, s. 390 f.). Högsta förvaltningsdomstolen använde i avgörandet HFD 2015 ref. 61, som avsåg utlämnande av uppgifter i form av upptagning mellan myndigheter, samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför ansetts viktigt att frågor om tillgång till uppgifter genom direktåtkomst regleras särskilt i register- 148

lagstiftningarna (se Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet, prop. 2000/01:129, s. 74, Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, prop. 2001/02:144, s. 35 f. och Elektronisk informationsöverföring hos arbetslöshetskassorna och inom Arbetsmarknadsverket, prop. 2005/06:52, s. 8). Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet.

Utlämnande på medium för automatiserad behandling I princip anses allt elektroniskt utlämnande som inte sker genom direktåtkomst ske genom utlämnande på medium för automatiserad behandling. Som nämnts ovan har Högsta förvaltningsdomstolen ansett att gränsdragningen mellan vad som är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella uppgiften kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen (HFD 2015 ref. 61). Utlämnande av personuppgifter på medium för automatiserad behandling kan alltså göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via upptagningar mellan myndigheter, e-post eller USB-minne. Begreppet anses omfatta överlämnande av elektroniskt lagrade uppgifter via alla slags medium för lagring och överföring (se Överskottsinformation vid direktåtkomst, SOU 2012:90, s. 198).

5.6.2 Behovet av att kommunicera elektroniskt

Dagens kommunikationsbehov Myndigheter som sysslar med brottsbekämpning, lagföring och straffverkställighet har stora behov av att kommunicera med såväl andra myndigheter som enskilda. Det kan röra sig om att begära eller utbyta information, att begära eller lämna yttranden, att ge insyn i en förundersökning, att delge handlingar under förunder-sökningsförfarandet eller brottmålsprocessen eller att expediera strafförelägganden och andra beslut. Tyngdpunkten ligger på kommunikation mellan behöriga myndigheter, men det rör sig också om kommunikation med andra. När det gäller andra myndigheter kan det exempelvis vara fråga om kontakter med Transportstyrelsen (trafikutredningar, expediering av strafförelägganden och beslut), Arbetsförmedlingen (brottsutredningar, personutredning och straffverkställighet) eller Försäkringskassan (brottsutredningar, personutredning och straffverkställighet). När det gäller kommunikation med enskilda kan som exempel nämnas att Polismyndigheten i sin brottsbekämpande verksamhet har stort behov av att kunna kommunicera med bl.a. banker och försäkringsbolag och att Ekobrottsmyndigheten ofta har kontakt med finansiella aktörer. Behovet av kommunikation utanför ordinarie kontorstid är betydande, eftersom brottsbekämpande verksamhet pågår även på annan tid. Det kan 149

då vara nödvändigt att t.ex. kunna förse offentliga försvarare med handlingar elektroniskt. Under lång tid sköttes kommunikationsbehovet i huvudsak på papper, bl.a. därför att regelverket i rättegångsbalken förutsatte sådan hantering. Både i Sverige och inom EU uppmuntras myndigheter att i så stor utsträckning som möjligt dra nytta av de effektivitetsvinster som modern teknik kan ge. Det pågår sedan länge ett utvecklingsarbete som syftar till att myndigheterna i rättskedjan i ökande utsträckning ska kunna dra nytta av personuppgifter som har lagrats elektroniskt av de myndigheter som ligger tidigare i kedjan. Genom registerförfattningarna har myndigheterna i rättskedjan lagstöd för att kunna utbyta personuppgifter elektroniskt med varandra och att medge övriga myndigheter tillgång till vissa uppgifter genom direktåtkomst. Av effektivitetsskäl kan de emellertid behöva lämna ut personuppgifter i elektronisk form även till andra. Den möjligheten begränsas i dag genom reglerna om utlämnande på medium för automatiserad behandling.

Risker med elektroniskt utlämnande När det gäller elektroniskt utlämnande brukar utlämnande genom direktåtkomst förknippas med särskilda risker för den personliga integriteten. En sådan risk är att uppgifterna sprids som en följd av att de upptagningar som direktåtkomsten avser blir allmänna handlingar hos den mottagande myndigheten (se SOU 2012:90 s. 64 f. och 123 f. och SOU 2015:39 s. 134 f.). Sammanställningar av uppgifter som i samband med direktåtkomst görs tekniskt tillgängliga för den mottagande myndigheten anses enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen förvarade hos den mottagande myndigheten och utgör således allmänna handlingar där. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till uppgifterna (se Utlänningsdatalag, SOU 2003:40, s. 201 och Personuppgiftsbehandling på utlännings- och medborgarskapsområdet, SOU 2015:73, s. 304). Det innebär också att direktåtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer i de verksamheter som har åtkomst och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar (se Utlänningsdatalag, prop. 2015/16:65, s. 89 f.). Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger dock inte mottagaren rätt att behandla personuppgifterna. Mottagaren måste ha rättsligt stöd i sin egen registerlagstiftning för personuppgiftsbehandlingen och även i övrigt uppfylla alla skyldigheter som är förenade med den. Inte bara direktåtkomst utan även utlämnande av personuppgifter på medium för automatiserad behandling anses medföra risker från integritetssynpunkt. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar risken för att uppgifterna behandlas i strid med de grundläggande kraven på dataskydd. Viss sekretessreglering har införts för att minska de risker som ökat elektroniskt utlämnande medför. Enligt 11 kap. 4 § offentlighets- och 150

sekretesslagen gäller att om en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Vidare gäller enligt 21 kap. 7 § offentlighets- och sekretesslagen sekretess för personuppgifter, om det kan antas att utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Syftet med bestämmelsen är att det ska vara möjligt att hindra s.k. massuttag, om det finns skäl att anta att uppgifterna skulle missbrukas.

5.6.3 Utlämnande genom direktåtkomst

Regeringens förslag: Det ska finnas bestämmelser i registerförfattningarna som ger samma möjligheter att tillhandahålla personuppgifter genom direktåtkomst som dagens reglering.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Säkerhetspolisen bedömer att hänvisningen i bestämmelserna om sekretessgenombrott och direktåtkomst, t.ex. hänvisningarna i 2 kap. 8 § och 3 kap. 7 § polisens brottsdatalag, till 1 kap. 2 § brottsdatalagen, läst tillsammans med 1 kap. 4 § brottsdatalagen, kan tolkas som att direktåtkomst och brytande av sekretess inte är möjlig då Säkerhetspolisen ska behandla personuppgifter som rör nationell säkerhet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av 2 kap. 21 § polisdatalagen framgår att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Sådana bestämmelser finns bl.a. i 4 kap., där vissa register särregleras. I 3 kap. 8 § polisdatalagen anges vilka myndigheter som får medges direktåtkomst till andra personuppgifter än de som behandlas i särskilda register. Där föreskrivs också att direktåtkomst endast får avse personuppgifter som gjorts gemensamt tillgängliga. Liknande bestämmelser finns i 2 kap. 9 § kustbevakningsdatalagen, 2 kap. 17 § åklagardatalagen, 2 kap. 17 § och 3 kap. 8 § tullbrottsdatalagen och 2 kap. 16 § och 3 kap. 8 § skattebrottsdatalagen. Även i Kriminalvårdens registerlagstiftning finns det bestämmelser om direktåtkomst, men de finns i huvudsak i förordning (se 10 § första stycket 2 lagen om behandling av personuppgifter inom kriminalvården och 37, 43 och 44 §§ förordningen om behandling av personuppgifter inom kriminalvården). Direktåtkomst kräver alltså i dag lagstöd enligt samtliga registerförfattningar med undantag av Kriminalvårdens. Riksdagen ska således i de flesta fall ta ställning till om en viss myndighet kan tillåtas att få direktåtkomst. Med något enstaka undantag är det endast myndigheter som tillämpar brottsdatalagen som enligt registerförfattningarna får medges direktåtkomst. De nuvarande bestämmelserna om direktåtkomst ger därmed ett tillräckligt skydd för den personliga integriteten. De är även i övrigt förenliga med direktivet. Det bör därför finnas bestämmelser i registerförfattningarna som ger samma möjligheter att tillhandahålla personuppgifter genom direktåtkomst som dagens reglering. 151

Säkerhetspolisen bedömer att hänvisningen i bestämmelserna om sekretessgenombrott och direktåtkomst till 1 kap. 2 § brottsdatalagen, läst tillsammans med 1 kap. 4 § brottsdatalagen, skulle kunna tolkas som att sekretessgenombrott och direktåtkomst inte är möjlig då Säkerhetspolisen ska behandla personuppgifter som rör nationell säkerhet. Hänvisningen till 1 kap. 2 § brottsdatalagen sker dock för att tydliggöra för vilka syften som sekretess får brytas respektive för vilka syften som myndigheten får medges direktåtkomst. Den omständigheten att brottsdatalagens tillämpningsområde är begränsat på sätt som anges i bestämmelsen i 1 kap. 4 § samma lag innebär inte att möjligheterna till sekretessgenombrott och direktåtkomst är begränsade. Hänvisningen i bestämmelserna ska därmed inte tolkas på det sätt som Säkerhetspolisen redogjort för.

5.6.4 Annat elektroniskt utlämnande tillåts i större utsträckning

Regeringens förslag: Personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Polismyndigheten välkomnar förslaget. Datainspektionen avstyrker förslaget eftersom att det utan närmare analyser om vilka effekter på den personliga integriteten som utvidgningen får eller kan få inte går att avgöra om utvidgningen kan anses proportionerlig i förhållande till enskildas personliga integritet. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Nuvarande reglering Registerförfattningarna för de brottsbekämpande myndigheterna innehåller bestämmelser om elektroniskt utlämnande. I 2 kap. 20 § polisdatalagen, 2 kap. 8 § kustbevakningsdatalagen, 2 kap. 16 § åklagardatalagen, 2 kap. 16 § tullbrottsdatalagen och 2 kap. 15 § skattebrottsdatalagen föreskrivs att enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Registerförfattningarna innehåller dessutom bestämmelser om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. I de förordningar som kompletterar registerlagarna finns det i varierande utsträckning bestämmelser om att uppgifter får lämnas ut på medium för automatiserad behandling i större utsträckning än vad som anges i respektive lag. Begränsningen till enstaka personuppgifter gäller t.ex. inte i förhållande till de myndigheter som får medges direktåtkomst. Det innebär att begränsningen inte gäller i förhållande till andra brottsbekämpande myndigheter. I domstolsdatalagen har en delvis annan reglering valts. Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automatiserad behandling om det inte är olämpligt.

Dataskyddsdirektivet reglerar inte hur personuppgifter tillhandahålls Varken dataskyddsdirektivet eller dataskyddsförordningen innehåller några bestämmelser som specifikt reglerar frågan om elektroniskt utlämnande av personuppgifter. Det gör inte heller det nu gällande dataskyddsdirektivet. Att lämna ut personuppgifter elektroniskt innebär behandling av personuppgifter och ett utlämnande förutsätter därmed att reglerna om behandling av personuppgifter följs och att inte annan lagstiftning hindrar utlämnandet. Eftersom dataskyddsdirektivet inte särskilt reglerar på vilket sätt personuppgifter får lämnas ut, finns det inget som hindrar att de nuvarande reglerna om elektroniskt utlämnande behålls.

Kritik mot reglerna om utlämnande av enstaka personuppgifter Bestämmelserna om att bara enstaka personuppgifter får lämnas ut på medium för automatiserad behandling har kritiserats. Redan när de infördes framförde vissa remissinstanser invändningar mot att begränsa det elektroniska utlämnandet till enstaka uppgifter. Det ansågs otidsenligt att i alltför hög grad begränsa myndigheternas möjlighet att utnyttja de fördelar som elektronisk kommunikation kunde ge (se bl.a. prop. 2009/10:85 s. 184 f.). Det var också omfattande kritik mot begränsningen till enstaka uppgifter som ledde till att en annan lösning valdes i domstolsdatalagen (se Domstolsdatalag, prop. 2014/15:148, s. 75 f.) Till kritikerna hör Informationshanteringsutredningen, som föreslår att det i myndighetsdatalagen tas in en bestämmelse som medger elektroniskt utlämnande till enskilda om det inte är olämpligt med hänsyn till skyddet för personuppgiften. Däremot bör det enligt den utredningen inte gälla några lagliga begränsningar för att tillhandahålla myndigheter personuppgifter i elektronisk form (se SOU 2015:39 s. 447). Även uttrycket ”utlämnande på medium för automatiserad behandling” har kritiserats, bl.a. på den grunden att det är otydligt (se SOU 2012:90 s. 198 f. och SOU 2015:39 s. 442).

Bör regleringen ändras? Numera förväntar sig både myndigheter och enskilda att handlingar i stor utsträckning kan förmedlas elektroniskt. Frågan är om den utvecklingen bör mötas med bestämmelser som förenklar för myndigheterna i rättskedjan att kunna kommunicera elektroniskt. Elektronisk kommunikation är som regel kostnadseffektiv om man jämför med postbefordran. I vissa avseenden är elektronisk kommunikation säkrare än traditionell befordran, eftersom spårbarheten är större. Elektronisk kommunikation gör det också enkelt att sända större informationsmängder. För mottagaren är skillnaden mellan att få uppgifter på papper och i elektronisk form inte heller så stor i dag. Med modern teknik kan nämligen text på papper enkelt omvandlas till elektroniska uppgifter. I förarbetena till bl.a. polisdatalagen och kustbevakningsdatalagen framhålls att när ordet enstaka används i bestämmelsen om utlämnande av uppgifter på medium för automatiserad behandling har ordet en annan innebörd än i vanligt språkbruk. När personuppgifter förekommer i en eller ett fåtal handlingar är bestämmelsen inte avsedd att utgöra ett hinder 153

mot att handlingen lämnas ut t.ex. via e-post. Det förhållandet att en handling, t.ex. en lista över telefonnummer, innehåller ett stort antal personuppgifter hindrar inte att handlingen lämnas ut med stöd av bestämmelsen. Bestämmelsen ger också stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där personuppgifter förekommer. Ett förundersökningsprotokoll kan således ofta lämnas ut elektroniskt. Däremot får inte en större mängd uppgifter, t.ex. ett helt register eller delar av ett register, lämnas ut med stöd av en sådan bestämmelse (se prop. 2009/10:85 s. 333 och prop. 2011/12:45 s. 98). Det finns risk att bestämmelser som enligt sin ordalydelse talar för en mer restriktiv tillämpning av elektroniskt utlämnade än vad som förefaller vara avsedd, kan motverka strävanden efter att myndigheterna ska dra nytta av effektivitetsvinsterna med ny teknik. Det är också olyckligt om förarbetena ger uttryck för att lagregler ska tolkas annorlunda än sin ordalydelse. En annan risk med hur bestämmelserna är formulerade i dag är att de ger sken av att ge ett starkare integritetsskydd än vad som i praktiken är fallet. Mot den nu angivna bakgrunden bör bestämmelserna om utlämnande av personuppgifter på medium för automatiserad behandling i registerförfattningarna ses över.

Samma reglering som för domstolarna För Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndigheten, Kustbevakningen, Tullverket och Skatteverket har regeringen redan i förordning öppnat för elektroniskt uppgiftslämnande på annat sätt än genom direktåtkomst om det inte är olämpligt. Det gäller dock enbart i förhållande till vissa i förordningarna uppräknade kategorier av mottagare, framför allt sådana till vilka det förekommer frekvent uppgiftslämnande. Det finns anledning att lämna större utrymme för utlämnande i elektronisk form för de brottsbekämpande myndigheterna. Även om det i relativt stor utsträckning förekommer integritetskänsliga personuppgifter i framför allt brottsbekämpande verksamhet och vid straffverkställighet måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av snabb och effektiv kommunikation. Sekretessbestämmelserna tillsammans med regleringen av personuppgiftsbehandling skyddar vidare enskilda mot att möjligheten att lämna ut personuppgifter elektroniskt missbrukas. Den som överväger att lämna ut personuppgifter, oavsett i vilken form det görs, måste alltid överväga om sekretessregleringen lägger hinder i vägen och, om så inte är fallet, om regelverket för personuppgiftsbehandling gör det möjligt att lämna uppgifterna i elektronisk form. Mottagaren måste dessutom alltid ha rättslig grund för behandlingen och är även i övrigt skyldig att leva upp till de krav som finns i reglerna om personuppgiftsbehandling. Regeringen anser att regleringen, med dess krav för utlämnande och mottagande, är utformad på ett sätt som ger ett gott skydd för den personliga integriteten. Det finns inte skäl att vidare analysera utvidgningens effekter på sätt som Datainspektionen efterfrågar. Mot den bakgrunden bör samma lagtekniska lösning som i domstolsdatalagen väljas i de berörda myndigheternas registerförfatt-

ningar. Bestämmelserna bör därför ändras på det sättet att personuppgifter ska få lämnas ut elektroniskt om det inte är olämpligt. Informationshanteringsutredningen anser att uttrycket ”utlämnande på medium för automatiserad behandling” bör utmönstras och föreslår att uttrycket ”utlämnande i elektronisk form” ska användas i stället (se SOU 2015:39 s. 442). Ett modernare uttryckssätt är att föredra. Eftersom registerförfattningarna ses över är det lämpligt att göra den förändringen nu. Även fortsättningsvis bör det i registerförfattningarna göras tydlig skillnad mellan elektroniskt utlämnande i form av direktåtkomst och elektroniskt utlämnande på annat sätt (se även avsnitt 5.6.1 avseende avgörandet HFD 2015 ref. 61).

När kan elektroniskt utlämnande komma i fråga? I fråga om elektroniskt utlämnande på annat sätt än genom direktåtkomst bör skillnad göras mellan utlämnande till myndigheter och utlämnande till enskilda. Det bör normalt inte anses olämpligt att lämna personuppgifter elektroniskt till myndigheter (jfr SOU 2015:39 s. 447 f.). Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid personuppgifterna lämnas på annat sätt. Även när det gäller utlämnande till enskilda har lagstiftaren redan tagit ställning till att sådant utlämnande är godtagbart till vissa kategorier av mottagare, om det inte är olämpligt. Det gäller t.ex. uppgifter som lämnas till konkursförvaltare i vissa fall. Personuppgifter bör kunna lämnas ut elektroniskt till sådana kategorier i samma utsträckning som i dag. När det gäller andra enskilda än de som i dag pekas ut i förordning kan det krävas närmare överväganden bl.a. med hänsyn till vem mottagaren är och vilken säkerhet mottagaren har för sin personuppgiftsbehandling. I de fallen är det svårare att göra en generell bedömning av om elektroniskt utlämnande kan vara lämpligt. Det bör därför finnas utrymme för regeringen att meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Den närmare innebörden av vad som ska anses vara ett sådant olämpligt utlämnande får dock utvecklas genom tillsynsmyndighetens arbete och i domstolspraxis.

5.7 Frågor om föreskriftsrätt

Regeringens förslag: Sådan föreskriftsrätt som inte längre fyller någon funktion ska tas bort.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I registerförfattningarna finns det ett flertal bestämmelser där det upplyses att regeringen själv kan meddela föreskrifter i en viss fråga, eller delegera den uppgiften till en myndighet. I dag är dessa bestämmelser utspridda i registerförfattningarna. Regleringen blir lättare att överblicka och enklare att tillämpa om bestämmel-

serna om föreskriftsrätt samlas i slutet av varje kapitel i registerförfattningarna. Vissa bestämmelser om föreskriftsrätt saknar dock praktisk funktion eftersom de är knutna till bestämmelser som inte längre kommer att finnas kvar i registerförfattningarna. Sådana bestämmelser bör upphävas. Det finns också vissa bestämmelser om vidaredelegation av föreskriftsrätt som inte bör behållas därför att det som regleringen avser enbart rör myndighetsinterna frågor eller därför att det är uppgifter som följer med rollen som personuppgiftsansvarig. Myndigheterna bör alltså inte ha någon föreskriftsrätt om det är fråga om interna förhållanden som kan regleras på annat sätt än i föreskrifter. Det gäller exempelvis föreskriftsrätten i 3 § polisdataförordningen om tillgången till personuppgifter, i 5 § andra stycket om begränsning av tillgången till vissa uppgifter och 8 § om sökning. Motsvarande bestämmelser i övriga registerförordningar bör också upphävas.

6 Behandling för nya ändamål

6.1 Bestämmelser om rättslig grund och ändamål

Dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså bara om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. En annan grundläggande princip för all personuppgiftsbehandling är att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Det finns därför normalt även bestämmelser om tillåtna ändamål för personuppgiftsbehandling i olika registerförfattningar. I de brottsbekämpande myndigheternas nuvarande registerförfattningar delas ändamålen upp i primära och sekundära, se bl.a. 2 kap. 7 och 8 §§ polisdatalagen, 2 kap. 5 och 6 §§ åklagardatalagen samt 2 kap. 5 och 6 §§ tullbrottsdatalagen. Bestämmelserna har samma utformning och liknande innehåll. De primära ändamålen reglerar behandlingen av de personuppgifter som behövs i den berörda myndighetens egen brottsbekämpande verksamhet. Polismyndigheten får t.ex. enligt 2 kap. 7 § polisdatalagen behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra myndigheter eller verksamheter eller till enskilda för att tillgodose deras behov. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt hur personuppgifter dels får användas i myndighetens egen brottsbekämpande verksamhet, dels får behandlas för att lämnas ut till andra. 156

6.2 En ny ordning i brottsdatalagen

Gränsen mellan bestämmelser om rättslig grund i dataskyddsrättslig mening och bestämmelser om ändamål för behandlingen av personuppgifter är inte helt klar. I lagrådsremissen Brottsdatalag konstateras att vad som är bestämmelser om rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. Det anses därför vara lämpligt att göra tydligare skillnad mellan dessa typer av bestämmelser (se lagrådsremissen Brottsdatalag, avsnitt 7.1). I den nämnda lagrådsremissen behandlas ingående hur kravet på rättslig grund förhåller sig till de primära och sekundära ändamålen i registerförfattningarna. Övervägandena leder till bedömningen att de primära och sekundära ändamålsbestämmelserna i de brottsbekämpande myndigheternas registerförfattningar är så allmänt hållna att de bör ses som en del av den rättsliga grunden för behandlingen av personuppgifter och inte som ändamålsbestämmelser. Framöver kommer de generella bestämmelserna om rättslig grund på direktivets område att finnas i brottsdatalagen. Där anges att lagen gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. I brottsdatalagen kommer det även att stadgas att personuppgifter bara får behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Därutöver föreslås en ny ordning i brottsdatalagen när det gäller behandling av personuppgifter för nya ändamål. Innan personuppgifter får behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde, ska det säkerställas att det finns en tillåten rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. I den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning behöver dock någon sådan prövning inte göras (se lagrådsremissen Brottsdatalag, avsnitt 7.6.2). Det föreslås också en motsvarande bestämmelse i brottsdatalagen som gäller vid ny behandling av uppgifter för ändamål utanför lagens tillämpningsområde (se lagrådsremissen Brottsdatalag, avsnitt 7.6.4).

6.3 Bör sekundära ändamålsbestämmelser behållas?

Regeringens förslag: De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag att upphäva de sekundära ändamålsbestämmelserna i de delar som gäller behandling för ändamål inom brottsdatalagens tillämpningsområde. Övriga remissinstanser yttrar sig inte särskilt över förslaget. 157

Nuvarande reglering

Enligt de sekundära ändamålsbestämmelserna i registerförfattningarna får myndigheterna lämna ut personuppgifter som redan behandlas i vissa uppräknade situationer, t.ex. när personuppgifterna behövs i en brottsbekämpande verksamhet hos någon annan svensk eller utländsk myndighet. De sekundära ändamålsbestämmelserna reglerar inte bara utlämnande på direktivets område. Polismyndigheten och Tullverket får exempelvis tillhandahålla information som behövs i annan verksamhet som respektive myndighet ansvarar för, om det finns särskilda skäl för det. Motsvarande men mer preciserade bestämmelser finns för Kustbevakningen och Skatteverket. Vidare finns det, efter modell från polisdatalagen, en generell bestämmelse i flertalet registerförfattningar som innebär att personuppgifter i enskilda fall även får behandlas för att tillhandahålla information för något annat ändamål än de uttryckligt angivna, om ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. De nuvarande sekundära ändamålsbestämmelserna omfattar alltså utlämnande av uppgifter för syften som ligger både inom och utanför tilllämpningsområdet för brottsdatalagen.

Behandling för nya ändamål på direktivets område

Kan den nuvarande regleringen behållas? Behandling för nya ändamål kan leda till ökad spridning av personuppgifter genom att fler får tillgång till dem. Det kan också leda till att uppgifterna behandlas under längre tid än vad som var avsett från början. Behandling för nya ändamål kan därmed medföra ett ökat intrång i enskildas personliga integritet. Det är därför viktigt att en noggrann prövning görs innan personuppgifter behandlas för ett nytt ändamål. Som nyss nämnts innebär den nya regleringen i brottsdatalagen att det, innan personuppgifter behandlas för ett nytt ändamål inom lagens tilllämpningsområde, ska säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Bestämmelsen genomför artikel 4.2 i direktivet om behandling för nya ändamål. Om den nuvarande utformningen av de sekundära ändamålsbestämmelserna behålls, skulle prövningen enligt brottsdatalagen sättas ur spel. Ett åsidosättande av den prövningen kan inte heller anses vara förenligt med artikel 4.2 i direktivet. De sekundära ändamålsbestämmelser som faller inom direktivets tillämpningsområde bör därför inte behållas med den nuvarande utformningen.

Behövs en ny reglering i registerförfattningarna? Direktivet hindrar inte att den nationella rätten sätter gränser för i vilken utsträckning som personuppgifter får lämnas mellan myndigheter. Sådana begränsningar kan bidra till att skydda enskildas personliga integritet och göra det tydligt och förutsebart i vilken utsträckning som behöriga myndigheter får lämna personuppgifter till andra. Det skulle därför på den grunden vara möjligt att ersätta dagens sekundära ändamålsbestämmelser med nya bestämmelser som innehåller begränsningar av möjligheten att lämna uppgifter myndigheter emellan. 158

I förarbetena till flera av registerförfattningarna har det dock framhållits att det ur ett brottsbekämpningsperspektiv är angeläget att samhällets samlade resurser används på ett så rationellt och effektivt sätt som möjligt. Som nämnts där verkar brottsligheten över såväl geografiska gränser som myndighetsgränser och de brottsbekämpande myndigheterna måste samverka med varandra för att brottsbekämpning ska vara effektiv. Sådan samverkan förutsätter möjligheter till effektivt utbyte av information (se bl.a. prop. 2009/10:85 s. 166 f. och prop. 2016/17:91 s. 96 f.). Ett av syftena med brottsdatalagen är också att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Enligt brottsdatalagen ska ändå alltid en prövning göras innan personuppgifter behandlas för ett nytt ändamål. Regeringen instämmer i utredningens mening att den prövningen är tillräcklig för att skydda enskildas integritet. Det finns därför inte skäl för att i registerförfattningarna föreslå någon annan begränsning än den som följer av brottsdatalagen när det gäller möjligheterna att tillhandahålla uppgifter för nya ändamål. Detta innebär att de sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen bör upphävas i de delar som de avser behandling för ändamål inom brottsdatalagens tillämpningsområde.

Behandling för ändamål utanför direktivets tillämpningsområde

Förordningen ska tillämpas När en behörig myndighet behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde ska dataskyddsförordningen tillämpas i stället för brottsdatalagen. Förordningen ska tillämpas även när en behörig myndighet tillhandahåller personuppgifter till andra, om ändamålet med behandlingen där ligger utanför brottsdatalagens tillämpningsområde. Den ordningen skiljer sig från vad som gäller idag. Som exempel kan nämnas att Kustbevakningen lämnar personuppgifter till Sjöfartsverket efter en fartygskollision. Personuppgifter som en behörig myndighet behandlar enligt brottsdatalagen kan också behöva lämnas till en enhet inom samma myndighet som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som behandlas i Polismyndighetens brottsbekämpande verksamhet kan exempelvis behöva lämnas till den verksamhet inom myndigheten där frågor om pass eller olika typer av tillstånd behandlas. Dataskyddsförordningen utgår, på samma sätt som direktivet, från att varje behandling av personuppgifter ska vila på en rättslig grund. De rättsliga grunderna räknas uttömmande upp i artikel 6.1 i förordningen. Dit hör enligt punkten e) att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Det är främst den punkten som aktualiseras när behöriga myndigheter lämnar ut personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde.

Bör de sekundära ändamålsbestämmelserna behållas på förordningens område? Till skillnad från vad som gäller vid behandling för nya ändamål inom brottsdatalagens tillämpningsområde hindrar varken direktivet eller förordningen att innehållet i de sekundära ändamålsbestämmelserna behålls när det gäller behandling för ändamål utanför brottsdatalagens område. I brottsdatalagen har det dock föreslagits en bestämmelse som innebär att innan personuppgifter som behandlas med stöd av lagen, behandlas för ändamål utanför lagens tillämpningsområde, ska det säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. I den utsträckning som en skyldighet att lämna uppgifter följer av lag eller förordning behöver dock någon sådan prövning inte göras. Bestämmelsen i brottsdatalagen innebär en begränsning av vad som direkt följer av förordningen. Med hänsyn till innehållet i den nya bestämmelsen i brottsdatalagen är det inte heller på förordningens område lämpligt att behålla de sekundära ändamålsbestämmelserna i deras nuvarande utformning. Det saknas dessutom skäl att utöver bestämmelsen i brottsdatalagen ytterligare begränsa möjligheten att behandla personuppgifter på förordningens område. De sekundära ändamålsbestämmelserna bör därför upphävas även i denna del.

Konsekvenser av att de sekundära ändamålsbestämmelserna upphävs

Upphävandet av de sekundära ändamålsbestämmelserna innebär inte att de brottsbekämpande myndigheterna förlorar möjligheten att behandla personuppgifter för nya ändamål i motsvarande utsträckning framöver. Till att börja med anges det uttryckligen i brottsdatalagen att en prövning av nödvändighet och proportionalitet inte behöver göras om en skyldighet att lämna uppgifter följer av lag eller förordning. Detta undantag från prövningen motsvarar vissa av de situationer som anges i bestämmelserna om sekundära ändamål i myndigheternas nuvarande registerförfattningar, se t.ex. 2 kap. 8 § första stycket 7 polisdatalagen. I de övriga situationer som anges i bestämmelserna om sekundära ändamål måste en behandling för nya ändamål i fortsättningen som regel anses vara nödvändig och proportionerlig enligt brottsdatalagens bestämmelser (se lagrådsremissen Brottsdatalag, avsnitt 7.6.2 och 7.6.4). Exempelvis bör det alltid anses vara nödvändigt och proportionerligt att behandla personuppgifter för att tillhandahålla information som behövs i andra behöriga myndigheters brottsbekämpande verksamhet, jfr t.ex. 2 kap. 8 § första stycket 1 polisdatalagen.

7 Polisdatalagen

7.1 Polisdatalagen behöver anpassas

7.1.1 Nuvarande reglering

Polisdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i brottsbekämpande verksamhet vid Polismyndigheten och Säkerhetspolisen och i polisiär verksamhet vid Ekobrottsmyndigheten. Den gäller enligt 1 kap. 3 § däremot inte vid behandling av personuppgifter enligt vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister, lagen (2010:362) om polisens allmänna spaningsregister (numera upphävd) och lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. I 2 kap. finns allmänna bestämmelser om behandling av personuppgifter. För personuppgifter som har gjorts gemensamt tillgängliga gäller även 3 kap. Vid behandling av personuppgifter i särskilda register gäller 4 kap. i stället för 3 kap. Behandling för forensiska ändamål regleras i 5 kap. Slutligen finns bestämmelser om behandling av personuppgifter i Säkerhetspolisens verksamhet i 6 kap. Polisdatalagen måste, i likhet med övriga registerförfattningar, ändras med anledning av dataskyddsdirektivet. Den måste även anpassas till brottsdatalagen. Många bestämmelser behöver dock inte anpassas alls eller endast ändras redaktionellt. De anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De anpassningar som är specifika för polisdatalagen behandlas däremot i detta avsnitt. Regleringen av Säkerhetspolisens personuppgiftsbehandling i frågor som rör nationell säkerhet behandlas inte i denna lagrådsremiss. För den behandlingen kommer 6 kap. polisdatalagen tillfälligt att fortsätta gälla genom en övergångsbestämmelse, se avsnitt 16.

7.1.2 Polisdatalagen ges ett nytt namn

Regeringens förslag: Polisdatalagen ska benämnas lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Hänvisningar till lagen i andra författningar ska därmed också ändras.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas polisens brottsdatalag. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: De registerförfattningar som ska gälla utöver brottsdatalagen bör ha enhetliga benämningar. Genom ett namnbyte framgår det också tydligare att det har gjorts genomgripande förändringar av lagstiftningens struktur med anledning av att brottsdatalagen införs. Polisdatalagen bör därför ges ett nytt namn. Namnet bör knyta an till brottsdatalagen. Utredningen föreslår att lagen ska benämnas polisens brottsdatalag. Det föreslagna namnet avviker dock från hur svenska författningar normalt benämns. Det vore visserligen önskvärt om namnet kunde vara kort, men samtidigt bör namnet 161

ange för vem författningen gäller och vad den handlar om. Gemensamt för de myndigheter som ska tillämpa lagen är att lagen ska gälla i deras polisiära verksamhet. Regeringen anser mot den bakgrunden att lagen ska benämnas lag om polisens behandling av personuppgifter inom brottsdatalagens område. Som en följd av namnbytet måste alla hänvisningar till lagen ändras.

7.2 Allmänna bestämmelser

7.2.1 Tillämpningsområdet

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när någon av följande myndigheter i egenskap av behörig myndighet behandlar personuppgifter: 1. Polismyndigheten, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, 2. Ekobrottsmyndigheten, om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet, 3. Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott. Lagen ska inte gälla vid personuppgiftsbehandling enligt vapenlagen, lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister eller lagen om Polismyndighetens elimineringsdatabas.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Polismyndigheten förordar att uttrycket ”övervaka allmän ordning och säkerhet” används i stället för ”upprätthålla allmän ordning och säkerhet”. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen behöver anpassas Polisdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter i brottsbekämpande verksamhet vid Polismyndigheten och Säkerhetspolisen och i polisiär verksamhet vid Ekobrottsmyndigheten. Tillämpningsområdet måste dock anpassas till brottsdatalagens tillämpningsområde, så att det dels utgår från syftet med behandlingen, dels omfattar den personuppgiftsbehandling som myndigheterna utför inom brottsdatalagens tillämpningsområde och som inte regleras i någon annan lag. Det bör också framgå att lagen endast gäller när myndigheterna agerar i egenskap av behöriga myndigheter. Polisdatalagen gäller i dag även i Säkerhetspolisens brottsbekämpande verksamhet. Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet omfattas dock inte av direktivet och brottsdatalagen kommer inte att vara tillämplig på den verksamheten. Eftersom polisdatalagen anpassas till brottsdatalagen skulle det bli komplicerat att reglera 162

all Säkerhetspolisens personuppgiftsbehandling i polisdatalagen. Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet bör i stället, som utredningen föreslagit, regleras i en särskild lag. I detta avsnitt diskuteras därför enbart i vilken utsträckning Säkerhetspolisen bör tillämpa lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Tillämpningsområdet för Polismyndigheten För att tillämpningsområdet för lagen ska täcka det som i dag omfattas av regleringen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bl.a. bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. Polismyndigheten har enligt 2 § polislagen (1984:387) i uppdrag att förebygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den allmänna ordningen eller säkerheten, att övervaka den allmänna ordningen och säkerheten och att ingripa när störningar har inträffat. För att lagen om polisens behandling av personuppgifter inom brottsdatalagens område så långt möjligt ska täcka all Polismyndighetens behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde bör myndighetens behandling av personuppgifter vid upprätthållande av allmän ordning och säkerhet omfattas av tillämpningsområdet. Polismyndigheten förordar att uttrycket ”övervaka allmän ordning och säkerhet” används i stället för ”upprätthålla allmän ordning och säkerhet”. Den sistnämnda formuleringen har dock valts i brottsdatalagen och bör därför användas även här, se lagrådsremissen Brottsdatalag, avsnitt 6.4.3. Där diskuteras också var gränsen för tillämpningsområdet bör gå. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbehandling i syfte att verkställa straffrättsliga påföljder. För Polismyndighetens del blir sådan personuppgiftsbehandling framför allt aktuell i myndighetens uppbördsverksamhet. För närvarande bereds en departementspromemoria som innehåller förslag till hur Polismyndighetens behandling av personuppgifter vid uppbörd av böter bör regleras. Mot den bakgrunden lämnas inte nu några förslag när det gäller Polismyndighetens personuppgiftsbehandling i syfte att verkställa straff.

Tillämpningsområdet för Ekobrottsmyndigheten Ekobrottsmyndigheten är en åklagarmyndighet med ett utökat uppdrag. I myndigheten integreras åklagarverksamheten med den polisiära verksamhet som krävs för att utreda de brott som Ekobrottsmyndigheten har i uppdrag att bekämpa (se prop. 2014/15:63 s. 21 f.). Den operativa verksamheten kan delas in i tre verksamhetsområden: underrättelseverksamhet, utrednings- och lagföringsverksamhet och brottsförebyggande verk- 163

samhet. Huvuddelen av Ekobrottsmyndighetens verksamhet består i att utreda brott. Åklagare är alltid förundersökningsledare i förundersökningar vid myndigheten och fattar beslut om lagföring. Personuppgiftsbehandlingen vid Ekobrottsmyndigheten regleras i dag i både åklagardatalagen och polisdatalagen. Polisdatalagen gäller i den polisiära verksamheten medan åklagardatalagen gäller i den övriga operativa verksamheten. Det har framkommit att det finns osäkerhet om vilket regelverk som ska tillämpas. Utgångspunkten för vilket regelverk som ska tillämpas bör vara densamma för Ekobrottsmyndigheten som för Åklagarmyndigheten och Polismyndigheten. Den personuppgiftsbehandling som utförs för att fullgöra åklagaruppgifter i utredningsverksamheten bör därför styras av den registerförfattning som gäller för åklagarväsendet. Den personuppgiftsbehandling som utförs i den övriga utredningsverksamheten vid Ekobrottsmyndigheten bör däremot regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. I dag används uttrycket polisiär verksamhet för att avgränsa tillämpningsområdet för polisdatalagen. Det finns ingen definition av vad som är polisiär verksamhet. Sådan verksamhet är vittomfattande och berör många sektorer av samhället. Regeringen instämmer därför i utredningens bedömning att det är bättre att utgå från åklagarverksamheten än den polisiära verksamheten vid avgränsningen av tillämpningsområdet. Åklagarverksamhet består av två huvuddelar, brottsutredning och lagföring, men åklagare har även vissa andra författningsreglerade uppgifter inom brottsdatalagens tillämpningsområde. Brottsutredning avser först och främst att åklagare fattar beslut i fråga om huruvida förundersökning ska inledas eller begränsas, läggas ned eller avslutas på annat sätt. Det innefattar också alla beslut som åklagare fattar om åtgärder under en förundersökning, exempelvis om straffprocessuella tvångsmedel eller framställningar till domstol. Beslut i samband med att förundersökningar läggs ned eller avslutas på annat sätt, t.ex. genom åtalsunderlåtelse, och uppgifter i samband med besluten ingår således i åklagarverksamheten. Åklagare är enligt 22 kap. rättegångsbalken skyldiga att biträda målsägande. Åklagarverksamhet inkluderar även att förbereda och föra olika former av talan som kan föras i ett brottmål i samband med ansvarstalan, t.ex. talan om enskilt anspråk, näringsförbud, rådgivningsförbud eller skattetillägg. Lagföring avser för åklagarnas del huvudsakligen att utfärda strafförelägganden och besluta om åtal, att föra ansvarstalan och att företräda staten i andra frågor i brottmål. På samma sätt som domstol har åklagare även omfattande skyldigheter att expediera beslut. Det är dock inte längre möjligt att låta regleringen om personuppgiftsbehandling utgå från den verksamhet som personuppgifterna behandlas i, eftersom syftet med personuppgiftsbehandlingen är avgörande för lagens tillämpningsområde. Lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör därför gälla vid personuppgiftsbehandling hos Ekobrottsmyndigheten i syfte att utreda brott, om det inte är fråga om åklagarverksamhet. Vid Ekobrottsmyndigheten är det enbart åklagare som fattar beslut om lagföring. Därför bör myndighetens personuppgiftsbehandling i det syftet inte regleras i lagen om polisens behandling av 164 personuppgifter inom brottsdatalagens område.

Det bedrivs även underrättelseverksamhet vid Ekobrottsmyndigheten. Den verksamheten leds och utförs dock av Polismyndigheten. Lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör tillämpas på den behandlingen, på samma sätt som vid annan personuppgiftsbehandling som Polismyndigheten utför.

Tillämpningsområdet för Säkerhetspolisen Säkerhetspolisen ska enligt 13 § förordningen (2014:1103) med instruktion för Säkerhetspolisen bistå vid polisverksamhet som leds av Polismyndigheten om myndigheten i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Säkerhetspolisen ska också lämna tekniskt biträde och annan hjälp till Polismyndigheten i den utsträckning som myndigheterna kommer överens om. När Säkerhetspolisen lämnar sådant biträde omfattas personuppgiftsbehandlingen av brottsdatalagens tilllämpningsområde, om den inte rör nationell säkerhet (se lagrådsremissen Brottsdatalag, avsnitt 6.5.1). Enligt 30 § förordningen (2014:1102) med instruktion för Polismyndigheten får chefen för Nationella operativa avdelningen i samråd med biträdande säkerhetspolischefen i ett enskilt fall bestämma att en förundersökning eller annan liknande uppgift i den brottsbekämpande verksamheten ska lämnas över till Säkerhetspolisen för fortsatt handläggning. Syftet med bestämmelsen är bl.a. att jävssituationer ska kunna undvikas (se prop. 2013/14:110 s. 400). När Säkerhetspolisen med stöd av ett beslut enligt den paragrafen genomför en förundersökning eller utför någon annan uppgift som normalt skulle utföras av Polismyndigheten och som omfattas av brottsdatalagens tillämpningsområde bör Säkerhetspolisen tillämpa den lagen. För Polismyndighetens del kompletteras brottsdatalagen av lagen om polisens behandling av personuppgifter inom brottsdatalagens område. När Säkerhetspolisen biträder eller övertar en arbetsuppgift från Polismyndigheten bör Säkerhetspolisen tillämpa samma reglering. Säkerhetspolisen bör således tillämpa lagen om polisens behandling av personuppgifter inom brottsdatalagens område i frågor som inte rör nationell säkerhet, om personuppgifter behandlas i syfte att bekämpa eller lagföra brott.

Lagen ska inte gälla vid behandling i vissa register Enligt 1 kap. 3 § polisdatalagen gäller lagen inte vid behandling enligt vapenlagen, lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister, lagen om polisens allmänna spaningsregister (numera upphävd) och lagen om register över tillträdesförbud vid idrottsarrangemang. Det är inte möjligt att reglera all Polismyndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Lagen bör därför inte gälla vid behandling av personuppgifter som regleras särskilt i vissa andra uppräknade författningar. Till skillnad från utredningen anser regeringen att vapenlagen uttryckligen bör undantas från tillämpningsområdet. I vilken utsträckning vapenlagen omfattas av brottsdatalagens tillämpningsområde övervägs för närvarande i ett annat lagstiftningsärende. 165

Eftersom lagen (2010:362) om polisens allmänna spaningsregister har upphört att gälla bör hänvisningen till den lagen tas bort. Regeringen anser vidare, i likhet med utredningen, att Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret bör regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område (se avsnitt 14.2) och hänvisningen till den lagen bör därför också utgå. Enligt lagen om Polismyndighetens elimineringsdatabas får Polismyndigheten föra ett register över dna-profiler i syfte att stärka kvaliteten i den forensiska verksamheten med dna-analyser. Både dna-profiler som inte kan hänföras till en identifierbar person och dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken från en misstänkt jämförs med dna-profilerna i elimineringsdatabasen innan de läggs in i spårregistret respektive utredningsregistret eller dna-registret. Syftet med det är att säkerställa att sökningar i registren inte ger felaktiga resultat på grund av att kontaminerade dna-profiler har registrerats. Regeringen instämmer i utredningens bedömning att behandling av dna-profiler i elimineringsdatabasen är en verksamhet som är oupplösligt förbunden med Polismyndighetens hantering av de övriga dna-registren och därför bör omfattas av brottsdatalagens tillämpningsområde. Med hänsyn till att elimineringsdatabasen inte får användas för att utreda brott ansåg regeringen dock tidigare att regleringen av den inte passade in i polisdatalagen, eftersom den lagen gäller i den brottsbekämpande verksamheten (se prop. 2013/14:110 s. 456). Det finns fortfarande goda skäl att reglera databasen särskilt. Behandling som utförs enligt lagen om Polismyndighetens elimineringsdatabas bör därför undantas från tillämpningsområdet.

Lagen om flygpassageraruppgifter i brottsbekämpningen En ny lag om flygpassageraruppgifter i brottsbekämpningen föreslås träda i kraft den 1 augusti 2018, dvs. före lagen om polisens behandling av personuppgifter inom brottsdatalagens område (se lagrådsremissen Lag om flygpassageraruppgifter i brottsbekämpningen). Lagen genomför Europaparlamentets och rådets direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet). Lagen kommer bl.a. att innehålla regler om behandling av personuppgifter. I samma lagrådsremiss föreslås ändringar i polisdatalagen som innebär att om det i den nya lagen finns bestämmelser som avviker från polisdatalagen, ska dessa bestämmelser tillämpas i stället för polisdatalagens reglering. Polisdatalagen kommer alltså enligt förslaget att vara subsidiär i förhållande till lagen om flygpassageraruppgifter i brottsbekämpningen. Polisdatalagen är sedan tidigare subsidiär även i förhållande till lagen (2017:496) om internationellt polisiärt samarbete.

7.2.2 Personuppgiftsansvar

Regeringens förslag: Polismyndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten utför vid Ekobrottsmyndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Ekobrottsmyndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i syfte att utreda brott. Säkerhetspolisen ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget men anför att det kommer att uppstå gränsdragningsproblem i den operativa verksamheten. Ekobrottsmyndigheten tillstyrker förslaget som tydliggör myndighetens personuppgiftsansvar. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag : Polismyndigheten är i dag enligt 2 kap. 4 § polisdatalagen personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför och den behandling som utförs i polisiär verksamhet vid Ekobrottsmyndigheten. Att Polismyndigheten även fortsättningsvis bör vara personuppgiftsansvarig för den behandling av personuppgifter som utförs vid den egna myndigheten är självklart, liksom att Säkerhetspolisen bör vara personuppgiftsansvarig för den behandling som myndigheten utför enligt lagen. Vem som bör vara personuppgiftsansvarig för den behandling som utförs vid Ekobrottsmyndigheten är däremot inte lika givet. Frågan har länge varit föremål för diskussion. Ekobrottsmyndigheten har i olika lagstiftningsärenden framfört att myndigheten bör vara personuppgiftsansvarig för all den behandling av personuppgifter som utförs vid myndigheten, eftersom det inte är möjligt att dela upp personuppgiftsansvaret beroende på vem som hanterar personuppgifterna eller vilket it-system som används (se prop. 2009/10:85 s. 92 f. och prop. 2013/14:110 s. 447 f.). Ekobrottsmyndigheten är enligt 2 kap. 3 § åklagardatalagen personuppgiftsansvarig för den personuppgiftsbehandling som utförs vid myndigheten enligt åklagardatalagen. När Ekobrottsmyndigheten inrättades var myndigheten även personuppgiftsansvarig för personuppgiftsbehandlingen i den polisverksamhet som bedrevs vid myndigheten. Myndigheten omfattades däremot inte av den tidigare gällande polisdatalagens (1998:622) tillämpningsområde, eftersom den är en åklagarmyndighet. Myndighetens personuppgiftsbehandling reglerades, förutom i förordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet, i personuppgiftslagen. För att Ekobrottsmyndigheten skulle kunna bedriva kriminalunderrättelseverksamhet ändrades den tidigare gällande polisdatalagen (1998:622) och gjordes från den 1 januari 2004 tillämplig på polisverksamheten i myndigheten (prop. 2002/03:144 s. 15 f.). Dåvarande Rikspolisstyrelsen blev personuppgiftsansvarig för 167

den personuppgiftsbehandling vid Ekobrottsmyndigheten som utfördes med stöd av polisdatalagen. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt förarbetena till den nu gällande polisdatalagen bör huvudregeln vara att den myndighet som utför själva behandlingen också ska ha personuppgiftsansvaret för den. Regeringen ansåg dock att någon förändring av personuppgiftsansvaret vid Ekobrottsmyndigheten inte var motiverad när polisdatalagen infördes (se prop. 2009/10:85 s. 93). Inte heller när åklagardatalagen infördes gjordes någon ändring (se prop. 2014/15:63 s. 45). Polismyndigheten leder underrättelse- och spaningsverksamheten vid de polisoperativa enheterna vid Ekobrottsmyndigheten. Även om personuppgiftsbehandlingen utförs vid Ekobrottsmyndigheten är det Polismyndigheten som leder den verksamheten och som därigenom bestämmer ändamålen med och medlen för behandlingen. Polismyndigheten bör därför även i fortsättningen vara personuppgiftsansvarig för den personuppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet vid Ekobrottsmyndigheten. Däremot är det Ekobrottsmyndigheten som genomför brottsutredningarna och som därigenom bestämmer ändamålen med och medlen för behandlingen i den delen av verksamheten. Polismyndigheten har ingen praktisk möjlighet att fullgöra personuppgiftsansvaret i den verksamheten. Ekobrottsmyndigheten bör därför pekas ut som personuppgiftsansvarig för den behandling som myndigheten utför i syfte att utreda brott enligt lagen. Det är oundvikligt att, så som Datainspektionen påpekar, gränsdragningsproblem kan komma att uppstå i enskilda fall. Sådana gränsdragningsproblem förekommer även i dag, och får lösas med ledning av brottsdatalagens definition av personuppgiftsansvarig enligt 1 kap. 6 §.

7.2.3 En bestämmelse om hur lagen är uppbyggd

Regeringens förslag: Lagen ska innehålla en bestämmelse om hur den är uppbyggd.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Samtliga kapitel i polisdatalagen gäller inte för all personuppgiftsbehandling inom tillämpningsområdet. Personuppgiftsbehandling i vissa register och i den forensiska verksamheten kommer även i fortsättningen att regleras i särskilda kapitel på grund av att bara delar av lagen ska vara tillämpliga vid den behandlingen. Vidare är det bara vissa kapitel som gäller för Ekobrottsmyndigheten och Säkerhetspolisen. Det behöver därför tydliggöras vad som gäller för dem och hur lagens kapitel förhåller sig till varandra. Bestämmelsen om lagens uppbyggnad bör således behållas men anpassas till lagens nya struktur.

7.3 Grundläggande bestämmelser om behandling

7.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att Polismyndigheten, Ekobrottsmyndigheten och Säkerhetspolisen ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Regleringen i 2 kap. 7 § polisdatalagen bör således behållas, men det bör framgå att det inte är fråga om ändamålsbestämmelser i egentlig mening. Bestämmelserna är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Polismyndigheten, Ekobrottsmyndigheten och Säkerhetspolisen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. Polismyndigheten får i dag behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Polismyndigheten ska få fortsätta att behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Det bör i tillämpliga delar gälla även för övriga myndigheter som tillämpar lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Som en följd av direktivets tillämpningsområde bör lagen tillämpas på Polismyndighetens personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet. Upprätthållande av allmän ordning och säkerhet bör därför också anges som en tillåten rättslig grund i lagen.

Lagen om polisens behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör den senare helt ersätta bestämmelsen i brottsdatalagen. Det bör därför på samma sätt som i brottsdatalagen föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I lagrådsremissen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (se avsnitt 7.2). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För Polismyndighetens del nämns bl.a. 2 § polislagen, där det anges att en av Polismyndighetens huvuduppgifter är att utreda och beivra brott. Den bestämmelsen, tillsammans med den föreslagna regleringen i 2 kap. 1 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar.

Behandling för nya ändamål I dag regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 2 kap. 8 § polisdatalagen. Regeringen anser i likhet med utredningen att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål regleras i stället i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Samma prövning ska göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i lagen om polisens behandling av personuppgifter inom brottsdatalagens område som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen.

7.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens förslag: Polismyndigheten och Säkerhetspolisen ska få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Regeringens bedömning: Säkerhetspolisen och Ekobrottsmyndigheten bör inte få behandla genetiska uppgifter. Polismyndigheten bör endast få behandla genetiska uppgifter i den forensiska verksamheten.

Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. Polismyndigheten välkomnar att möjligheterna i respektive verksamhet inte begränsas mer än att behandling av sådana uppgifter endast får ske när det är absolut nödvändigt för ändamålet med behandlingen. Övriga remissinstanser yttrar sig inte särskilt i denna del.

Skälen för regeringens förslag och bedömning

Förutsättningarna för att behandla biometriska och genetiska uppgifter Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Vanliga fotografier och filmer omfattas inte av definitionen om de inte bearbetas tekniskt på något sätt så att identifiering blir möjlig, t.ex. i ett ansiktsigenkänningsprogram (se lagrådsremissen Brottsdatalag, avsnitt 6.2). Genetiska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår eller ett prov av personen i fråga. Det är framför allt fråga om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram vid andra analyser omfattas (se lagrådsremissen Brottsdatalag, avsnitt 6.2). Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Det finns därför skäl att överväga myndigheternas behov av att behandla sådana uppgifter.

Biometriska uppgifter Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras. Fingeravtryck, ansiktsgeometri, ögats iris eller nät- eller regnbågshinna, röst, hand, blodkärl, dna eller rörelsemönster kan användas. Fingeravtryck och dna har använts länge i den polisiära verksamheten, men den tekniska utvecklingen har förändrat förutsättningarna för att använda framför allt biometri. Det har under de senaste åren utvecklats 171

helt nya möjligheter att använda exempelvis ansikts- och röstigenkänning. Som utredningen konstaterar går utvecklingen fort och det är svårt att förutse vad som kommer att vara möjligt inom några år. Polisen bör även i fortsättningen ha möjlighet att behandla biometriska uppgifter i brottsbekämpningen. Det är viktigt att den rättsliga regleringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person behandlas bara om det är absolut nödvändigt för ändamålet med behandlingen. Regeringen instämmer i utredningens bedömning att det för närvarande inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare. Polismyndigheten och Säkerhetspolisen har behov av att behandla biometriska uppgifter medan det är svårt att se att Ekobrottsmyndigheten har ett sådant behov. Det bör därför införas en bestämmelse i lagen som medger att Polismyndigheten och Säkerhetspolisen får behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Det bör anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Det kommer alltså att vara möjligt att behandla personuppgifter i sådana utlåtanden i samma utsträckning som i dag.

Genetiska uppgifter Genetiska uppgifter behandlas vid dna-analyser för att ta fram dnaprofiler eller forensiska uppslag. Själva dna-profilen, som behandlas i Polismyndighetens dna-register, är endast en sifferkombination och är därmed ingen genetisk uppgift (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Vid sidan av den forensiska verksamheten hos Polismyndigheten har det inte framkommit något behov hos de behöriga myndigheterna att få behandla genetiska uppgifter. Någon bestämmelse som medger sådan behandling bör följaktligen inte finnas i lagen.

7.3.3 Sökning på känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet ska inte heller hindra sökning i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte omfattas av de särskilda bestämmelserna om gemensamt tillgängliga uppgifter i lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Polismyndigheten tillstyrker förslaget men framhåller att den nya författningstekniska lösningen innebär att undantagsbestämmelser måste införas för penningtvättsregistret och det internationella registret för att sökmöjligheterna inte ska försämras i förhållande till vad som gäller i dag.

Skälen för regeringens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I 2 kap. 14 § brottsdatalagen kommer det att finnas ett generellt sökförbud, vilket utgår från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Detta skiljer sig från dagens reglering. Eftersom sökförbudet får en ny utformning är det nödvändigt att se över bestämmelserna om sökning i polisdatalagen. En utgångspunkt är att en effektiv underrättelse- och utredningsverksamhet kräver att vissa avsteg från förbudet tillåts, trots att detta i någon mån innebär en försvagning av integritetsskyddet. Enligt 3 kap. 5 § andra stycket i nuvarande polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det finns även i fortsättningen behov av att kunna använda sådana uppgifter vid sökning, trots att det kan leda till att man får fram ett urval av personer grundat på känsliga personuppgifter. Det bör därför göras undantag från brottsdatalagens sökförbud för sådana sökningar. För att möjligheterna till sökning ska vara desamma som i dag bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte. Polisen har även behov av att kunna göra sökningar på tillvägagångssätt vid brott. Sådana sökningar kan i vissa fall leda till ett urval av personer grundat på känsliga personuppgifter. Som exempel kan nämnas att tillvägagångssätt vid sexualbrott kan avslöja uppgifter om sexualliv eller sexuell läggning. Tillvägagångssätt vid både sexualbrott och andra brott kan avslöja skador som gärningsmannen ådragit sig, dvs. avslöja uppgifter om hälsa. Undantaget från sökförbudet bör därför omfatta tillvägagångssätt vid brott. Även sökningar på verkställighet av påföljd kan ibland vara nödvändiga. Polisen kan exempelvis vid vissa typer av brott ha intresse av att kartlägga om personer som genomgår rättspsykiatrisk vård haft frigång eller permission. Att någon är föremål för rättspsykiatrisk vård avslöjar en uppgift om hälsa. Även information om permissioner eller vårdvistelser inom ramen för fängelsestraff, t.ex. att någon vistas på en viss typ av behandlingshem, kan avslöja uppgifter om hälsa. Undantaget från sökförbudet i brottsdatalagen bör därför även omfatta sökning på uppgifter om verkställighet av påföljd.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i polisdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig. De behöriga myndigheternas möjligheter att använda känsliga personuppgifter vid sökningar bör inte försämras i förhållande till dagens reglering. För att effektivt kunna bekämpa brott kan polisen ha behov av att göra sammanställningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdatalagen även i sådana fall. Det är framför allt i polisens underrättelseverksamhet som det finns behov av sökningar som innebär att sammanställningar grundade på känsliga personuppgifter skapas. Bekämpningen av organiserad brottslighet kräver inte sällan kartläggning av misstänktas kontakter och vanor. Sådana kartläggningar kan leda till att känsliga personuppgifter avslöjas. Det kan t.ex. visa sig att en övervakad person regelbundet besöker en lokal där det förekommer religiösa ceremonier eller politisk eller facklig verksamhet. Ett annat exempel är att en övervakad person huvudsakligen umgås med personer som har ett visst etniskt ursprung. Polisen måste kunna göra sökningar i sådana underrättelseuppgifter för att förebygga, förhindra eller upptäcka brottslig verksamhet som begås av flera personer som förenas genom sitt etniska ursprung, sin religiösa eller filosofiska övertygelse eller sina politiska åsikter. Polisen måste även kunna göra sökningar i syfte att förebygga, förhindra och upptäcka brott som riktar sig mot personer av visst etniskt ursprung eller med viss religiös övertygelse. Det finns motsvarande behov av att kunna söka på känsliga personuppgifter i utredningsverksamheten. Behovet av att göra sammanställningar grundade på genetiska och biometriska uppgifter i den forensiska verksamheten vid Polismyndigheten behandlas senare (se avsnitt 7.8). Behandling av biometriska uppgifter i ett ansiktsigenkänningsprogram kan inte anses motsvara en sökning i syfte att få fram ett visst urval av personer, utan måste ses som en sådan normal behandling av biometriska uppgifter som är tillåten om den är absolut nödvändig för ändamålet med behandlingen. Det finns därför inte något behov av undantag för sökningar när det gäller biometriska uppgifter utanför den forensiska verksamheten. Det kan inte finnas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Undantaget från sökförbudet i brottsdatalagen bör mot den bakgrunden utformas så att sökningar möjliggörs när det gäller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. 174

För närvarande gäller inte något sökförbud vid sökningar i de särskilda register som regleras i 5 kap. polisdatalagen. Polismyndigheten invänder att den föreslagna regleringen skulle medföra att möjligheterna att söka i penningtvättsregistret och det internationella registret begränsas och att undantag från sökförbudet måste införas för dessa register för att upprätthålla dagens ordning. Någon ändring i sak bör inte göras i fråga om polisens möjligheter att söka i de aktuella registren. I förhållande till utredningens förslag bör det därför tydliggöras att sökförbudet inte gäller vid sökningar i personuppgifter som inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §. Av 1 kap. 7 § framgår att 3 kap. inte gäller för de register som avses i 5 kap. Personuppgifterna i dessa register har alltså inte gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §. Det blir därigenom tydligt att sökförbudet inte hindrar sökningar där.

7.4 Personuppgifter från transportföretag

7.4.1 Personuppgiftsbehandlingen bör regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område

Regeringens förslag: Bestämmelserna om behandling av personuppgifter som tillhandahålls av transportföretag enligt polislagen ska tas in i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Sådana personuppgifter ska få behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Nuvarande reglering Enligt 25 § polislagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till Polismyndigheten och Säkerhetspolisen. Det rör sig bl.a. om uppgifter om resenärers namn, medresenärers namn och transportmedel. Uppgifterna får endast begäras om de kan ha betydelse för myndighetens brottsbekämpande verksamhet. Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem där polisen får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåtkomst tillåts enligt 26 § bara i den omfattning och under den tid som behövs för att kontrollera aktuella transporter. Uppgifterna får även lämnas på annat sätt om transportföretaget anser att det är bättre. Uppgifterna lämnas ofta elektroniskt, men det förekommer även att de tillhandahålls på papper. Uppgifter om enskilda som lämnas på annat sätt än genom terminalåtkomst ska enligt 26 § tredje stycket polislagen omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott. Syftet med bestämmelsen är att hindra att uppgifterna sprids, eftersom 175

det till största delen är fråga om information om enskilda personer som inte är misstänkta för brottslig verksamhet.

Personuppgiftsbehandlingen bör regleras i registerförfattningen I polislagen regleras inte bara transportföretagens uppgiftsskyldighet, utan även på vilket sätt och hur länge polisen får behandla personuppgifterna. Tullverket har motsvarande tillgång till uppgifter från transportföretag enligt bestämmelser i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen (inregränslagen) och tullagen (2016:253). För polisens del finns det i dag ingen reglering av behandlingen av personuppgifter från transportföretag i polisdatalagen. Tullverkets behandling av personuppgifter från transportföretag regleras däremot både i inregränslagen och tullagen och i 2 kap. 8 och 9 §§ tullbrottsdatalagen. Inom brottsdatalagens tillämpningsområde är utgångspunkten att myndigheternas personuppgiftsbehandling i så stor utsträckning som möjligt ska regleras i respektive registerförfattning. En annan ordning, med enstaka bestämmelser om personuppgiftsbehandling i andra lagar, skulle innebära att regleringen blir mer svåröverskådlig för enskilda. Bestämmelserna om hur polisen får behandla personuppgifter från transportföretag bör därför föras över till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Transportföretagens skyldigheter bör dock fortfarande regleras i polislagen.

Hur får uppgifterna behandlas? Enligt 26 § polislagen får transportföretagen tillhandahålla Polismyndigheten och Säkerhetspolisen passageraruppgifter genom att göra dem läsbara via terminalåtkomst. Uppgifter som hålls tillgängliga på det sättet får inte ändras eller på annat sätt bearbetas eller lagras av myndigheterna. Bestämmelsen kan uppfattas på det sättet att myndigheterna inte får hantera personuppgifterna på annat sätt än att läsa dem på en terminal. Det kan dock inte ha varit avsikten att regleringen ska tolkas så snävt, eftersom tillgången till sådana uppgifter skulle vara meningslös om uppgifter av betydelse för brottsbekämpningen inte skulle få tillföras den brottsbekämpande verksamheten. I förarbetena till Tullverkets motsvarande bestämmelse anges att uppgifterna kan behöva bevaras så länge de har betydelse för vidare åtgärder (se prop. 1995/96:166 s. 84). Det bör förtydligas att den nu aktuella bestämmelsen endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it-system. Om personuppgifter i ett enskilt fall ger upphov till ett underrättelseuppslag eller behövs i en brottsutredning kan de som regel behandlas enligt de generella bestämmelserna i brottsdatalagen och lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Polismyndigheten har framför allt behov av att kunna behandla bokningsuppgifter för att kontrollera en viss persons resande eller vilka som vid ett visst tillfälle reser till en viss destination. Polismyndigheten kan ha behov av sådana uppgifter både i sin underrättelseverksamhet och för brottsutredning. I underrättelseverksamheten kan det t.ex. vara viktigt att kartlägga hur vissa varor förs in i landet. Vid s.k. kontrollerade leveranser av narkotika kan bokningsuppgifter vara av stor betydelse. Vidare 176

kan det vid utredning av brott exempelvis vara av värde att kartlägga möjliga vägar att föra stöldgods ut ur landet eller att följa narkotikans väg till Sverige. Polismyndigheten bör därför i enskilda fall kunna dra nytta av uppgifter från transportföretagen både i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet och i syfte att utreda eller lagföra brott. I avsnitt 7.4.4 behandlas frågan om det i lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör finnas en särskild bestämmelse om att personuppgifter från transportföretag ska förstöras om de visar sig sakna betydelse för brottsbekämpningen.

Lagen om flygpassageraruppgifter i brottsbekämpningen Regeringen har nyligen lämnat ett förslag till lag om flygpassageraruppgifter i brottsbekämpningen som bl.a. innehåller bestämmelser om personuppgiftsbehandling i enlighet med kraven i PNR-direktivet (se lagrådsremissen Lag om flygpassageraruppgifter i brottsbekämpningen). Där regleras skyldigheten för flygbolag att överföra passageraruppgiftssamlingar till särskilda enheter för passagerarinformation i medlemsstaterna, för vilka ändamål personuppgifterna får behandlas, hur länge de får lagras och under vilka förutsättningar de får lämnas ut. Den nya lagen kommer att ha företräde framför bestämmelserna i polisdatalagen och polislagen.

7.4.2 Begränsningar i möjligheterna att behandla personuppgifter

Regeringens förslag: Personuppgifter som transportföretag tillhandahåller ska endast i enskilda fall få behandlas för nya ändamål enligt brottsdatalagen. Regeringens bedömning: Det bör inte införas någon begränsning av Polismyndighetens möjligheter att söka i uppgifter från transportföretag.

Utredningens förslag och bedömning överensstämmer delvis med regeringens förslag. Utredningen föreslår en begränsning av Polismyndighetens möjligheter att söka i uppgifter från transportföretag. Remissinstanserna: Polismyndigheten motsätter sig att en begränsning av myndighetens möjligheter att behandla uppgifter införs utan att konsekvenserna för polisens verksamhet och förmåga har analyserats grundligt. Hovrätten för Västra Sverige har inte något att erinra mot förslaget att inskränka polisens möjligheter att behandla personuppgifter, under förutsättning att det grundar sig på upplysningar från polisen. Datainspektionen ställer sig positiv till förslaget till begränsning av Polismyndighetens möjligheter att söka i uppgifter från transportföretag. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag och bedömning

Det bör inte regleras vilka sökbegrepp som får användas I dag gäller inga begränsningar i polisens möjligheter att söka i uppgifter från transportföretag. Det gör det däremot om motsvarande uppgifter lämnas till Tullverket. Enligt 2 kap. 9 § tullbrottsdatalagen får vid sökning i uppgifter från transportföretag direkta personuppgifter som namn, personnummer och samordningsnummer användas som sökbegrepp bara om uppgifterna avser en person som är eller har varit misstänkt för brott eller viss brottslig verksamhet eller som övervakas på visst sätt. I förarbetena till bestämmelserna om hur Tullverket får behandla uppgifter från transportföretag konstateras att sökning på resenärers namn i uppgifter från transportföretag är förenade med särskilda integritetsrisker mot bakgrund av dels att transportföretagen är skyldiga att lämna ut uppgifterna, dels att de flesta uppgifterna avser personer som inte kan misstänkas för någon brottslighet (se prop. 1995/96:166 s. 79 f.). Även om det vore effektivt för brottsbekämpningen om Tullverket kunde samköra uppgifter som kommit in från transportföretag med andra uppgifter från den brottsbekämpande verksamheten och på så sätt få fram vilka som redan övervakas eller kan misstänkas ha samband med brottslig verksamhet, slås det fast i förarbetena till tullbrottsdatalagen att det inte bör tillåtas. Det anses vara tillräckligt att Tullverket har möjlighet att söka efter personer som redan är eller har varit misstänkta för brott eller kan antas ha samband med brottslig verksamhet eller personer som är föremål för viss övervakning (se prop. 2016/17:91 s. 107). Det gäller alltså olika regler för samma typ av personuppgifter beroende på vilken myndighet som tar emot dem, vilket utredningen menar är otillfredsställande ur integritetssynpunkt. Utredningen föreslår därför att en sökbegränsning ska gälla även för Polismyndighetens del. Datainspektionen ställer sig positiv till förslaget. Polismyndigheten anser dock att myndigheten bör ha vidare möjligheter att behandla personuppgifter från transportföretag än vad Tullverket har, eftersom polisens uppdrag och behov i väsentliga delar skiljer sig från Tullverkets (se prop. 1995/96:166 s. 78). Polismyndigheten framhåller att utredningens förslag innebär att möjligheterna att bekämpa den organiserade gränsöverskridande tillgreppsbrottsligheten minskar och att förslaget riskerar att försämra det internationella polissamarbetet. Hovrätten för Västra Sverige tillstyrker endast förslaget om det grundar sig på uppgifter från Polismyndigheten. Tullverket och Polismyndigheten har olika ansvarsområden vid brottsbekämpningen, vilket kan motivera att reglerna för myndigheternas personuppgiftsbehandling i viss mån skiljer sig åt. Den sökbegränsning som nu föreslås för Polismyndighetens del kan riskera att försämra myndighetens möjligheter att bekämpa den organiserade gränsöverskridande brottsligheten. Trots att förslaget skulle innebära en viss förstärkning av integritetsskyddet, anser regeringen därför att en sökbegränsning motsvarande den som gäller för Tullverket inte bör genomföras för Polismyndighetens del.

Behandling för nya ändamål I dag finns det inga bestämmelser om vidarebehandling av personuppgifter som transportföretag tillhandahåller. Det gör det däremot om motsvarande uppgifter lämnas till Tullverket. Enligt 2 kap. 8 § tullbrottsdatalagen får Tullverket endast om det behövs i ett enskilt fall behandla personuppgifter från transportföretag för något annat primärt ändamål. Det innebär att uppgifterna exempelvis får användas för att utreda brott. Behandling för nya ändamål såväl inom som utanför brottsdatalagens tillämpningsområde regleras i brottsdatalagen. Innan personuppgifter får behandlas för ett nytt ändamål inom lagens område ska det säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Motsvarande prövning ska göras innan personuppgifter som behandlas med stöd av brottsdatalagen får behandlas för ett ändamål utanför lagens tillämpningsområde. Riksdagen har nyligen ställt sig bakom att Tullverket ska få behandla personuppgifter av nu aktuellt slag för nya ändamål endast om det behövs i enskilda fall (se prop. 2016/17:91 s. 107). Mot den bakgrunden bör polisens rätt att behandla personuppgifter som tillhandahålls av transportföretag för nya ändamål begränsas på motsvarande sätt. Behandling för nya ändamål bör därför vara tillåten endast i enskilda fall, t.ex. när ett brott upptäcks och personuppgifterna behövs för att utreda brottet.

7.4.3 Uppgifter från transportföretag får göras gemensamt tillgängliga

Regeringens bedömning: Personuppgifter från transportföretag får göras gemensamt tillgängliga. Det kräver ingen särskild reglering.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: Uppgifterna från transportföretagen är till allra största delen information om personer som inte är intressanta ur ett brottsbekämpningsperspektiv. Som utredningen konstaterat är utgångspunkten därför att uppgifterna ska ges så liten spridning som möjligt. När bestämmelserna om Tullverkets tillgång till uppgifter från transportföretag infördes konstaterade regeringen att uppgifternas karaktär krävde begränsningar av hur uppgifterna fick användas (se prop. 1995/96:166 s. 83 f.). Enligt 2 kap. 8 § andra stycket tullbrottsdatalagen får personuppgifter från transportföretag bara göras gemensamt tillgängliga i enskilda fall. Om uppgifterna, t.ex. efter en kontroll, visar sig vara nödvändiga för att utreda brott eller ha samband med allvarlig misstänkt brottslig verksamhet får de dock behandlas inom ramen för den utredningen eller det underrättelseärendet och göras gemensamt tillgängliga (se prop. 2016/17:91 s. 107). Även polisen bör få göra nu aktuella personuppgifter gemensamt tillgängliga. Det kan dock inte bli fråga om att göra större mängder information gemensamt tillgänglig, eftersom den till största delen rör personer som inte är intressanta för brottsbekämpningen. I stället kommer det att 179

vara uppgifter om någon eller några personer eller transporter som är av betydelse i underrättelseverksamheten eller i en brottsutredning som görs gemensamt tillgängliga. Vilka uppgifter som får göras gemensamt tillgängliga framgår av 3 kap. 2 § första stycket polisdatalagen. Enligt punkten 1 får uppgifter som kan antas ha samband med viss misstänkt brottslig verksamhet göras gemensamt tillgängliga. Detsamma gäller enligt punkten 3 uppgifter som förekommer i ett ärende om utredning eller beivrande av brott. Någon särskild reglering behövs därför inte.

7.4.4 Hur länge personuppgifterna får behandlas

Regeringens bedömning: Det ska inte finnas någon särskild bestämmelse om att uppgifter från transportföretag ska förstöras om de visar sig sakna betydelse för utredning av eller lagföring för brott.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning : Enligt 26 § tredje stycket polislagen ska uppgifter om enskilda personer som ett transportföretag lämnat på annat sätt än genom terminalåtkomst omedelbart förstöras om de visar sig sakna betydelse för utredning av eller lagföring för brott. Polismyndigheten har inte samma behov som Tullverket att i sin brottsbekämpande verksamhet fortlöpande ta del av alla uppgifter från transportföretag inför att transporterna ankommer. Behovet av uppgifter är mera relaterat till att i vissa fall kunna kontrollera vilka som förväntas komma med en viss transport eller att i efterhand kunna granska vilka personer som åkt med en viss transport. Mot den bakgrunden finns det inte samma behov av en särregel om förstörande. Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas under längre tid än nödvändigt med hänsyn till ändamålet med behandlingen. Den bestämmelsen ger tillräckligt skydd för uppgifterna. Det finns därför inte något behov av att införa en bestämmelse motsvarande 26 § tredje stycket polislagen när regleringen flyttas till lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

7.5 Gemensamt tillgängliga uppgifter

7.5.1 Nya kategorier av personuppgifter får göras gemensamt tillgängliga

Regeringens förslag: Personuppgifter som förekommer i ärenden om kontaktförbud eller om personskydd ska få göras gemensamt tillgängliga. Uppgifterna ska inte få behandlas längre än ett år efter det att ärendet som de behandlades i avslutades. Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet ska också få göras gemensamt tillgängliga. De ska inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Personuppgifter i ärenden om kontaktförbud eller personskydd I 3 kap. 2 § första stycket polisdatalagen anges vilka personuppgifter som får göras gemensamt tillgängliga. Det är bl.a. uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den innefattar brott för vilket är föreskrivet fängelse i ett år eller däröver eller sker systematiskt. Om någon utsätts för hot eller våld är det viktigt att polisen så snabbt som möjligt får kännedom om huruvida han eller hon tidigare har varit utsatt för brott eller är föremål för skyddsåtgärder av något slag. Det finns då bättre förutsättningar att snabbt hitta gärningsmannen. När det gäller personer som skyddas av exempelvis kontaktförbud eller personsäkerhetsåtgärder är det dock inte alltid som personuppgifterna kan knytas till misstanke om brottslig verksamhet eller en utredning om brott så att uppgifterna av det skälet får göras gemensamt tillgängliga. Det finns därför behov av att kunna göra uppgifter om personer med någon form av skyddsbehov gemensamt tillgängliga. Det kan vara personer som skyddas av ett kontaktförbud, är föremål för vittnesskydd eller annat personsäkerhetsarbete. Det är dock inte bara uppgifter om den person som har ett sådant skyddsbehov som bör få göras gemensamt tillgängliga. Det bör även gälla uppgifter om närstående till sådana personer, eftersom hot eller våld kan riktas mot dem för att komma åt den person som har det egentliga skyddsbehovet. Bestämmelsen bör lämpligen formuleras så att personuppgifter som förekommer i ärenden om kontaktförbud eller om personskydd får göras gemensamt tillgängliga. Med hänsyn till att personuppgifterna förekommer i ärenden bör de inte få behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades.

Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet Lagen ska tillämpas även på Polismyndighetens personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. I förarbetena till polisdatalagen framhålls att det är svårt att dra en tydlig gräns mellan polisens ordningshållning och brottsbekämpning, vilket beror på att övervakning och ordningshållande verksamhet även kan syfta till att förebygga och ingripa mot brott. Sådan verksamhet kan också ofta övergå i brottsbekämpning (se prop. 2009/10:85 s. 75). Inför kommenderingar vid särskilda händelser där ordningsstörningar befaras, t.ex. en fotbollsmatch eller en demonstration, kan det finnas behov av att göra uppgifter om tillträdesförbud eller uppgifter om personer som tidigare orsakat ordningsstörningar gemensamt tillgängliga. Även om sådana uppgifter i vissa fall skulle kunna göras gemensamt tillgängliga med stöd av 3 kap. 2 § första stycket 1 polisdatalagen är det inte givet att så alltid är fallet. Därför bör det tydliggöras att personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet får göras gemensamt tillgängliga. 181

Personuppgifter som görs gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet bör inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

7.5.2 Sökning i gemensamt tillgängliga uppgifter

Regeringens förslag: Bestämmelsen som anger vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar ska enbart gälla i automatiserade behandlingssystem. Vid sådan sökning får uppgifter om personer som berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende tas fram. Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän 1. när de utför beredningsuppgifter inom underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 2. i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till, 3. i syfte att utreda brott för vilket det är föreskrivet fängelse i fyra år eller mer, eller 4. i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Det ska också göras undantag för sökning som en tjänsteman vid någon av Polismyndighetens ledningscentraler utför på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget att begränsningen av vilka uppgifter som får tas fram bara ska gälla i automatiserade behandlingssystem, eftersom en sådan förändring riskerar att öppna för sökningar i vidare omfattning än idag. Polismyndigheten tillstyrker de förändringar och förtydliganden som föreslås när det gäller sökning i gemensamt tillgängliga uppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Begränsning endast i automatiserade behandlingssystem Från integritetssynpunkt är en av de viktigaste aspekterna med behandling av personuppgifter i vilken utsträckning uppgifter kan sökas och sammanställas. Ett av syftena med polisdatalagen är att polisen på ett bättre sätt ska kunna dra nytta av redan insamlad information. Lagen ger utrymme för att samla in och behandla en mängd olika personuppgifter, vilket gör att det kan finnas uppgifter om samma person i olika system och uppgiftssamlingar. De möjligheter till behandling som lagen ger och 182 mängden information skulle – om det inte fanns några begränsningar –

skapa utrymme för kvalificerade kartläggningar av enskildas personliga förhållanden (se prop. 2009/10:85 s. 153). För att värna den personliga integriteten har det därför i polisdatalagen införts särskilda begränsningar vid sökning i gemensamt tillgängliga uppgifter. Eftersom sökning med hjälp av personnummer är ett viktigt inslag i polisens verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter. I 3 kap. 6 § polisdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsuppgifter. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka sökningar som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2009/10:85 s. 159 f.). Syftet med begränsningsregeln är att det vid en initial allmän sökning bara ska vara möjligt att få fram vissa typer av uppgifter som ansetts vara polisiärt intressanta. Om det finns förutsättningar för att gå vidare och söka efter andra uppgifter beror på syftet med sökningen i det enskilda fallet och vilken behörighet den som söker informationen har tilldelats. Bestämmelsen ska alltså inte förstås så att den hindrar vidare sökning för den som har behov av det för att fullgöra sina arbetsuppgifter och som har tilldelats den behörighet som fortsatt sökning kräver. Begränsningen gäller bara för uppgifter som behandlas med stöd av polisdatalagen. Den hindrar inte att det vid sökning även tas fram andra uppgifter som polisen har tillgång till, exempelvis genom direktåtkomst till folkbokföringen eller körkorts-, fordons- eller fastighetsregister. Vilken sökning som är tillåten i andra register regleras i de författningar som gäller för dem. Som utredningen konstaterar är regleringen inte tänkt att träffa alla uppgifter som görs gemensamt tillgängliga. Eftersom det är möjligt att göra en fritextsökning i stora mängder information i vanliga ordbehandlingsprogram, skulle det vara orimligt att ställa krav på att all information i textdokument kategoriseras och görs sökbar respektive icke sökbar beroende på vad uppgiften gäller, enbart för att uppfylla kraven på att begränsa resultatet vid sökning. För att tydliggöra att bestämmelsen inte är avsedd att träffa sådana sökningar bör begränsningen enbart gälla i automatiserade behandlingssystem. Därmed omfattas inte sökningar i standardprogram som Word, Outlook och Excel (se lagrådsremissen Brottsdatalag, avsnitt 9.2.2). Datainspektionen invänder att en sådan förändring riskerar att öppna för myndigheterna att söka i vidare omfattning än i dag och anser att argumenten för förändringen inte är tillräckligt starka. Regeringen har dock svårt att se att en annan ordning är praktiskt genomförbar och anser därför, trots Datainspektionens invändning, att begränsningarna vid sökning på uppgifter i gemensamt tillgängliga uppgifter bara bör gälla i automatiserade behandlingssystem. Det innebär dock inte att det saknas integritetsskyddande regler för personuppgiftsbehandling som inte sker i automatiserade behandlingssystem. De grundläggande kraven på personuppgiftsbehandling i brottsdatalagen och lagen om polisens behandling av personuppgifter inom brottsdatalagens område gäller givetvis även sådan behandling, vilket innebär att en sökning bara får göras om det är nödvändigt för att utföra en arbetsuppgift enligt 183

2 kap. 1 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Bör ytterligare uppgifter få tas fram vid sökning? Övergångsbestämmelserna till polisdatalagen innebär att bestämmelserna i 3 kap. 6 och 7 §§ ännu inte har börjat tillämpas. Det saknas därför erfarenheter av hur begränsningarna kommer att fungera i praktiken. Det kan också noteras att regeringen enligt 3 kap. 7 § fjärde stycket har möjlighet att göra ytterligare undantag från bestämmelserna i 3 kap. 6 §. Mot bakgrund av de noggranna överväganden som gjordes när reglerna infördes finns det nu främst anledning att överväga om lagens delvis ändrade tillämpningsområde bör föranleda någon ändring. För Polismyndighetens del omfattar lagen även behandling av personuppgifter för att upprätthålla allmän ordning och säkerhet. De uppgifter som då främst kan vara av intresse är uppgifter om att någon har straffats för eller är misstänkt för brott mot allmän ordning. Sådana uppgifter är redan i dag tillgängliga vid sökning. Detsamma gäller uppgifter om att någon kan antas komma att möta ett polisingripande med grovt våld. Något som i vissa sammanhang kan vara av intresse är uppgift om att någon har meddelats tillträdesförbud enligt lagen om tillträdesförbud vid idrottsarrangemang. Uppgifter om att någon har meddelats tillträdesförbud registreras i belastningsregistret och är på det sättet tillgängliga. Personuppgifter i ärenden om kontaktförbud eller om personskydd ska nu få göras gemensamt tillgängliga, se avsnitt 7.5.1. För att den bestämmelsen ska få avsedd effekt, bör det vid sökning i gemensamt tillgängliga uppgifter få tas fram uppgifter som visar att den sökta personen berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende. Genom användningen av ordet berörs täcks även närstående. Det kan vara svårt att avgöra vilka uppgifter om en sådan person som bör göras sökbara, eftersom personen i fråga kan ha skyddade adressuppgifter eller annat skydd. Som regel torde det räcka att uppgifter om att personen har särskilt skyddsbehov görs sökbara. I övrigt finns det inte anledning att utöka de nu gällande möjligheterna att få fram uppgifter vid en allmän sökning.

Behövs det fler eller andra undantag från begränsningsregeln? Enligt 3 kap. 7 § första stycket 2 gäller inte bestämmelserna i 3 kap. 6 § vid sökningar i uppgiftssamlingar som har skapats för att undersöka viss brottslighet eller vissa kriminella grupperingar och som enbart de som arbetar i undersökningen har tillgång till. Detta undantag skulle kunna leda till att särskilda uppgiftssamlingar skapas enbart för att kringgå bestämmelsen i 6 §. Bestämmelsen bör därför ändras. Regeringen instämmer i utredningens bedömning att ändringen bör göras på det sättet att undantaget knyts till att uppgifter behandlas i underrättelseverksamhet i syfte att bearbeta och analysera information som dels har gjorts gemensamt tillgänglig enligt 3 kap. 2 § första stycket 1 eller 2, dels endast särskilt angivna tjänstemän har tillgång till. En sådan ändring täcker både nuvarande 3 kap. 7 § första stycket punkten 2 och andra stycket punkten 1. Den nya bestämmelsen ger ökade möjligheter till sökning, men begränsar samtidigt sökmöjligheterna på 184

det sättet att endast särskilt angivna tjänstemän får utföra sådana sökningar. Regeringen anser i likhet med utredningen att en sådan reglering innebär en rimlig avvägning mellan brottsbekämpningens behov och skyddet för personlig integritet. Mot bakgrund av ökande problem med organiserad brottslighet i form av bl.a. kringresande ligor och annan seriebrottslighet kan det också finnas skäl att göra undantag vid sökning som utförs som ett led i att utreda brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer, om sökningen görs av särskilt utpekade tjänstemän som sysslar med brottssamordning. Den polispersonal som arbetar i yttre tjänst har ofta behov av att kunna få hjälp av personal vid Polismyndighetens ledningscentraler med sökning i syfte att klarlägga t.ex. en gripen eller omhändertagen persons identitet. Det kan också finnas behov av att ta fram uppgifter om minderårigas adress och vårdnadshavare eller att söka efter anhöriga till någon som har skadats i samband med ett brott. Vid sökningar av det slaget kan det vara nödvändigt att ta fram andra typer av information, samtidigt som den ingripande polismannen inte alltid har tillgång till nödvändiga sökmöjligheter i sin utrustning. Det bör därför även göras undantag från begränsningsregeln för sökning som görs i Polismyndighetens ledningscentraler på begäran av en polisman i yttre tjänst. I 6 § polisdataförordningen görs undantag från 3 kap. 6 § första stycket polisdatalagen för sökningar som görs av särskilt angivna tjänstemän för att utföra beredningsuppgifter inom underrättelseverksamhet. Syftet med bestämmelsen är att möjliggöra att fler uppgifter kan tas fram i det inledande skedet av underrättelsearbete. Bestämmelsen bör i likhet med övriga undantag från begränsningsregeln finnas i lag. Det bör också tydliggöras att undantaget endast avser sökningar i ett inledande skede.

7.6 Längsta tid för behandling av uppgifter i viss underrättelseverksamhet

Regeringens förslag: Personuppgifter som kan antas ha samband med viss brottslig verksamhet ska, om de behandlas i ett ärende, inte få behandlas längre än ett år efter det att ärendet avslutades.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. Skälen för regeringens förslag : I 3 kap. 14 § andra stycket polisdatalagen regleras hur länge personuppgifter som förekommer i viss underrättelseverksamhet får behandlas. I underrättelseverksamhet behandlas personuppgifter som huvudregel inte i ärenden och regleringen av när behandlingen ska upphöra utgår därför från när den senaste registreringen avseende en viss person gjordes. I t.ex. samarbetet mot grov organiserad brottslighet görs vissa personuppgifter gemensamt tillgängliga i underrättelseverksamheten för att andra myndigheter ska kunna ta del av dem, trots att de endast behandlas av ett fåtal personer vid Polismyndigheten. Sådan information behandlas då i särskilda ärenden. Detsamma kan vara fallet i anslutning till en sär- 185

skild händelse eller om myndigheterna får i uppdrag att samarbeta på visst sätt inom underrättelseverksamheten. När personuppgifter behandlas i ärenden i underrättelseverksamhet bör uppgifterna, på samma sätt som vid behandling av personuppgifter i andra ärenden, inte få behandlas längre än ett år efter det att ärendet avslutades. En bestämmelse med den innebörden bör därför införas.

7.7 Personuppgiftsbehandling i särskilda register

7.7.1 Dna-register

Regeringens förslag: Det ska i lagen anges för vilka syften Polismyndigheten får föra dna-register.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 4 kap. 1 § första stycket polisdatalagen får Polismyndigheten i den brottsbekämpande verksamheten föra register över dna-profiler. Av 1 kap. 7 § framgår att 2 kap. gäller vid behandling av personuppgifter i register enligt 4 kap. Det innebär att dnaregistren får föras för de ändamål som anges i 2 kap. 7 § (se prop. 2009/10:85 s. 351). Registren får även föras för att underlätta identifiering av avlidna personer. På samma sätt som när det gäller bestämmelserna om tillämpningsområde och tillåtna rättsliga grunder för behandling bör regleringen av dna-registren inte längre utgå från i vilken verksamhet personuppgiftsbehandlingen utförs, utan från syftet med behandlingen. Det blir tydligare att räkna upp för vilka syften registren får föras i stället för att detta ska läsas ut genom en hänvisning till bestämmelser i ett annat kapitel. Dnaregistren bör på samma sätt som i dag få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, fullgöra förpliktelser som följer av internationella åtaganden och underlätta identifiering av avlidna personer.

7.7.2 Fingeravtrycks- och signalementsregister

Regeringens förslag: Det ska i lagen anges för vilka syften Polismyndigheten får föra fingeravtrycks- och signalementsregister.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 4 kap. 11 § polisdatalagen får Polismyndigheten föra fingeravtrycks- och signalementsregister. Av 1 kap. 7 § framgår att 2 kap. gäller vid behandling av personuppgifter i register enligt 4 kap. Det innebär att fingeravtrycks- och signalementsregister får föras för de ändamål som anges i 2 kap. 7 § (se prop. 2009/10:85 s. 355). Registren får även föras för att underlätta identifiering av okända personer. På samma sätt som när det gäller dna-registren bör det genom en upp- 186 räkning tydliggöras för vilka syften fingeravtrycks- och signalements-

register får föras i stället för att detta ska läsas ut genom en hänvisning till bestämmelser i ett annat kapitel. Fingeravtrycks- och signalementsregister bör på samma sätt som i dag få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, fullgöra förpliktelser som följer av internationella åtaganden och underlätta identifiering av okända personer. Registren bör även i likhet med i dag få föras för att kontrollera fingeravtryck som Migrationsverket tagit enligt 9 kap. 8 § utlänningslagen, vilket motsvarar regleringen i 2 kap. 8 § första stycket 6 polisdatalagen.

7.8 Personuppgiftsbehandling för forensiska ändamål

7.8.1 Vad är forensiska ändamål?

Personuppgiftsbehandling vid Polismyndigheten för forensiska ändamål regleras i 5 kap. polisdatalagen. Forensik är ett sammanfattande begrepp för utveckling och tillämpning av metoder från olika vetenskapliga ämnesområden – t.ex. biologi, kemi eller teknologi – på frågeställningar om framför allt olika typer av fysiska spår som undersöks i anledning av misstanke om brott. Särskilda krav ställs på oberoende och vetenskaplig grund. Det är alltså bara de åtgärder som vilar på denna forensiska grund som kan sägas vara forensiska åtgärder. I kravet på oberoende ligger också att forensiska undersökningar, analyser och jämförelser hanteras helt separat från annat utredningsarbete under en förundersökning. Vad som görs och hur det dokumenteras är enbart beroende av vilket behov som finns i det enskilda ärendet av att forensiskt undersöka och analysera visst material. För frågan om ett visst föremål eller material hanteras för forensiska ändamål eller inte saknar det betydelse om det har tagits i beslag. Att en undersökning äger rum inom ramen för en förundersökning är inte heller avgörande för frågan om bevismaterial hanteras för forensiska ändamål eller inte. Gränsdragningen mellan forensiska ändamål och brottsbekämpande ändamål diskuteras utförligt i förarbetena till 5 kap. (se Den nya polisorganisationen – några frågor om personuppgiftsbehandling m.m., prop. 2014/15:94 s. 56 f.). Behandling för forensiska ändamål vid Polismyndigheten utförs huvudsakligen av Nationellt forensiskt centrum, men även andra enheter inom myndigheten utför viss sådan behandling. Den behandling för forensiska ändamål som Nationellt forensiskt centrum utför åt den egna myndigheten och åt andra behöriga myndigheter omfattas av brottsdatalagens tillämpningsområde. Det gäller även motsvarande behandling för forensiska ändamål av personuppgifter vid en annan enhet inom Polismyndigheten. I förarbetena till 5 kap. anges att syftet med regleringen är att skapa en sammanhållen reglering av den forensiska processen inom Polismyndigheten (se prop. 2014/15:94 s. 56). De särskilda reglerna för personuppgiftsbehandling för forensiska ändamål är således inte tillämpliga i Ekobrottsmyndighetens och Säkerhetspolisens verksamhet.

7.8.2 Regleringen av forensiska ändamål behålls

Regeringens bedömning: Bestämmelserna om för vilka ändamål personuppgifter får behandlas i den forensiska verksamheten bör behållas.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: I 5 kap. 1–3 §§ polisdatalagen anges för vilka ändamål personuppgifter får behandlas i den forensiska verksamheten vid Polismyndigheten. Ändamålen delas upp i primära och sekundära på samma sätt som i 2 kap. 7 och 8 §§ polisdatalagen. De primära ändamålen anger den behandling som utförs för forensiska ändamål vid Polismyndigheten, medan de sekundära ändamålen anger när uppgifter som behandlas för forensiska ändamål får användas i andra delar av myndighetens verksamhet eller lämnas ut till andra myndigheter eller organisationer för deras behov. I lagrådsremissen Brottsdatalag konstateras att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman, se lagrådsremissen Brottsdatalag, avsnitt 7.1. En ändamålsbestämmelse bör ge ledning för prövningen av vilka personuppgifter som är adekvata och relevanta för behandlingen. Regeringen anser därför att 2 kap. 7 § polisdatalagen inte är en ändamålsbestämmelse i egentlig mening utan att den är en del av den rättsliga grunden som anger ramen för när personuppgifter får behandlas (se avsnitt 6.2). Bestämmelserna i 5 kap. 1 och 2 §§ polisdatalagen om för vilka ändamål personuppgifter får behandlas i den forensiska verksamheten är betydligt mer konkreta och ger tydlig ledning för vilka personuppgifter som är adekvata och relevanta för behandlingen. De behöver därför inte anpassas till regleringen i brottsdatalagen utan bör behållas oförändrade.

7.8.3 Behandling för nya ändamål

Regeringens förslag: Det ska genom en hänvisning framgå att personuppgifter som behandlas för forensiska ändamål ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Enbart personuppgifter som behandlas för vissa forensiska ändamål ska få behandlas för nya ändamål utanför den forensiska verksamheten.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Kan den nuvarande regleringen av utlämnande behållas? Den sekundära ändamålsbestämmelsen i 5 kap. 3 § polisdatalagen reglerar i vilken utsträckning personuppgifter som behandlas för något primärt forensiskt ändamål även får behandlas för att lämnas ut till andra för att 188 tillgodose deras behov. Den reglerar alltså behandling för nya ändamål.

Enligt paragrafen får personuppgifter som behandlas för vissa av de primära ändamålen även behandlas när det är nödvändigt för att tillhandahålla information som behövs i annan brottsbekämpande verksamhet hos Polismyndigheten eller i brottsbekämpande verksamhet hos Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen eller Skatteverket. I ett enskilt fall får personuppgifter som behandlas för forensiska ändamål även behandlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Innan personuppgifter behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Det innebär att en prövning alltid måste göras innan personuppgifter behandlas för nya ändamål, oavsett om det är för forensiska ändamål eller för andra ändamål inom brottsdatalagens tillämpningsområde. Om den sekundära ändamålsbestämmelsen skulle behållas blir prövningen enligt brottsdatalagen satt ur spel eftersom den lagen är subsidiär i förhållande till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. En sådan prövning krävs enligt artikel 4.2 i direktivet. Det är således inte förenligt med direktivet att behålla den sekundära ändamålsbestämmelsen med den utformning den har i dag.

Bör möjligheterna att lämna ut personuppgifter begränsas på annat sätt? I dag är det som huvudregel bara personuppgifter som behandlas för vissa forensiska ändamål som får lämnas till de brottsbekämpande myndigheterna. Bakgrunden till detta är att resultat som härrör från t.ex. internationella uppdrag normalt sett inte bör spridas till någon annan än uppdragsgivaren (se vidare prop. 2014/15:94 s. 67). Samma begränsningar bör gälla även i fortsättningen. Med hänsyn till kraven på nödvändighet och proportionalitet innan personuppgifter behandlas för nya ändamål finns det dock inte längre skäl att räkna upp till vilka myndigheter som uppgifterna får lämnas ut. I ett enskilt fall får också personuppgifter som behandlas för ett forensiskt ändamål behandlas för andra ändamål, om det inte är oförenligt med insamlingsändamålet. Med hänsyn till innehållet i direktivet och brottsdatalagen kan den bestämmelsen inte behållas. I stället ska en prövning av om det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet göras, även när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför brottsdatalagens tillämpningsområde. En sådan prövning innefattar en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet även när det gäller personuppgifter som behandlas för forensiska ändamål. Den föreslagna bestämmelsen i brottsdatalagen bör därför gälla även vid behandling för forensiska ändamål.

7.8.4 Behandling av känsliga personuppgifter

Regeringens förslag: Biometriska uppgifter och genetiska uppgifter ska få behandlas för forensiska ändamål enligt de förutsättningar som anges i brottsdatalagen. Sökförbudet i brottsdatalagen ska inte hindra sökningar i registren över dna-profiler eller fingeravtrycks- och signalementsregistren, i syfte att få fram ett urval av personer grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter.

Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen.

Skälen för regeringens förslag

Behandling av biometriska och genetiska uppgifter Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Behandling av sådana uppgifter är en viktig del i den forensiska verksamheten, inte minst vid dna-analyser och behandling av personuppgifter i dna-registren och fingeravtrycks- och signalementsregistren. Den tekniska utvecklingen ger också nya möjligheter att använda framför allt biometri. Det kommer därför sannolikt att finnas ett ökande behov av att kunna behandla biometriska uppgifter för forensiska ändamål. Det bör därför föreskrivas att biometriska och genetiska uppgifter får behandlas för sådana ändamål. Med hänsyn till att sådana uppgifter enligt brottsdatalagen endast får behandlas om det är absolut nödvändigt för ändamålet med behandlingen finns det för närvarande inte skäl att begränsa möjligheterna att behandla biometriska och genetiska uppgifter ytterligare.

Undantag från sökförbudet i brottsdatalagen Sökförbudet i 2 kap. 14 § brottsdatalagen utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen. Det är Nationellt forensiskt centrum vid Polismyndigheten som administrerar dna-registren och fingeravtrycks- och signalementsregister. Vid sökning i registren används dna-profiler respektive fingeravtryck, vilka är biometriska uppgifter. En sökning på fingeravtryck resulterar alltid i en träfflista som visar ett urval av personer grundat på biometriska uppgifter. Det bör dock vara tillåtet att göra sådana sökningar i den forensiska verksamheten. Information i forensiska databaser kan också användas för att ge övriga delar av Polismyndigheten spaningsuppslag, s.k. forensiska uppslag. Tanken med det är att de iakttagelser som görs vid forensiska undersökningar i olika ärenden ska kunna komma till nytta i polisverksamheten som helhet eller i annan brottsbekämpande verksam- 190

het (se prop. 2014/15:94 s. 62 f.). Det går exempelvis att genomföra s.k. familjesökning, vilket innebär att man jämför dna-profiler för att finna släktingar till en viss person, exempelvis en oidentifierad misstänkt. Familjesökning baserar sig på att nära släktingar till viss del har överensstämmande arvsmassa. Sådana sökningar kan resultera i ett urval av personer grundat på biometriska uppgifter. Det finns mot den bakgrunden skäl att göra undantag från sökförbudet när det gäller behandling av biometriska uppgifter i den forensiska verksamheten. Möjligheterna att ta fram information ur dna-prover utvecklas ständigt och det är redan i dag möjligt att få fram olika personliga egenskaper som ögonfärg, ärftliga sjukdomar eller en persons biogenetiska ursprung. Det bör vara tillåtet att göra sökningar i syfte att få fram ett urval av personer grundat på genetiska uppgifter eller uppgifter som rör hälsa i den forensiska verksamheten.

8 Tullbrottsdatalagen

8.1 Tullbrottsdatalagen behöver anpassas

8.1.1 Nuvarande reglering

Tullbrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Tullverkets brottsbekämpande verksamhet. Lagen trädde i kraft den 1 juli 2017. Vissa bestämmelser behöver dock inte tillämpas förrän den 1 januari 2019. Vid myndighetens personuppgiftsbehandling i annan verksamhet gäller lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet. I likhet med övriga registerförfattningar måste tullbrottsdatalagen ändras med anledning av dataskyddsdirektivet. Den måste också anpassas till brottsdatalagen. Många bestämmelser behöver dock inte anpassas alls eller behöver endast ändras redaktionellt. De anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De anpassningar som är specifika för tullbrottsdatalagen behandlas däremot i detta avsnitt.

8.1.2 Tullbrottsdatalagen ges ett nytt namn

Regeringens förslag: Tullbrottsdatalagen ska benämnas lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Hänvisningar till lagen i andra författningar ska därmed också ändras.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas Tullverkets brottsdatalag. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av de skäl som anges i avsnitt 7.1.2 finns det skäl att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Trots att tullbrottsdatalagen nyligen har fått sitt 191

namn bör lagen därför ges ett nytt namn. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör tydligt ange för vem författningen gäller och vad den handlar om. Regeringen föreslår därför att lagen ska benämnas lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras.

8.2 Tillämpningsområdet

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när Tullverket i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Bestämmelsen om förhållandet mellan bestämmelser i lagen om flygpassageraruppgifter i brottsbekämpningen och bestämmelserna i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område ska placeras i en bestämmelse om lagens tillämpningsområde i stället för i bestämmelsen om uppgifter från transportföretag.

Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen lämnar inga förslag avseende lagen om flygpassageraruppgifter i brottsbekämpningen. Förslaget är också något annorlunda utformat. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 1 kap. 2 § tullbrottsdatalagen gäller lagen vid behandling av personuppgifter i Tullverkets brottsbekämpande verksamhet. Tillämpningsområdet behöver nu anpassas till brottsdatalagens tillämpningsområde så att det utgår från syftet med behandlingen i stället för i vilken verksamhet behandlingen utförs. Det bör också framgå att lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område endast gäller när Tullverket agerar i egenskap av behörig myndighet. För att tillämpningsområdet för lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område ska täcka det som i dag omfattas av regleringen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bl.a. bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag.

Lagen om flygpassageraruppgifter i brottsbekämpningen Som redovisas i avsnitt 7.4.1 har regeringen lämnat förslag till en ny lag om flygpassageraruppgifter i brottsbekämpningen som bl.a. innehåller bestämmelser om personuppgiftsbehandling för uppgifter som samlas in från flygbolag för vissa ändamål. Den nya lagen föreslås ha företräde 192

framför inregränslagen, tullagen och tullbrottsdatalagen. I det lagstiftningsärendet föreslås 2 kap. 8 § tullbrottsdatalagen om uppgifter från transportföretag få ett tillägg som innebär att om lagen om flygpassageraruppgifter i brottsbekämpningen och föreskrifter som regeringen har meddelat i anslutning till den lagen innehåller avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i tullbrottsdatalagen. Regeringen föreslår att bestämmelsen i stället ska placeras i den inledande bestämmelsen i 1 kap. 2 § lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område om hur lagen förhåller sig till lagen om internationellt polisiärt samarbete. Om det i någon av dessa två författningar finns avvikande bestämmelser, ska de således tillämpas i stället för bestämmelserna i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

8.3 Grundläggande bestämmelser om behandling

8.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Tullverket ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte över förslaget.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Regleringen i 2 kap. 5 § tullbrottsdatalagen bör således behållas, men det bör framgå att det inte är fråga om en ändamålsbestämmelse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Tullverket rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter.

Tullverket får i dag behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Tullverket bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Bestämmelsen bör också få en ny placering, 2 kap. 1 §. Lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område bör den senare helt ersätta bestämmelsen i brottsdatalagen. I lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område bör det därför på samma sätt som i brottsdatalagen föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt Tullverket att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I lagrådsremissen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (se lagrådsremissen Brottsdatalag, avsnitt 7.2). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För Tullverkets del kan t.ex. 3 § förordningen (2016:1332) med instruktion för Tullverket nämnas, där det framgår att Tullverket ska förebygga och motverka brottslighet i samband med in- och utförsel av varor. Sådana bestämmelser, tillsammans med den föreslagna regleringen i 2 kap. 1 § lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar.

Behandling för nya ändamål I dag regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 2 kap. 6 § tullbrottsdatalagen. Regeringen anser i likhet med utredningen att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Samma prövning bör göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför tillämpningsområdet. Regeringen anser att det därför bör införas en bestämmelse i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen. 194

8.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens förslag: Tullverket ska få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Regeringens bedömning: Tullverket bör inte få behandla genetiska uppgifter.

Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget eller bedömningen. Skälen för regeringens förslag och bedömning: I avsnitt 7.3.2 anges vad som avses med biometriska och genetiska uppgifter och vilken betydelse sådana uppgifter har i brottsbekämpningen. Tullverket bör på samma sätt som polisen ha möjlighet att använda biometriska uppgifter i brottsbekämpningen. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person behandlas bara om det är särskilt föreskrivet och absolut nödvändigt för ändamålet med behandlingen. Regeringen bedömer i likhet med utredningen att det för närvarande inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare. Det bör därför införas en bestämmelse i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område som medger behandling av biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Det har inte framkommit att Tullverket har behov av att behandla genetiska uppgifter. I likhet med utredningen anser regeringen därför att myndigheten inte bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i lagen.

8.3.3 Sökning på känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Sökförbudet ska inte heller hindra sökning i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I 2 kap. 14 § brottsdatalagen kommer det att finnas ett generellt sökförbud, vilket utgår från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen 195

tillåten, även om känsliga personuppgifter används vid sökningen (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Detta skiljer sig från dagens reglering. Eftersom sökförbudet får en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket tullbrottsdatalagen är det tillåtet att använda uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. På samma sätt som Polismyndigheten har Tullverket även i fortsättningen behov av att kunna använda sådana uppgifter som sökbegrepp, trots att det kan leda till att man får fram ett urval av personer grundat på känsliga personuppgifter (se avsnitt 7.3.3). Det bör därför göras undantag från brottsdatalagens sökförbud i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. För att möjligheterna till sökning ska vara samma som i dag bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte. Tullverket har i likhet med Polismyndigheten behov av att kunna göra sökningar på tillvägagångssätt vid brott och brottsrubriceringar. Sådana sökningar kan i vissa fall leda till ett urval av personer grundat på känsliga personuppgifter. Som exempel kan nämnas att smugglingsmetoder eller föremål som smugglas kan avslöja religiös övertygelse eller politiska åsikter. Ett annat exempel är att Tullverket vid kontroll av förbudet mot införsel och utförsel av barnpornografi kan behöva söka på brottsrubriceringar som kan avslöja en persons sexualliv eller sexuella läggning. Undantaget från sökförbudet i brottsdatalagen bör därför även omfatta sökning på uppgifter om tillvägagångssätt vid brott och brottsrubriceringar. I samband med att beslag hävs behöver Tullverket få kännedom om huruvida ägaren verkställer en straffrättslig påföljd och var han eller hon i så fall befinner sig. Om personen verkställer påföljden genom vårdvistelse kan en sådan sökning avslöja uppgifter om hälsa. Behovet av sådan sökning kan enligt regeringens mening tillgodoses på annat sätt än genom ett undantag från sökförbudet. Det kan lämpligen göras genom att Kriminalvården ges skyldighet att på begäran underrätta Tullverket om var en häktad eller intagen är placerad. Tullverket behöver därför i motsats till Polismyndigheten inget undantag från sökförbudet när det gäller uppgifter om verkställighet av påföljd.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i tullbrottsdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig. De behöriga myndigheternas möjligheter att använda känsliga personuppgifter vid sökningar bör inte försämras i förhållande till dagens reglering. För att effektivt kunna bekämpa brott behöver Tullverket kunna göra sammanställningar i syfte att få fram ett urval av personer grundat 196

på känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdatalagen även i sådana fall. Det är framför allt i Tullverkets underrättelseverksamhet som det kan finnas behov av sökningar som innebär att sammanställningar grundade på etniskt ursprung, religiös övertygelse eller politiska åsikter skapas. Det kan t.ex. vara fallet om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös övertygelse. Smuggling av drogen kat, som endast odlas utomlands, hör hit. Vid hanteringen av frihetsberövade behöver Tullverket även kunna sammanställa uppgifter om personer som är självmordsbenägna eller s.k. sväljare, vilket innebär att uppgifter om hälsa kan avslöjas. Det är vidare sedan länge känt att det finns politiska eller andra ideologiskt motiverade grupperingar i utlandet som finansierar sin verksamhet genom organiserad brottslighet, t.ex. smuggling av cigarretter eller narkotika. De kan vara aktiva även i Sverige (se Lägesbild organiserad brottslighet 2011, Tullverket). Bekämpningen av organiserad brottslighet kräver inte sällan kartläggning av misstänktas kontakter och vanor. Sådana kartläggningar kan leda till att känsliga personuppgifter avslöjas (jfr avsnitt 7.3.3). I kampen mot smuggling av barnpornografiska bilder kan Tullverket även ha behov av att söka på uppgifter som kan avslöja en persons sexualliv eller sexuella läggning, t.ex. på ordet pedofil eller vissa typer av sexleksaker. I utredningsverksamheten finns motsvarande behov av att kunna söka på känsliga personuppgifter vid brott med okänd gärningsman. Det kan inte finnas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Det finns inte heller behov av att kunna göra sammanställningar grundade på medlemskap i fackförening eller på genetiska uppgifter. Undantaget bör mot den bakgrunden utformas så att sökning möjliggörs när det gäller uppgifter som kan avslöja etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse och uppgifter om hälsa, sexualliv eller sexuell läggning. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga begränsas något i förhållande till vad som gäller i dag.

8.4 Personuppgifter från transportföretag

8.4.1 Reglerna om personuppgiftsbehandling för uppgifter från transportföretag samlas

Regeringens förslag: Bestämmelserna om behandling av personuppgifter som transportföretag lämnar till Tullverket enligt bestämmelser i inregränslagen och tullagen ska samlas i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Tullverket är positivt till förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. 197

Skälen för regeringens förslag

Transportföretagens uppgiftsskyldighet Enligt 15 § inregränslagen och 4 kap. 6 och 7 §§ tullagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till Tullverket. Det rör sig bl.a. om resenärers namn, medresenärers namn och transportmedel. Av bestämmelserna framgår att Tullverket endast får begära sådana uppgifter om de kan antas ha betydelse för Tullverkets brottsbekämpande verksamhet. Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem, där Tullverket endast får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåtkomst tillåts enligt 16 § inregränslagen och 4 kap. 8 § tullagen bara i den omfattning och under den tid som behövs för att kontrollera aktuella transporter. Uppgifterna kan även lämnas på annat sätt, om transportföretaget anser att det är bättre. De lämnas ofta elektroniskt, men det förekommer även att de tillhandahålls på papper. Personuppgifterna bör, oavsett på vilket sätt de tillhandahålls, normalt vara strukturerade på ett sådant sätt att tullbrottsdatalagen är tillämplig på behandlingen. Uppgifter om enskilda personer som har lämnats på annat sätt än genom terminalåtkomst ska enligt 16 § inregränslagen och 4 kap. 8 § tullagen omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott. Syftet med bestämmelserna är att hindra att uppgifterna sprids, eftersom det till allra största delen är fråga om information om enskilda personer som inte är misstänkta för brott eller har samband med brottslig verksamhet. I inregränslagen och tullagen regleras således inte bara transportföretagens uppgiftsskyldighet utan även på vilket sätt och hur länge personuppgifterna får behandlas. Uppgifter från transportföretag behandlas och analyseras i Tullverkets underrättelseverksamhet av ett fåtal särskilt utpekade tjänstemän. Eftersom Tullverkets möjlighet att utföra fysiska kontroller i princip är knuten till gränspassage är intresset av bokningsuppgifter bara kortvarigt. När en transport har anlänt har myndigheten normalt inte längre något behov av samtliga uppgifter. Bestämmelserna om Tullverkets tillgång till uppgifter är utformade med särskild hänsyn till det, se prop. 1995/96:166 s. 83 f. Bestämmelserna om transportföretagens skyldighet tillkom i samband med Sveriges anslutning till EU, som en kompensatorisk åtgärd för att minska risken för negativa konsekvenser av den fria rörligheten för personer och varor. För att skapa bättre förutsättningar för kontroller vid den inre gränsen i kampen mot narkotikabrottslighet och annan internationell brottslighet gavs Tullverket möjlighet att i den brottsbekämpande verksamheten inhämta vissa uppgifter om varor, passagerare och fordon. Avsikten var att uppgifterna från transportföretagen skulle användas för att med ökad träffsäkerhet rikta kontroller mot varusändningar och mot personer som skulle kunna misstänkas för brottslighet inom Tullverkets verksamhetsområde (se prop. 1995/96:166 s. 72 f.). Metoden att med hjälp av uppgifter från transportföretag göra profilsökningar och kunna identifiera riskbeteenden redan innan en transport har nått Sverige ansågs dock vara lika viktig vid den yttre som den inre gränsen. Uppgiftsskyldigheten reglerades därför i både inregränslagen och tullagen (se prop. 1995/96:166 s. 80 f.). 198

Regleringen i tullbrottsdatalagen Enligt 2 kap. 8 § tullbrottsdatalagen får personuppgifter, som har lämnats av transportföretag enligt nyssnämnda bestämmelser i inregränslagen och tullagen, behandlas av Tullverket om det är tillåtet enligt dessa lagar, men enbart i den utsträckning det behövs för planering av kontrollverksamheten och urval av kontrollobjekt. Om det behövs i ett enskilt fall får sådana personuppgifter behandlas även för något annat ändamål som anges i 2 kap. 5 § tullbrottsdatalagen och göras gemensamt tillgängliga. Enligt 2 kap. 9 § är det endast tillåtet att söka på namn, personnummer eller annan identitetsbeteckning om uppgifterna avser en person som är eller har varit misstänkt för brott, är misstänkt för att ha utövat eller komma att utöva viss brottslig verksamhet eller är föremål för övervakning enligt lagen.

Ett samlat regelverk Tillgången till uppgifter från transportföretag är av stor betydelse för Tullverkets möjligheter att förebygga och förhindra brottslig verksamhet och att upptäcka brott i samband med gränspassage. Regeringen instämmer i utredningens bedömning att regleringen bör behållas men renodlas och anpassas till de nya förutsättningar som gäller för behandling av personuppgifter till följd av EU:s dataskyddsreform. Förslagen till anpassningar presenteras i efterföljande avsnitt. Som framgått innehåller inregränslagen och tullagen inte bara bestämmelser om transportföretagens uppgiftsskyldighet utan även regler som dels begränsar tillgången till personuppgifter i transportföretagens bokningssystem, dels anger hur uppgifterna får behandlas av Tullverket. Där finns bestämmelser om vilken sökning som är tillåten och hur länge uppgifter som härrör från transportföretag får behandlas i den brottsbekämpande verksamheten. Samtidigt finns stödet för att behandla personuppgifterna automatiserat i tullbrottsdatalagen. Bestämmelserna om transportföretags uppgiftsskyldighet infördes som nyss nämnts i samband med att Sverige blev medlem i EU. I förarbetena till Tullverkets registerförfattningar har frågan om de delar av bestämmelserna som avser Tullverkets behandling av personuppgifter borde samlas i en författning inte behandlats. Som anges i bl.a. avsnitt 7.4.1 är utgångspunkten nu att myndigheternas personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i så stor utsträckning som möjligt bör regleras i respektive registerförfattning. Bestämmelserna om hur personuppgifter från transportföretag får behandlas och hur länge de får behandlas bör därför flyttas från inregränslagen och tullagen till lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Med en sådan lösning blir regleringen mer överskådlig och lättillämpad. Bedömningen innebär att vissa bestämmelser i 16 § inregränslagen och 4 kap. 8 § tullagen bör flyttas till lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Transportföretagens uppgiftsskyldighet bör däremot alltjämt regleras i inregränslagen och tullagen, liksom bestämmelserna om hur transportföretagen får lämna uppgifterna samt i vilken omfattning som Tullverket får ta del av uppgifterna.

Som framgår av avsnitt 8.2 kommer det att finnas en särreglering när det gäller flygpassageraruppgifter. Nu aktuella bestämmelser om uppgifter från transportföretag kommer inte att tillämpas vid sådan personuppgiftsbehandling som följer av lagen om flygpassageraruppgifter i brottsbekämpningen.

8.4.2 En i huvudsak oförändrad reglering

Regeringens förslag: Tullverket ska få behandla personuppgifter som transportföretag på Tullverkets begäran tillhandahåller enligt bestämmelser i inregränslagen och tullagen för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Tullverket är positivt till förslaget att Tullverket ska få behandla uppgifter från transportföretag inte bara i syfte att förebygga, förhindra och upptäcka brottslig verksamhet utan även för att utreda och lagföra brott. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Syfte med regleringen Av förarbetena till tullbrottsdatalagen framgår att den enda remissinstans som yttrade sig över 2 kap. 8 § ifrågasatte om användning av uppgifter för planering av kontrollverksamheten och urval av kontrollobjekt stämde överens med lagens övergripande syften. Regeringen bemötte det bl.a. genom att peka på att lagens tillämpningsområde är Tullverkets brottsbekämpande verksamhet, se prop. 2016/17:91 s. 108. Med den nya regleringen i brottsdatalagen finns det skäl att klargöra att syftet med bestämmelsen inte är att planera Tullverkets allmänna kontrollverksamhet. Vid inre gräns är det inte tillåtet att göra slumpmässiga kontroller, t.ex. att ta ut var tionde eller tjugonde person som passerar gränsen för kontroll. Däremot är det tillåtet att göra selektiva kontroller. Med det avses kontroller som bygger på att den som passerar gränsen uppfyller särskilda kriterier som pekar på förhöjd risk för att personen begår brott genom att t.ex. medföra otillåtna varor. Arbetet med att ta fram sådana kriterier som kan motivera att en viss person tas ut för kontroll och att identifiera riskprofiler görs av Tullverkets underrättelseverksamhet. Genom att med hjälp av transportföretagens uppgifter kartlägga bl.a. resmönster, betalningssätt, ålder och vilka som reser i sällskap ökar möjligheterna att kunna avslöja brott och att upptäcka nya smugglingsmetoder. Den kontrollverksamhet som avses i 2 kap. 8 § tullbrottsdatalagen får enligt regeringens mening anses vara sådan som avser att förebygga, förhindra eller upptäcka brottslig verksamhet.

Bestämmelserna ska i huvudsak vara desamma Enligt regeringens mening bör de bestämmelser som flyttas över från inregränslagen och tullagen till lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område i huvudsak ha samma innehåll som i dag. De behöver dock anpassas till den lagens tillämpningsområde. Att personuppgifterna endast får behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet bör framgå av bestämmelsen. I avsnitt 7.4.1 föreslås att polisen ska få behandla uppgifter från transportföretag inte bara i syfte att förebygga, förhindra och upptäcka brottslig verksamhet utan även för att utreda eller lagföra brott. Även om Tullverket främst har intresse av att behandla uppgifter från transportföretag för att effektivt kunna förebygga brott och för att bygga upp kunskap om smugglingsvägar och smugglingsmetoder, har myndigheten i likhet med polisen även behov av sådana uppgifter i sin utredningsverksamhet. Vid s.k. kontrollerade leveranser av narkotika kan bokningsuppgifter vara av stor praktisk betydelse. Vid utredning av smugglingsbrott är det viktigt att kunna kontrollera uppgifter om resväg, ressällskap och liknande. Tullverket bör därför kunna dra nytta av uppgifter från transportföretagen både i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet och i syfte att utreda eller lagföra brott. I 2 kap. 8 § tullbrottsdatalagen anges att sådana uppgifter bara får behandlas i den utsträckning det är tillåtet enligt inregränslagen respektive tullagen. Någon motsvarande bestämmelse behövs inte i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område, eftersom det alltid ska finnas en rättslig grund för behandlingen. På samma sätt som i lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör det förtydligas att bestämmelserna om terminalåtkomst endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it-system (se avsnitt 7.4.1). Regeringen föreslår därför att det i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område anges att vid terminalåtkomst enligt 16 § inregränslagen och 4 kap. 8 § tullagen får Tullverket inte ändra eller på annat sätt bearbeta personuppgifterna. Skulle Tullverket finna att personuppgifter i ett enskilt fall föranleder ett underrättelseuppslag eller behövs för en brottsutredning kan de som regel behandlas enligt de generella bestämmelserna i brottsdatalagen och lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst bör liksom i dag omedelbart förstöras, om de saknar betydelse för brottsbekämpning eller lagföring. Regleringen om förstörande i inregränslagen och tullagen gäller inte bara personuppgifter som behandlas automatiserat utan även annan behandling. Den nya regleringen bör därför täcka all behandling som omfattas av tillämpningsområdet för lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område, vilket bör tydliggöras i lagtexten. Kravet på förstörande bör dock inte omfatta de personuppgifter som myndigheten i ett enskilt fall behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott.

Ovan nämnda förslag medför att bestämmelserna i 16 § inregränslagen och 4 kap. 8 § tullagen delvis flyttas till lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område och får en ändrad lydelse. Regeringen återkommer i avsnitt 8.5.2 till frågan om uppgifter från transportföretag får göras gemensamt tillgängliga.

Behandling för nya ändamål I 2 kap. 8 § tullbrottsdatalagen föreskrivs att personuppgifter från transportföretag också får behandlas för något annat ändamål som anges i 2 kap. 5 § om det behövs i ett enskilt fall. Det innebär att sådana uppgifter t.ex. får användas för att utreda brott. Behandling för nya ändamål såväl inom som utanför brottsdatalagens tillämpningsområde regleras i brottsdatalagen. För att sådan behandling ska vara tillåten krävs det dels att det finns en tillåten rättslig grund för behandling för det nya ändamålet, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Riksdagen har nyligen ställt sig bakom att Tullverket i ett enskilt fall får behandla personuppgifter av nu aktuellt slag för något annat ändamål som anges i 2 kap. 5 § tullbrottsdatalagen. Enligt direktivet är det inte möjligt att göra undantag från den prövning som kommer till uttryck i 2 kap. 4 § brottsdatalagen. Det innebär att en sådan prövning alltid krävs när uppgifter från transportföretag i ett enskilt fall ska behandlas för ett nytt ändamål.

8.5 Gemensamt tillgängliga uppgifter

8.5.1 Sökning i gemensamt tillgängliga uppgifter

Regeringens förslag: Bestämmelsen som begränsar resultatet vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar ska enbart gälla i automatiserade behandlingssystem. Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän 1. när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 2. i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till, 3. i syfte att utreda brott för vilket det är föreskrivet fängelse i fyra år eller mer, eller 4. i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Det ska också göras undantag för sökning som en tjänsteman vid någon av Tullverkets ledningscentraler utför på begäran av en tjänsteman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. 202

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget att begränsningen av vilka uppgifter som får tas fram bara ska gälla i automatiserade behandlingssystem. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samordningsnummer är ett viktigt inslag i Tullverkets verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter. I 3 kap. 6 § tullbrottsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2016/17:91 s. 138 f.). Paragraferna är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör det tydliggöras att regleringen enbart gäller vid sökning i automatiserade behandlingssystem. I samma avsnitt bemöts Datainspektionens invändning.

Behövs det fler eller andra undantag från begränsningsregeln? Undantagen i 3 kap. 7 § tullbrottsdatalagen från begränsningarna av vilka uppgifter som får tas fram vid sökning är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör undantagen ändras även i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. Det gäller undantagen för att bearbeta och analysera information i underrättelseverksamhet. Vidare bör även Tullverket kunna göra sökningar i syfte att samordna brottsutredningar som avser brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Regleringen bör utformas på samma sätt som för Polismyndigheten. De tulltjänstemän som arbetar i yttre tjänst har ofta behov av att kunna få hjälp av personal vid Tullverkets ledningscentraler, t.ex. vakthavande befäl eller rikssambandscentralen, med sökning i syfte att klarlägga t.ex. en gripen persons identitet. Vid sökningar av det slaget kan det vara nödvändigt att få fram andra typer av information, samtidigt som den ingripande tulltjänstemannen inte alltid har tillgång till nödvändiga sökmöjligheter i sin utrustning. Det bör därför även göras undantag från begränsningsregeln för sådana sökningar som görs i Tullverkets ledningscentraler på begäran av en tulltjänsteman i yttre tjänst.

8.5.2 Uppgifter från transportföretag får göras gemensamt tillgängliga i vissa fall

Regeringens förslag: Bestämmelsen om i vilka fall personuppgifter från transportföretag får göras gemensamt tillgängliga ska arbetas in i regleringen om gemensamt tillgängliga uppgifter.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I avsnitt 8.4.2 föreslås att regleringen av Tullverkets behandling av personuppgifter från transportföretag i huvudsak ska vara densamma som i dag. Utgångspunkten är att uppgifter från transportföretagen till allra största delen är information om personer som inte är intressanta för brottsbekämpningen och att sådana personuppgifter därför ska ges så liten spridning som möjligt. När bestämmelserna i inregränslagen och tullagen infördes konstaterade regeringen att uppgifternas karaktär krävde begränsningar av hur de fick användas (se prop. 1995/96:166 s. 83 f.). Uppgifterna får därför som utgångspunkt inte göras gemensamt tillgängliga. Enligt 2 kap. 8 § andra stycket tullbrottsdatalagen får personuppgifter från transportföretag bara göras gemensamt tillgängliga i enskilda fall. Av förarbetena framgår att det skulle strida mot intentionerna bakom bestämmelserna att generellt tillåta att sådana uppgifter görs gemensamt tillgängliga. Om personuppgifterna, t.ex. efter en kontroll, behövs för en brottsutredning eller har samband med misstänkt brottslig verksamhet bör de dock få behandlas inom ramen för den utredningen eller det underrättelseärendet och göras gemensamt tillgängliga (se prop. 2016/17:91 s. 107). I 3 kap. 2 § tullbrottsdatalagen anges under vilka förutsättningar som personuppgifter får göras gemensamt tillgängliga. Genom särregleringen i 2 kap. 8 § andra stycket av i vilka fall uppgifter från transportföretag får göras gemensamt tillgängliga finns risk för en otydlighet som kan leda till motsatsslut när det gäller andra slag av personuppgifter. För att undanröja denna risk bör bestämmelsen utan någon ändring i sak flyttas till 3 kap. 2 § i lagen om Tullverkets behandling av personuppgifter inom brottsdatalagens område. På samma sätt som i dag bör alltså sådana uppgifter få göras gemensamt tillgängliga om det behövs i ett enskilt fall.

8.6 Längsta tid för behandling av uppgifter i viss underrättelseverksamhet

Regeringens förslag: Personuppgifter som kan antas ha samband med viss brottslig verksamhet ska, om de behandlas i ett ärende, inte få behandlas längre än ett år efter det att ärendet avslutades.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag: I 4 kap. 9 § andra stycket tullbrottsdatalagen regleras hur länge personuppgifter som förekommer i viss underrättelseverksamhet får behandlas. I underrättelseverksamhet behandlas personuppgifter som huvudregel inte i ärenden och regleringen av när behandlingen ska upphöra utgår därför från när registreringen avseende en viss person gjordes. Som anges i avsnitt 7.6 behandlas personuppgifter i underrättelseverksamheten ibland i ärenden, exempelvis i samarbetet mot grov organiserad brottslighet eller i samband med en särskild händelse. När personuppgifter i underrättelseverksamhet behandlas i ärenden bör uppgifterna, på samma sätt som vid behandling av personuppgifter i andra ärenden, inte få behandlas längre än ett år efter det att ärendet avslutades. En bestämmelse med den innebörden bör därför införas.

9 Kustbevakningsdatalagen

9.1 Kustbevakningsdatalagen behöver anpassas

9.1.1 Nuvarande reglering

Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Kustbevakningens brottsbekämpande verksamhet och i annan operativ verksamhet, t.ex. sjöövervakning och räddningstjänst. Bestämmelserna i 3 och 4 kap. gäller vid behandling av personuppgifter i den brottsbekämpande verksamheten, medan bestämmelserna i 5 kap. gäller vid personuppgiftsbehandling i annan operativ verksamhet. Kustbevakningsdatalagen måste, i likhet med övriga registerförfattningar, ändras med anledning av dataskyddsdirektivet och anpassas till brottsdatalagen. Många bestämmelser behöver överhuvudtaget dock inte anpassas eller endast ändras redaktionellt. De anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De ytterligare ändringar som krävs i kustbevakningsdatalagen behandlas i detta avsnitt. Den del av kustbevakningsdatalagen som ligger utanför brottsdatalagens tillämpningsområde behandlas i ett annat lagstiftningsärende (se Ds 2017:58 EU:s dataskyddsreform – anpassningar av vissa författningar om allmän ordning och säkerhet).

9.1.2 Kustbevakningsdatalagen delas upp

Regeringens förslag: Kustbevakningsdatalagen ska bara innehålla bestämmelser om personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Den ska benämnas lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område. Samtliga hänvisningar till kustbevakningsdatalagen ska ändras.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas lag om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen renodlas Vid kustbevakningsdatalagens tillkomst konstaterades att övervägande skäl talade för att myndighetens personuppgiftsbehandling skulle regleras i en och samma lag (se prop. 2011/12:45 s. 63). Med hänsyn till hur den nya dataskyddsregleringen är utformad finns det dock, som utredningen konstaterat, skäl att på nytt överväga frågan. Kustbevakningsdatalagen reglerar i dag personuppgiftsbehandling inom både brottsdatalagens och dataskyddsförordningens tillämpningsområden. Om man skulle behålla en samlad reglering för Kustbevakningens personuppgiftsbehandling skulle den därför behöva dels gälla utöver brottsdatalagen, dels komplettera dataskyddsförordningen. Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av Kustbevakningens personuppgiftsbehandling på ett annat sätt än i dag. Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i den befintliga lagen. Ett alternativ är att dela upp regleringen i två separata regelverk – ett för brottsdatalagens tillämpningsområde och ett för dataskyddsförordningens. Skatteverket har sedan tidigare olika regleringar för personuppgiftsbehandlingen beroende på i vilken verksamhet uppgifterna behandlas, där regleringen för den brottsbekämpande verksamheten finns i en särskild lag. Kustbevakningen har visserligen till skillnad från Skatteverket inte någon organisatorisk uppdelning i olika verksamhetsgrenar. Regeringen instämmer ändå i utredningens bedömning att en ordning med två separata regleringar även för Kustbevakningens del skulle bli tydligare och enklare att tillämpa än en lösning som innebär att förordningens och direktivets krav regleras i en och samma lag. Kustbevakningens personuppgiftsbehandling bör alltså fortsättningsvis regleras i två olika registerförfattningar. Den del av Kustbevakningens personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde bör regleras i den befintliga lagen med hänsyn till att den i dag till största delen rör brottsbekämpande verksamhet. De bestämmelser i kustbevakningsdatalagen som tar sikte på frågor som ligger utanför brottsdatalagens tillämpningsområde bör följaktligen upphävas. Även 2 kap. 10 §, som ställer krav på att det ska framgå i vilken operativ verksamhet personuppgifter behandlas, bör upphävas.

Kustbevakningsdatalagen ges ett nytt namn Av de skäl som anges i avsnitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör ange vem författningen gäller för och vad den handlar om. Lagen bör mot den bakgrunden benämnas lag om Kustbevakningens behandling av personupp-

gifter inom brottsdatalagens område. Samtliga hänvisningar till lagen måste också ändras.

9.2 Tillämpningsområdet

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när Kustbevakningen i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas Registerförfattningarna bör även i fortsättningen innehålla bestämmelser om tillämpningsområdet (se avsnitt 4.4). Registerförfattningarna bör vidare gälla utöver brottsdatalagen (se avsnitt 5.2). Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Kustbevakningens operativa verksamhet som rör bl.a. brottsbekämpning, sjöövervakning och räddningstjänst. Tillämpningsområdet måste anpassas till brottsdatalagens tillämpningsområde så att det dels utgår från syftet med behandlingen, dels bara omfattar den personuppgiftsbehandling som Kustbevakningen utför inom brottsdatalagens tillämpningsområde. Det bör också framgå att lagen endast gäller när Kustbevakningen agerar i egenskap av behörig myndighet.

Närmare om tillämpningsområdet För att tillämpningsområdet för lagen ska täcka det som i dag omfattas av regleringen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bl.a. bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. En av Kustbevakningens arbetsuppgifter är att genom sjöövervakning förebygga och ingripa mot störningar av ordningen i sjötrafiken (3 § förordningen [2007:853] med instruktion för Kustbevakningen). I 5 kap. 1 § första stycket 1 kustbevakningsdatalagen regleras behandling av personuppgifter för ändamålet att övervaka den allmänna ordningen och säkerheten till sjöss. Sådan sjöövervakning syftar enligt förarbetena till att öka respekten för lagar och föreskrifter och till att öka säkerheten till 207

sjöss. Verksamheten omfattar allmän övervakningsverksamhet i form av patrullering och sjösäkerhetsövervakning. Till denna verksamhet räknas inte aktiviteter som föranleds av misstanke om brott eller brottslig verksamhet (se prop. 2011/12:45 s. 157). Inom ramen för sjöövervakningen har Kustbevakningens tjänstemän rätt att ingripa vid ordningsstörningar i trafiken till sjöss eller när det behövs för att avvärja brott mot föreskrifter om trafikregler och säkerhetsanordningar för sjötrafiken, åtgärder mot vattenföroreningar från fartyg och dumpning av avfall i vatten. Vid ett sådant ingripande har en kustbevakningstjänsteman enligt 3 § lagen om Kustbevakningens medverkan vid polisiär övervakning samma befogenhet som en polisman har enligt 13 § polislagen att avvisa, avlägsna eller omhänderta den som genom sitt uppträdande stör ordningen eller utgör omedelbar fara för den. Det gäller dock bara vid ordningsstörningar till sjöss som utgör en omedelbar fara och i samband med att Kustbevakningen ingriper mot vissa brott enligt lagen om Kustbevakningens medverkan vid polisiär övervakning. Kustbevakningen har också ordningshållande uppgifter enligt dels lagen (2006:1209) om hamnskydd, dels lagen (2004:487) om sjöfartsskydd. För att lagen ska täcka all Kustbevakningens behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde bör myndighetens behandling av personuppgifter vid upprätthållande av allmän ordning och säkerhet omfattas av tillämpningsområdet.

Gränsdragningen för tillämpningsområdet Enbart personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet omfattas av brottsdatalagens tillämpningsområde. Utgångspunkten är att det krävs fysisk närvaro på den plats där oordning förekommer eller riskerar att uppstå för att det ska vara fråga om upprätthållande av allmän ordning och säkerhet (se lagrådsremissen Brottsdatalag, avsnitt 6.4.3). När en kustbevakningstjänsteman ingriper eller är beredd att ingripa vid en konkret ordningsstörning, eller en potentiell sådan störning vid en specifik händelse, är det fråga om upprätthållande av allmän ordning och säkerhet. Personuppgiftsbehandling vid sådan verksamhet bör följaktligen omfattas av tillämpningsområdet för lagen. Detsamma bör gälla vid ingripanden och andra åtgärder för att avvärja konkreta brott. Den verksamhet som består av allmän övervakning i trygghetsskapande syfte och att genom närvaro se till att allmän ordning och säkerhet inte störs, ligger däremot utanför tillämpningsområdet. Sådan övervakning kan utföras t.ex. genom rutinmässig patrullering till sjöss eller flygövervakning eller övervakning med hjälp av kameror eller annan digital utrustning i en ledningscentral. Denna typ av övervakning görs utan att den är inriktad mot en konkret störning eller konkret risk för störning. Allmän övervakning av sådant slag kan emellertid övergå till att ha ett ordningshållande syfte och därmed omfattas av tillämpningsområdet. Så är fallet om ledningscentralen tar radiokontakt med ett övervakat fartyg för att ge anvisningar om t.ex. vilken kurs fartyget ska hålla för att undvika ett avlyst vattenområde. I dessa fall upprätthålls allmän ordning

och säkerhet utan någon fysisk närvaro på platsen där oordning förekommer eller riskerar att uppstå. Även vid rutinmässig patrullering till sjöss kan det upptäckas ordningsstörningar som kräver ingripande. Det är oftast först vid ingripanden som det blir fråga om att behandla personuppgifter. Gränsdragningen avseende vilket regelverk som gäller i enskilda fall blir ytterst en fråga för tillämpningen.

9.3 Grundläggande bestämmelser om behandling

9.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Kustbevakningen ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Regleringen i 3 kap. 2 § kustbevakningsdatalagen bör således behållas, men det ska framgå att det inte är fråga om ändamålsbestämmelser i egentlig mening. Bestämmelserna är i stället på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Kustbevakningen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. Kustbevakningen får i dag behandla personuppgifter i den brottsbekämpande verksamheten om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Kustbevakningen bör även i fortsättningen få behandla personuppgifter om det är nödvän-

digt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Tillämpningsområdet för lagen ska omfatta personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet. Detta bör därför anges vara en tillåten rättslig grund för myndighetens personuppgiftsbehandling. Lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare ersätta bestämmelsen i brottsdatalagen. Det bör därför föreskrivas i lagen, på samma sätt som i brottsdatalagen, att den uppgift som Kustbevakningen ska utföra ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för sådan uppgiften. Med lag jämställs bl.a. EUförordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I lagrådsremissen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (se avsnitt 7.2). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För Kustbevakningens del nämns 3 § förordningen (2007:853) med instruktion för Kustbevakningen, där det anges att myndigheten bl.a. ska bedriva övervakning för att förebygga och ingripa mot störningar i sjötrafiken, förhindra och upptäcka brottslig verksamhet, ingripa vid misstanke om brott och utreda och beivra eller bistå med utredningen av brott. Vilka brott Kustbevakningen har till uppgift att ingripa mot framgår bl.a. av lagen (1982:395) om Kustbevakningens medverkan vid polisiär övervakning och lagen (2000:1225) om straff för smuggling. Hur det ska göras regleras framför allt i rättegångsbalken och nyss nämnda lagar. Dessa bestämmelser, tillsammans med den föreslagna regleringen i 2 kap. 1 § lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar.

Behandling för nya ändamål I dag regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 3 kap. 3 § kustbevakningsdatalagen. De sekundära ändamålsbestämmelserna ska nu upphävas och förutsättningarna för behandling för nya ändamål regleras i stället i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tilllämpningsområde ska det enligt brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Samma prövning ska göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför tilllämpningsområdet. I lagen om Kustbevakningens behandling av person- 210

uppgifter inom brottsdatalagens område bör det införas en bestämmelse som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen.

9.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens bedömning: Kustbevakningen bör inte få behandla biometriska och genetiska uppgifter.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Hovrätten för Västra Sverige har inget att erinra mot bedömningen om ställningstagandet grundar sig på upplysningar från Kustbevakningen. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Regeringen instämmer i utredningens bedömning att det inte har framkommit något behov för Kustbevakningen att behandla biometriska och genetiska uppgifter för brottsbekämpande syften. Kustbevakningen har inte heller invänt mot bedömningen. Det bör därför inte finnas någon bestämmelse som medger sådan behandling i lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område.

9.3.3 Sökning på känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Sökförbudet ska inte heller hindra sökning i syfte att få fram ett urval av personer grundat på etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inte några invändningar mot förslaget.

Skälen för regeringens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter Eftersom sökförbudet får en ny utformning i brottsdatalagen är det nödvändigt att se över bestämmelserna om sökning även i kustbevakningsdatalagen. Enligt 4 kap. 4 § andra stycket i lagen är det tillåtet att använda brottsrubriceringar eller uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Kustbevakningen har fortfarande behov av att kunna 211

använda sådana uppgifter vid sökning, även om det leder till att man får fram ett urval av personer grundat på känsliga personuppgifter. Det bör därför göras undantag från brottsdatalagens sökförbud i lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område för sådana sökningar. För att möjligheterna till sökning ska vara desamma som i dag bör undantaget omfatta sökning i alla slags personuppgifter, dvs. oberoende av om de har gjorts gemensamt tillgängliga eller inte. Kustbevakningen behöver i likhet med Polismyndigheten och Tullverket kunna göra sökningar på tillvägagångssätt vid brott. Sådana sökningar kan i vissa fall leda till ett urval av personer grundat på känsliga personuppgifter. Som exempel kan nämnas att smugglingsmetoder kan avslöja uppgifter om såväl religiös övertygelse och politiska åsikter som uppgifter om gärningsmannens hälsa.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i kustbevakningsdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig. De behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning bör inte försämras. Framför allt inom Kustbevakningens underrättelseverksamhet kan det behöva göras sökningar som innebär att sammanställningar grundade på etniskt ursprung eller religiös eller filosofisk övertygelse skapas. Kustbevakningen måste kunna göra sökningar för att förebygga, förhindra eller upptäcka brottslig verksamhet som begås av flera personer som förenas genom sitt etniska ursprung eller sin religiösa eller filosofiska övertygelse. I utredningsverksamheten finns motsvarande behov av att kunna söka på känsliga personuppgifter vid brott med okänd gärningsman. Det finns därför skäl att göra undantag från sökförbudet i brottsdatalagen när det gäller sökning i uppgifter som inte har gjorts gemensamt tillgängliga. Kustbevakningen har dock inte behov av att kunna ta fram urval av personer grundade på alla kategorier av känsliga personuppgifter. Det kan inte finnas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Regeringen instämmer vidare i utredningens bedömning att det inte finns något behov av att kunna göra sammanställningar grundade på genetiska eller biometriska uppgifter, uppgifter om medlemskap i fackförening eller politiska åsikter eller uppgifter som rör sexualliv eller sexuell läggning. Undantaget från sökförbudet i brottsdatalagen bör därför utformas så att sökning i personuppgifter som inte har gjorts gemensamt tillgängliga möjliggörs när det gäller uppgifter som kan avslöja etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa.

9.4 Gemensamt tillgängliga uppgifter

9.4.1 Behandling för diarieföring ska undantas

Regeringens förslag: Det som föreskrivs om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av den särskilda bestämmelsen i brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag : I polisdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen föreskrivs att reglerna om gemensamt tillgängliga personuppgifter inte är tillämpliga när personuppgifter behandlas med stöd av den särskilda bestämmelsen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter. Någon sådan bestämmelse finns inte i kustbevakningsdatalagen. Bestämmelsen om personuppgiftsbehandling vid diarieföring syftar inte till att möjliggöra behandling av personuppgifter i den operativa verksamheten, utan enbart till att inkomna handlingar ska kunna hanteras enligt offentlighets- och sekretesslagen och att tillgodose rätten till tillgång till allmänna handlingar enligt tryckfrihetsförordningen. Flera av de bestämmelser som gäller vid behandling av gemensamt tillgängliga personuppgifter är inte anpassade för att reglera behandling av personuppgifter i diarier (se bl.a. Skattebrottsdatalag, prop. 2016/17:89, s. 87 f.). Det bör därför föreskrivas att reglerna om gemensamt tillgängliga personuppgifter inte gäller när personuppgifter behandlas med stöd av 2 kap. 2 § brottsdatalagen.

9.4.2 En ny kategori av personuppgifter får göras gemensamt tillgängliga

Regeringens förslag: Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet ska få göras gemensamt tillgängliga. De ska inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: De personuppgifter som Kustbevakningen behandlar i annan operativ verksamhet än den brottsbekämpande och som behövs för att övervaka den allmänna ordningen och säkerheten till sjöss får i dag göras gemensamt tillgängliga enligt 5 kap. 1 § kustbevakningsdatalagen. Lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område ska även tillämpas vid personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. Inför kommenderingar vid särskilda händelser där ordningsstörningar befaras kan det finnas behov av att göra uppgifter om personer som 213

tidigare orsakat ordningsstörningar gemensamt tillgängliga. Kustbevakningen bör därför även kunna göra personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet gemensamt tillgängliga. Personuppgifter som görs gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet bör inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången. Det motsvarar vad som föreslås gälla för Polismyndigheten.

9.4.3 Sökning i gemensamt tillgängliga uppgifter

Regeringens förslag: Bestämmelsen som begränsar resultatet vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller liknande identitetsbeteckningar ska enbart gälla i automatiserade behandlingssystem. Begränsningarna ska inte gälla vid sökning som utförs av särskilt angivna tjänstemän i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget att begränsningen av vilka uppgifter som får tas fram bara ska gälla i automatiserade behandlingssystem.

Skälen för regeringens förslag

Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samordningsnummer är ett viktigt inslag i Kustbevakningens verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (se prop. 2011/12:45 s. 126 och avsnitt 7.5.2). I 4 kap. 5 § kustbevakningsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 4 kap. 6 § görs vissa undantag från bestämmelserna i 4 kap. 5 §. I förarbetena diskuteras ingående vilka typer av sökningar som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2011/12:45 s. 126 f.). Paragraferna är utformade utifrån regleringen i polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 anser regeringen, till skillnad från Datainspektionen , att begränsningen endast bör gälla vid sökningar i automatiserade behandlingssystem.

Sökning i gemensamt tillgängliga uppgifter Det bör övervägas om det för Kustbevakningen delvis ändrade tillämpningsområdet för lagen bör föranleda någon ändring av begränsningsregeln i 4 kap. 5 § kustbevakningsdatalagen. Lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område omfattar även behandling av personuppgifter i syfte att upprätthålla allmän 214

ordning och säkerhet. De uppgifter som då främst kan vara av intresse är uppgifter om att någon är eller har varit misstänkt för brott mot allmän ordning. Sådana uppgifter är redan i dag tillgängliga vid en sökning. Detsamma gäller uppgifter om att någon kan antas komma att möta ett ingripande med grovt våld. Det finns därför inte anledning att utöka de nu gällande möjligheterna att få fram uppgifter vid en allmän sökning. Av de skäl som anges i avsnitt 7.5.2 bör undantaget för sökning i underrättelseverksamhet ändras på motsvarande sätt i lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område för att motverka att regleringen misstolkas.

10 Skattebrottsdatalagen

10.1 Skattebrottsdatalagen behöver anpassas

10.1.1 Nuvarande reglering

Skattebrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet. Det är dock bara en mycket begränsad del av myndighetens verksamhet. Lagen är ny och trädde i kraft den 1 juli 2017. Vissa av bestämmelserna i lagen behöver dock inte tillämpas förrän den 1 januari 2019. I likhet med övriga registerförfattningar måste skattebrottsdatalagen ändras med anledning av dataskyddsdirektivet. Den måste också anpassas till brottsdatalagen. Många bestämmelser behöver dock inte anpassas alls eller behöver endast ändras redaktionellt. De anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De anpassningar som är specifika för skattebrottsdatalagen behandlas däremot i detta avsnitt.

10.1.2 Skattebrottsdatalagen ges ett nytt namn

Regeringens förslag: Skattebrottsdatalagen ska benämnas lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område. Hänvisningar till lagen i andra författningar ska därmed också ändras.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas Skatteverkets brottsdatalag. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av de skäl som anges i avsnitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Det gäller även skattebrottsdatalagen, trots att den nyligen fått sitt nuvarande namn. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör ange för vem författningen gäller och vad den handlar om. Regeringen föreslår därför att lagen ska benämnas lagen om Skatteverkets behandling av personuppgifter inom brotts- 215

datalagens område. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras.

10.2 Tillämpningsområdet

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när Skatteverket i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Skattebrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet. Tillämpningsområdet behöver nu anpassas till brottsdatalagens tillämpningsområde så att det utgår från syftet med behandlingen i stället för i vilken verksamhet behandlingen utförs. Det bör också framgå att lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område endast gäller när myndigheten agerar i egenskap av behörig myndighet. Utredningen föreslår att tillämpningsområdet ska omfatta personuppgiftsbehandling i syfte att bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag.

10.3 Grundläggande bestämmelser om behandling

10.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Skatteverket ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella 216

registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Regleringen i 2 kap. 5 § skattebrottsdatalagen bör således behållas, men det bör framgå att det inte är fråga om en ändamålsbestämmelse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Skatteverket rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. Skatteverket får i dag behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Myndigheten bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Bestämmelsen bör också få en ny placering, 2 kap. 1 §. Lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område bör den senare helt ersätta bestämmelsen i brottsdatalagen. I lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område bör det därför på samma sätt som i brottsdatalagen också föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I lagrådsremissen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (se lagrådsremissen Brottsdatalag, avsnitt 7.2). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För Skatteverkets del kan t.ex. 6 § förordningen (2017:154) med instruktion för Skatteverket nämnas, varav det framgår att Skatteverket ska förebygga och motverka ekonomisk brottslighet och medverka i brottsutredningar som rör vissa brott. Sådana bestämmelser, tillsammans med den föreslagna regleringen i 2 kap. 1 § lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar. 217

Behandling för nya ändamål I dag regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 2 kap. 6 § skattebrottsdatalagen. Regeringen anser i likhet med utredningen att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Samma prövning bör göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför tillämpningsområdet. Regeringen anser att det därför bör införas en bestämmelse i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen.

10.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens bedömning: Skatteverket bör inte få behandla biometriska och genetiska uppgifter.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Hovrätten för Västra Sverige har inget att erinra mot bedömningen om ställningstagandet grundar sig på upplysningar från Skatteverket. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken betydelse de har vid brottsbekämpning. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. I likhet med utredningen, vars förslag Skatteverket i sitt remissyttrande inte har invänt emot, finner inte regeringen något behov för Skatteverket att behandla biometriska och genetiska uppgifter. Det finns därför inte skäl att föreslå någon bestämmelse som medger sådan behandling i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område.

10.3.3 Sökning på känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att uppgifter som beskriver en persons utseende används vid sökning. Sökförbudet ska inte heller hindra sökning i syfte att få fram ett urval av personer grundat på etniskt ursprung, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. 218

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I 2 kap. 14 § brottsdatalagen kommer det att finnas ett generellt sökförbud, vilket utgår från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Detta skiljer sig från dagens reglering. Eftersom sökförbudet får en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket skattebrottsdatalagen är det tillåtet att använda uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det finns även i fortsättningen behov att kunna använda sådana uppgifter vid sökning, trots att det kan leda till att man får fram ett urval av personer grundat på känsliga personuppgifter. Det bör därför göras undantag från brottsdatalagens sökförbud i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område. För att möjligheterna till sökning ska vara desamma som i dag bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i skattebrottsdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter kan användas vid sökning i uppgifter som endast ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig. De behöriga myndigheternas möjligheter att använda känsliga personuppgifter vid sökning bör inte försämras i förhållande till dagens reglering. För att effektivt kunna bekämpa brott behöver Skatteverket kunna göra sammanställningar i syfte att få fram ett urval av personer grundat på vissa känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdatalagen även i sådana fall. Det är framför allt i Skatteverkets underrättelseverksamhet som det kan finnas behov av sökningar som innebär att sammanställningar grundade på etniskt ursprung skapas. I t.ex. ärenden om falska identitetshandlingar eller gränsöverskridande ekonomisk brottslighet kan etniskt ursprung vara en gemensam faktor som knyter samman personer i ett nätverk. I utredningsverksamheten finns motsvarande behov av att kunna söka på sådana känsliga personuppgifter. Det har inte framkommit att Skatteverket i övrigt skulle ha behov av att kunna ta fram urval av personer grundade på känsliga personuppgifter. 219

Undantaget från sökförbudet i brottsdatalagen bör utformas så att sökning möjliggörs endast när det gäller etniskt ursprung. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga begränsas i förhållande till vad som gäller i dag.

10.4 Gemensamt tillgängliga uppgifter

Regeringens förslag: Bestämmelsen som begränsar resultatet vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar ska enbart gälla i automatiserade behandlingssystem. Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän 1. när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 2. i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till, eller 3. i syfte att utreda brott för vilket är föreskrivet fängelse i fyra år eller mer.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget att begränsningen av vilka uppgifter som får tas fram bara ska gälla i automatiserade behandlingssystem, eftersom en sådan förändring riskerar att öppna för sökningar i vidare omfattning än i dag. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samordningsnummer är ett viktigt inslag i Skatteverkets verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter. I 3 kap. 6 § skattebrottsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla, se prop. 2016/17:89 s. 96 f. Paragraferna är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör det tydliggöras att regleringen enbart gäller vid sökning i automatiserade behandlingssystem. I samma avsnitt bemöts Datainspektionens invändningar. 220

Sökning i gemensamt tillgängliga uppgifter Undantagen i 3 kap. 7 § skattebrottsdatalagen från begränsningarna av vilka uppgifter som får tas fram vid sökning är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör undantagen ändras även i lagen om Skatteverkets behandling av personuppgifter inom brottsdatalagens område. Det gäller undantagen för att bearbeta och analysera information i underrättelseverksamhet. Regleringen bör utformas på samma sätt som för Polismyndigheten.

11 Åklagardatalagen

11.1 Åklagardatalagen behöver anpassas

11.1.1 Nuvarande reglering

Åklagardatalagen gäller enligt 1 kap. 2 § första stycket vid behandling av personuppgifter i Åklagarmyndighetens och Ekobrottsmyndighetens (åklagarväsendets) operativa verksamhet. Med operativ verksamhet avses dels brottsbekämpande verksamhet, dels fullgörandet av andra åklagaruppgifter enligt lag eller förordning. Det senare kan t.ex. vara att föra talan om hävande av registrering av varumärkesrätt, att företräda staten i mål om vattenföroreningsavgift eller att fatta beslut om förstörande av vissa hälsofarliga missbrukssubstanser (se avsnitt 1.2 och prop. 2014/15:63 Åklagardatalag s. 43 f. och 68 f.). Lagen gäller enligt 1 kap. 2 § andra stycket inte vid behandling av personuppgifter i den polisiära verksamheten vid Ekobrottsmyndigheten. Vid sådan behandling gäller i stället polisdatalagen och andra författningar som reglerar polisens personuppgiftsbehandling. Åklagardatalagen måste, i likhet med övriga registerförfattningar, ändras med anledning av dataskyddsdirektivet. Den måste även anpas¬sas till brottsdatalagen. Många bestämmelser behöver dock inte anpassas alls eller endast ändras redak¬tionellt. De anpassningar och ändringar som är gemensamma för registerförfatt¬ningarna behandlas i avsnitt 4, 5 och 6. De anpassningar som är specifika för åklagardatalagen behandlas däremot i detta avsnitt.

11.1.2 Åklagardatalagens tillämpningsområde begränsas

Regeringens förslag: Åklagardatalagen ska bara innehålla bestämmelser om personuppgiftsbehandling inom brottsdatalagens tillämpningsområde och ges ett nytt namn. Den ska benämnas lag om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Hänvisningar till lagen i andra författningar ska därmed också ändras.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas åklagarväsendets brottsdatalag. 221

Remissinstanserna: Ingen remissinstans invänder mot förslaget. Ekobrottsmyndigheten menar dock att myndighetens personuppgiftsbehandling borde kunna särregleras i en egen registerförfattning.

Skälen för regeringens förslag

Den nuvarande regleringen renodlas Vid åklagardatalagens tillkomst övervägde regeringen om åklagardatalagen endast skulle omfatta personuppgiftsbehandling i den brottsbekämpande verksamheten. Eftersom arbetsuppgifter utanför den brottsbekämpande verksamheten utgör en mycket liten del av åklagarverksamheten ansåg regeringen dock att det inte behövdes någon särskild författning för annan operativ verksamhet. Eftersom personuppgiftslagens allmänna bestämmelser inte bedömdes ändamålsenliga för sådan integritetskänslig verksamhet ansåg regeringen att åklagardatalagen borde omfatta all personuppgiftbehandling som rör åklagaruppgifter (se prop. 2014/15:63 s. 43 f.). Med hänsyn till hur den nya dataskyddsregleringen är utformad finns det emellertid skäl att på nytt överväga den frågan. Åklagardatalagen reglerar alltså huvudsakligen personuppgiftsbehandling inom brottsdatalagens tillämpningsområde, men även till viss del inom dataskyddsförordningens. Om man skulle behålla en samlad reglering för åklagarväsendets personuppgiftsbehandling skulle den därför till största delen gälla utöver brottsdatalagen, men skulle i övrigt komplettera dataskyddsförordningen. Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av åklagarväsendets personuppgiftsbehandling på ett annat sätt än i dag. Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i den befintliga lagen. En separat reglering för sådan personuppgiftsbehandling som faller inom ramen för brottsdatalagens tillämpningsområde blir emellertid tydligare och lättare att tillämpa. Trots de skäl som anges i förarbetena till åklagardatalagen bör därför åklagarväsendets personuppgiftsbehandling fortsättningsvis inte regleras i en och samma registerförfattning. Den del av personuppgiftsbehandlingen som ligger inom brottsdatalagens tillämpningsområde bör regleras i den befintliga lagen eftersom den i dag till största delen rör brottsbekämpande verksamhet. Mot den bakgrunden bör 2 kap. 5 § andra stycket åklagardatalagen, som reglerar behandling av personuppgifter utanför brottsdatalagens tillämpningsområde, upphävas. För sådan operativ verksamhet som faller utanför brottsdatalagens tilllämpningsområde kommer i stället EU:s dataskyddsförordning och dataskyddslagen att gälla. Den regleringen bedöms tillräcklig och det behövs därför inte någon särreglering för personuppgiftsbehandling i sådan verksamhet. Till skillnad från Ekobrottsmyndigheten bedömer regeringen att det inte heller behövs någon särreglering för Ekobrottsmyndighetens personuppgifts¬behandling.

Åklagardatalagen ges ett nytt namn Eftersom endast den del av åklagarväsendets personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde ska regleras i åklagardatalagen, bör det övervägas om lagens namn bör ändras. Av de skäl som anges i av¬snitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Namnet bör knyta an till hur brottsdata¬lagen benämns. Det bör ange för vem författningen gäller och vad den handlar om. Eftersom lagen ska gälla för både Åkla¬garmyndigheten och Ekobrottsmyn¬digheten bör det av namnet framgå att lagen omfattar båda myndigheterna, som tillsammans bildar åklagarväsendet. Regeringen anser mot den bakgrunden att lagen bör benämnas lag om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Som en följd av namnbytet måste alla hänvis¬ningar till lagen ändras.

11.2 Tillämpningsområdet

Regeringens förslag: Åklagarväsendets brottsdatalag ska gälla utöver brottsdatalagen när myndigheterna i åklagarväsendet i egenskap av behöriga myndigheter behandlar personuppgifter i åklagarverksamhet i syfte att förebygga eller förhindra brottslig verksamhet, utreda eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Det ska upplysas om att det även finns bestämmelser om personuppgiftsbehandling vid Ekobrottsmyndigheten i lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen behöver anpassas Enligt 1 kap. 2 § åklagardatalagen gäller lagen vid behandling av personuppgifter i åklagarväsendets operativa verksamhet. Brottsdatalagens tilllämpningsområde knyts både till vilket syfte behandlingen av personuppgifter har och till att det är en behörig myndighet som utför behandlingen. Tillämpningsområdet för lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område måste anpassas till brottsdatalagens, så att det dels utgår från syftet med behandlingen, dels omfattar bara den person-uppgiftsbehandling som Åklagarmyndigheten och Ekobrottsmyndigheten utför inom brottsdatalagens tillämp-ningsområde och som inte regleras i någon annan lag. Det bör framgå att lagen endast gäller när någon av myndigheterna agerar i egenskap av behöriga myndigheter. I lagrådsremissen Brottsdatalag (1 kap. 6 §) definieras behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och 223

säkerhet eller en annan aktör som utövar myndighet för något av dessa syften.

Närmare om tillämpningsområdet För att tillämpningsområdet för lagen ska täcka det som i dag omfattas av regleringen i åklagardatalagen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bekämpa eller lagföra brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av personuppgifter i syfte att bl.a. förebygga eller förhindra brottslig verksamhet eller utreda brott. Regeringen anser att motsvarande uttryck bör användas i lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbehandling i syfte att verkställa straffrättsliga påföljder. Åklagare för talan om ändring av påföljd enligt bestämmelser i 27, 28 och 38 kap. brottsbalken. Åklagare prövar även vissa frågor om straffverkställighet vid beslut att utfärda en europeisk eller nordisk arresteringsorder (se 2 och 4 §§ förordningen [2003:1178] om överlämnande till Sverige enligt en europeisk arresteringsorder och 2 och 4 §§ förordningen [2012:566] om överlämnande till Sverige enligt en nordisk arresteringsorder). Åklagare ska också yttra sig i vissa frågor om rättspsykiatrisk vård med särskild utskrivningsprövning. Personuppgiftsbehandling när åklagare handlägger frågor som rör ändring av påföljd eller frågor om straffverkställighet bör därför också omfattas av lagens tillämpningsområde. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. Enligt 6 § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang prövar allmän åklagare frågor om tillträdesförbud. Brottsdatalagen är tillämplig på behandling av personuppgifter vid sådan prövning (se lagrådsremissen Brottsdatalag s. 430). Tillämpningsområdet för lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område bör därför också omfatta personuppgiftsbehandling när åklagare handlägger frågor om upprätthållande av allmän ordning och säkerhet. Åklagare handlägger även vissa frågor som inte anses falla under brottsdatalagens tillämpningsområde (jfr prop. 2014/15:63 s. 68 f.). Till dem hör följande: – talan enligt 3 § lagen (1985:277) om vissa bulvanförhållanden om tvångs¬försäljning av fast egendom som förvärvats eller behålls genom bulvanförhållande och framställning om kvarstad enligt 6 § samma lag, – talan om äktenskapsskillnad enligt 5 kap. 5 § äktenskapsbalken, – talan om hävande av registrering av växtförädlarrätt, se 30 § växtförädlarrättsförordningen (1997:383), – talan om hävande av registring av mönsterrätt grundad på att ett mönster strider mot goda seder eller allmän ordning eller att det i ett mönster utan tillstånd har tagits in statsvapen, statsflagga eller annat statsemblem, statlig kontroll- eller garantibeteckning, eller annan beteckning som hänsyftar på svenska staten och som därigenom ger 224

mönstret en officiell karaktär, eller svenskt kommunalt vapen eller sådan internationell beteckning som skyddas enligt lagen (1970:498) om skydd för vapen och vissa andra officiella beteckningar eller något som lätt kan förväxlas med något av det som nämnts, se 36 § mönsterskyddsförordningen (1970:486), – talan förd i enlighet med 8 kap. 2 § varumärkesförordningen (2011:594) om hävning av registrering av varumärkesrätt enligt 3 kap. 5 § andra stycket varumärkeslagen (2010:1877), – talan enligt 6 § lagen (1989:532) om tillstånd för anställning på fartyg om påförande av avgift för att en fysisk eller juridisk person haft en utlänning i sin tjänst, trots att han eller hon inte haft föreskrivet anställningstillstånd, – talan enligt 20 kap. 13 § utlänningslagen (2005:716) om påförande av avgift för att en fysisk eller juridisk person haft en utlänning i sin tjänst, trots att han eller hon inte haft föreskrivet anställningstillstånd, om talan inte förs i sam¬band med ett brottmål, – talan enligt 29 § lagen (2005:395) om arbetstid vid visst vägtransportarbete om övertidsavgift, – företräda staten i mål om vattenföroreningsavgift enligt 9 kap. 5 § lagen (1980:424) om åtgärder mot förorening från fartyg, – företräda staten i mål om barlastvattenavgift enligt 9 kap. 2 § barlastvattenlagen (2009:1165), – beslut enligt 4 § lagen (2011:111) om förstörande av vissa hälsofarliga missbrukssubstanser att förstöra vissa varor som ännu inte har förklarats utgöra narkotika, samt – beslut enligt 2 § lagen (1988:1473) om undersökning beträffande vissa smittsamma sjukdomar i brottmål att kroppsbesiktning ska utföras för att kunna avgöra om det finns risk att hivinfektion eller annan allvarlig blodsmitta kunnat överföras till målsäganden.

För personuppgiftsbehandling som sker vid handläggning av dessa frågor kommer EU:s dataskyddsförordning och dataskyddslagen att gälla. I lagrådsremissen Brottsdatalag konstateras att när de processuella reglerna om ansvar för brott gäller för talan som kumuleras med ansvarstalan ska brottsdatalagen tillämpas. Det gäller bl.a. när åklagare för talan om särskild rättsverkan av brott, inom ramen för ett brottmål, med stöd av reglerna i 20 kap. utlänningslagen (se lagrådsremissen Brottsdatalag, avsnitt 6.7.2). Till skillnad från den bedömning som gjordes i tidigare förarbeten till åklagardatalagen omfattar således regleringen i nya 1 kap. 1 § i lagen talan enligt 20 kap. 15 och 16 §§ utlänningslagen om att en fysisk eller juridisk person för viss tid ska fråntas sin rätt till en del av eller alla offentliga stöd, bidrag och förmåner som har beviljats men ännu inte betalats ut eller kommit honom eller henne till del och att det som har erhållits ska återbetalas.

Särskilt om verksamheten vid Ekobrottsmyndigheten Ekobrottsmyndigheten är en åklagarmyndighet som ansvarar för bekämpning av ekonomisk brottslighet. Åklagarmyndigheten ansvarar huvudsakligen för all annan åklagarverksamhet än den som ankommer på Ekobrottsmyndigheten. I avsnitt 7.2.1 redogörs för Ekobrottsmyndighe- 225

tens organisation och arbetsuppgifter. Som framgår där består Ekobrottsmyndighetens operativa verksamhet av underrättelseverksamhet, utrednings- och lagföringsverksamhet och brottsförebyggande verksamhet. Huvuddelen av myndighetens verksamhet består i att utreda brott. Personuppgiftsbehandlingen vid Ekobrottsmyndigheten regleras i dag i både åklagardatalagen och polisdatalagen. Polisdatalagen gäller i den polisiära verksamheten, medan åklagardatalagen gäller i den övriga operativa verksamheten. I avsnitt 7.2.1 anges att uttrycket åklagarverksamhet bör användas för att avgränsa tillämpningsområdet för polisdatalagen. Skälet till det är att det är tydligare vad som ingår i åklagarverksamhet än i polisiär verksamhet. Vidare anges i samma avsnitt att lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör gälla vid personuppgiftsbehandling i syfte att utreda brott, om det inte är fråga om åklagarverksamhet. Lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område bör med hänsyn till det gälla vid personuppgiftsbehandling som utförs i åklagarverksamhet i syfte att utreda och lagföra brott. Det bör i lagen upplysas om att det även finns bestämmelser om personuppgiftsbehandling vid Ekobrottsmyndigheten i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Behandling av personuppgifter i den underrättelseverksamhet som bedrivs vid Ekobrottsmyndigheten bör inte omfattas av lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, eftersom den verksamheten leds, styrs och utförs av Polismyndigheten på Ekobrottsmyndighetens uppdrag. Den utgör därmed inte någon åklagarverksamhet utan i stället sådan verksamhet som omfattas av lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

11.3 Grundläggande bestämmelser om behandling

11.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att myndigheten ska kunna utföra sin uppgift att 1. förebygga eller förhindra brottslig verksamhet, 2. utreda eller lagföra brott, 3. handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder, 4. handlägga frågor som rör upprätthållande av allmän ordning och säkerhet, eller 5. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket rege¬ringen uppdragit åt myndigheten att utföra uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella 226

registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt i denna del.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Regleringen i hittillsvarande 2 kap. 5 § första stycket åklagardatalagen bör alltså behållas, men det bör framgå att det inte är fråga om ändamålsbestämmelser i egentlig mening. Bestämmelserna är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger åklagare rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. I lagrådsremissen anges vad som avses med rättslig grund och att direktivet kräver att grunden ska vara tydlig, precis och förutsägbar (se lagrådsremissen Brottsdatalag, avsnitt 7.2). Det konstateras där att kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt är uppfyllt genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna. För åklagarväsendets del kan t.ex. 2 § första stycket förordning (2015:743) med instruktion för Åklagarmyndigheten nämnas, varav det framgår att Åklagarmyndigheten ska se till att personer som begår brott blir föremål för brottsutredning och lagföring. Sådana slag av bestämmelser, tillsammans med den föreslagna regleringen i 2 kap. 1 § i lagen, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar (se även avsnitt 11.2 för en översikt av författningsstödet för åklagarnas verksamhet). I dag får personuppgifter behandlas i åklagarväsendets brottsbekämpande verksamhet om det behövs för att förebygga eller förhindra brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Åklagarmyndigheten och Ekobrottsmyndigheten bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Det brottsförebyggande arbete som utförs vid Ekobrottsmyndigheten är inte något underrättelsearbete, utan ett strategiskt förebyggande arbete där personuppgifter normalt inte förekommer, men det kan inte uteslutas att personuppgifter förekommer (se prop. 2014/15:63 s. 64). Underrättelseverksamheten regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Åklagare för talan om ändring av påföljder bl.a. med stöd av 38 kap. 2 och 2 a §§ brottsbalken. Åklagare prövar numera även vissa frågor om straffverkställighet när de utfärdar en nordisk eller europeisk arresteringsorder. Åklagare vid¬tar även åtgärder inom ramen för verkställighet av ett strafföreläggande. Som exempel kan nämnas att information om ett utfärdat strafföreläggande överförs till Polismyndighetens system för uppbördsverksamhet. Eftersom det ingår i åklagares arbetsuppgifter att 227

handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder bör det i lagen anges som en tillåten rättslig grund för åklagares personuppgiftsbehandling. Åklagare prövar även frågor enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang. Sådan verksamhet rör allmän ordning och säkerhet. Att handlägga frågor som rör upprätthållande av allmän ordning och säkerhet bör därför också anges i lagen som en tillåten rättslig grund för personuppgiftsbehandling. Lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område bör den senare, som utredningen föreslår, helt ersätta bestämmelsen i brottsdatalagen. Det bör därför, på samma sätt som i brottsdatalagen, föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt åklagare att ansvara för uppgiften. Med lag jämställs bl.a. EUförordningar. Till skillnad från Datainspektionen anser regeringen att den analys som gjorts är tillräcklig när det gäller frågan om direktivets krav på en tydlig, precis och förutsägbar rättslig grund för åklagarväsendets behandling av personuppgifter.

Behandling för nya ändamål I dag regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 2 kap. 6 § åklagardatalagen. Regeringen anser i likhet med utredningen att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Samma prövning ska göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen.

11.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens bedömning: Det finns inte skäl att särskilt föreskriva att Åklagarmyndigheten och Ekobrottsmyndigheten får behandla biometriska och genetiska uppgifter.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Hovrätten för Västra Sverige anför att det eventuellt skulle kunna uppkomma behov för åklagare att behandla biomet- 228 riska uppgifter och att det är viktigt att säkerställa att de föreslagna be-

gränsningarna i uppgiftsbehandling inte inverkar negativt på den misstänktes möjlighet att själv föranstalta genetiska och biometriska undersökningar. Ekobrottsmyndigheten ser ett behov av att behandla biometriska uppgifter för att effektivt kunna bekämpa den ekonomiska brottsligheten. Övriga remissinstanser yttrar sig inte i denna del. Skälen för regeringens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken betydelse de har vid brottsbekämpning. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Till skillnad från Hovrätten för Västra Sverige och Ekobrottsmyndigheten instämmer regeringen i utredningens bedömning att det är svårt att se att åklagare har något behov av att behandla biometriska och genetiska uppgifter. Det ska i sammanhanget anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Åklagare kommer alltså att kunna behandla personuppgifter i sådana utlåtanden i samma utsträckning som i dag. Den behandlingen är för åklagare tillräcklig. Det finns därför inte behov av någon bestämmelse i lagen som medger behandling av biometriska och genetiska uppgifter. Samhällsoch teknikutvecklingen kan dock innebära att det framöver finns anledning att överväga denna fråga på nytt. Att åklagare inte medges behandla biometriska och genetiska uppgifter bedöms inte inverka negativt på den misstänktes möjlighet att själv föranstalta om genetiska och biometriska undersökningar. Det finns därför inte skäl att, som Hovrätten för Västra Sverige anför, särskilt säkerställa att den misstänkte har möjlighet att själv föranstalta om sådana undersökningar.

11.3.3 Sökning på känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot förslaget.

Skälen för regeringens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I 2 kap. 14 § brottsdatalagen finns ett generellt sökförbud, enligt vilket det är förbjudet att utföra sökningar i alla slags personuppgifter i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Om syftet inte är att få fram ett sådant urval av personer är sökningen tillåten, även om känsliga personuppgifter används vid sökningen. Detta skiljer 229

sig från dagens reglering i 3 kap. 4 § första stycket åklagardatalagen, som förbjuder att känsliga personuppgifter används som sökbegrepp vid sökning i personuppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter enligt nu gällande reglering får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Vidare följer av 3 kap. 4 § andra stycket åklagardatalagen att brottsrubrice-ringar eller uppgifter som beskriver en persons utseende får användas som sökbegrepp även vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Eftersom sökförbudet utformats på ett nytt sätt i brottsdatalagen är det nödvändigt att se över bestämmelserna om sökning för åklagarväsendets del. Sökförbudet kommer att gälla i större utsträckning än i dag, eftersom det även träffar uppgifter som inte gjorts gemensamt tillgänglig. De förändrade reglerna kring myndigheternas möjligheter att använda känsliga personuppgifter vid sökningar bör inte försämra förmågan att bedriva en effektiv verksamhet. Enligt utredningen innebär förändringen dock inte någon försämring i praktiken, eftersom sammanställningar grundande på känsliga personuppgifter normalt inte görs av åklagare. Regeringen delar denna bedömning. I vissa fall kan det dock uppstå behov för en åklagare att utföra sökningar på känsliga personuppgifter. Det ska då framhållas att den föreslagna regleringen medger en sådan sökning så länge inte syftet med den är att få fram ett urval av personer grundat på känsliga personuppgifter (2 kap. 14 § brottsdatalagen). Myndigheterna har även i fortsättningen behov av att kunna använda brottsru¬briceringar eller uppgifter som beskriver en persons utseende som sökbegrepp, trots att det kan leda till att man får fram ett urval av personer grundat på känsliga personuppgifter. Det bör alltså även fortsättningsvis vara tillåtet att söka på t.ex. brottsrubriceringen ”våldtäkt mot barn”, även om det kan avslöja en sexuell preferens hos en gärningsman. Det kan vidare finnas behov av att t.ex. söka efter hur många vittnen som har beskrivit en gärningsmans utseende på ett visst sätt, även om det kan avslöja ras eller uppgifter om hälsa. Det bör därför göras undantag i lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område för sådana sökningar. Eftersom det generella sökförbudet i 2 kap. 14 § brottsdatalagen gäller oavsett om uppgifterna har gjorts gemensamt tillgängliga eller inte bör undantaget omfatta sökning i alla slags personuppgifter.

11.4 Gemensamt tillgängliga uppgifter

Regeringens förslag: Bestämmelsen som anger vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller liknande identitetsbeteckningar ska enbart gälla i automatiserade behandlingssystem. Vid sådan sökning får även uppgifter som anger att den sökta personen är anmäld för brott tas fram.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget om att bestämmelsen, som anger vilka uppgifter som får tas fram, enbart ska gälla i automatiserade behandlingssystem och menar att en sådan reglering riskerar att öppna upp möjligheten för de aktuella myndigheterna att söka i vidare omfattning än vad som gäller i dag. Övriga remissinstanser yttrar sig inte i denna del.

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samordningsnummer är ett viktigt inslag i åklagares verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (se prop. 2014/15:63 s. 88 f.). I 3 kap. 5 § åklagardatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 6 § görs undantag från bestämmelserna i 3 kap. 5 § vid sökning i en viss handling eller i ett visst ärende. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tilllåtna och vilka begränsningar som bör gälla (se prop. 2014/15:63 s. 88 f.). Paragraferna är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 anser regeringen, till skillnad från Datainspektionen, att begränsningen enbart bör gälla vid sökning i automatiserade behandlingssystem.

Bör ytterligare uppgifter få tas fram vid sökning? I 3 kap. 5 § åklagardatalagen regleras alltså vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar i uppgifter som har gjorts gemensamt tillgängliga. Det rör sig bl.a. om uppgifter som anger att den sökta personen är eller har varit misstänkt för brott, är misstänkt för att ha utövat eller komma att utöva brottslig verksamhet eller har anmält ett brott. Motsvarande bestämmelser finns i bl.a. 3 kap. 6 § polisdatalagen, 4 kap. 5 § kustbevakningsdatalagen och 3 kap. 6 § tullbrottsdatalagen. De senare bestämmelserna skiljer sig dock från bestämmelsen i åklagardatalagen på det sättet att de även anger att uppgift om att någon är anmäld för brott får tas fram. Frågan är om det bör införas en motsvarande bestämmelse i lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Utgångspunkten är att brott normalt ska anmälas till Polismyndigheten eller någon av de andra myndigheter som har till uppgift att ta upp anmälningar om brott. I vissa fall görs dock en brottsanmälan direkt till åklagare. Det gäller t.ex. anmälningar enligt 7 kap. 16 § konkurslagen (1987:672) från konkursförvaltare, men det kan även förekomma i andra fall. I likhet med utredningen menar regeringen att det förhållandet att vissa anmälningar görs direkt till åklagare motiverar att även sådana uppgifter bör vara sökbara.

12 En ny lag för domstolarna

12.1 Behovet av en ny ordning

12.1.1 Nuvarande ordning

Domstolsdatalagen gäller enligt 2 § vid behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Lagen gäller också när personuppgifter vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. I domstolsdatalagen regleras personuppgiftsbehandling inom både brottsdatalagens och dataskyddsförordningens tillämpningsområde. Regeringen föreslår i propositionen Anpassning av domstolsdatalagen till EU:s dataskyddsförordning (prop. 2017/18:113) de ändringar i domstolsdatalagen som behövs för att anpassa den till dataskyddsförordningen. Det föreslås bl.a. ändrade regler om domstolsdatalagens förhållande till annan reglering, dataskyddsombud, känsliga personuppgifter och överklagande.

12.1.2 En särskild registerlagstiftning inom brottsdatalagens tillämpningsområde

Regeringens förslag: En ny lag ska införas som ersätter domstolsdatalagen inom brottsdatalagens tillämpningsområde. Lagen ska benämnas lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas domstolarnas brottsdatalag. Remissinstanserna: En majoritet av remissinstanserna, bl.a. Umeå tingsrätt och Eskilstuna tingsrätt , tillstyrker utredningens förslag eller har ingen invändning mot det. Förvaltningsrätten i Malmö anser att det är nödvändigt att särreglera domstolarnas personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Ett antal remissinstanser, t.ex. Förvaltningsrätten i Jönköping och Förvaltningsrätten i Linköping, är negativa till att domstolarnas personuppgiftsreglering delas upp i två olika lagar. Södertörns tingsrätt , Helsingborgs tingsrätt och Domstolsverket anser att en uppdelning i två lagar kan orsaka gränsdragningsproblem och göra regelverket svåröverskådligt. Hovrätten för Västra Sverige och Förvaltningsrätten i Stockholm framför liknande synpunkter. Några remissinstanser, däribland Svea hovrätt och Domstolsverket, framhåller att domstolarnas personuppgiftsreglering bör vara så enhetlig som möjligt. Hovrätten för Västra Sverige anser att domstolsdatalagen och den nya lagen i möjligaste mån bör samordnas vad gäller systematik och terminologi. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande ordningen bör renodlas När brottsdatalagen och dataskyddsförordningen börjar tillämpas kommer domstolsdatalagen att vara tillämplig både vid personuppgiftsbehandling inom och utanför brottsdatalagens tillämpningsområde, om ingen ändring görs. Ett alternativ är att dela upp regleringen i två separata regelverk – ett för brottsdatalagens tillämpningsområde och ett för dataskyddsförordningens. En sådan lagteknisk lösning förordas av utredningen och i promemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41). Som flera remissinstanser påpekar är ett annat alternativ att göra alla nödvändiga ändringar i den befintliga lagen. Förvaltningsrätten i Stockholm föreslår att detta sker genom ett eller flera kapitel som reglerar domstolarnas personuppgiftsbehandling i samband med brottsbekämpande verksamhet. Dataskyddsreformen innebär att domstolarnas behandling av personuppgifter i den rättskipande och rättsvårdande verksamheten kommer att omfattas av två olika EU-rättsakter: dataskyddsförordningen och dataskyddsdirektivet. Det innebär att den materiella regleringen kommer att skilja sig åt i vissa avseenden, t.ex. när det gäller känsliga personuppgifter och behandling för nya ändamål. Dessutom kommer domstolarnas registerlagstiftning att behöva utformas i förhållande till såväl dataskyddsförordningen och dataskyddslagen som brottsdatalagen. Att det delvis blir fråga om skilda regelverk talar för att regleringen bör delas upp i två lagar. På direktivets område kommer den grundläggande regleringen om personuppgiftsbehandling i domstol att finnas i brottsdatalagen. Den sektorsspecifika regleringen kommer till skillnad från i dag alltså inte att kunna vara uttömmande. Enligt regeringens uppfattning blir det genom en särskild registerförfattning på brottsdatalagens område tydligare att de grundläggande bestämmelserna om personuppgiftsbehandling finns i ramlagen och att registerförfattningen endast utgör ett komplement till denna. Brottsdatalagen innehåller motsvarigheter till vissa befintliga eller föreslagna bestämmelser i domstolsdatalagen. Det gäller t.ex. bestämmelser om lagens syfte, dataskyddsombud, tillgången till personuppgifter och information om personuppgiftsincidenter (jfr lagrådsremissen Brottsdatalag s. 84 f., 180 f., 195–198 och 200–202 och prop. 2017/18:113 s. 12, 19–24 och 35–37). För att undvika dubbelreglering bör bestämmelser som finns i brottsdatalagen inte tas in i en kompletterande registerförfattning. Det innebär att vissa typer av bestämmelser som på dataskyddsförordningens område finns i en registerförfattning (domstolsdatalagen) på direktivets område kommer att finnas i en ramlag (brottsdatalagen). Detta förhållande kan leda till att en samlad reglering i vissa avseenden riskerar att bli svårtillgänglig. Vissa remissinstanser, bl.a. Södertörns tingsrätt och Domstolsverket , anser att en uppdelning i två lagar kan orsaka gränsdragningsproblem. Några remissinstanser, t.ex. Helsingborgs tingsrätt , anser också att den föreslagna uppdelningen kan leda till att regelverket blir svåröverskådligt. Enligt regeringen är de problem som kan uppstå i huvudsak en konsekvens av den uppdelning i separata regelverk som finns på EU- 233

nivå. Problemen kan således inte undvikas genom att den sektorsspecifika regleringen samlas i domstolsdatalagen. För att minimera gränsdragningsproblem och öka överskådligheten bör dock den materiella regleringen göras så likartad som möjligt och de två lagarna ges en likartad lagteknisk utformning. På så sätt blir det lättare för domstolarna att jämföra regelverken och identifiera de skillnader som finns. Att ha separata registerförfattningar för en myndighets olika verksamheter är inget nytt. Skatteverket har i dag olika regleringar för personuppgiftsbehandlingen beroende på i vilken verksamhet uppgifterna behandlas, där regleringen för den brottsbekämpande verksamheten finns i en särskild lag. Att domstolarna inte på samma sätt som Skatteverket har en organisatorisk uppdelning i olika verksamhetsgrenar hindrar inte en sådan lösning, eftersom syftet med personuppgiftsbehandlingen är avgörande för vilket regelverk som ska tillämpas. Regeringen anser sammantaget att övervägande skäl talar för att regleringen av domstolarnas personuppgiftsbehandling bör delas upp i två lagar. Det bör därför införas en ny lag som ersätter domstolsdatalagen inom brottsdatalagens tillämpningsområde.

Lagens namn Eftersom endast den del av domstolarnas personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde ska regleras i den nya lagen, bör lagen ha ett namn som tydliggör registerförfattningens anknytning till brottsdatalagen. Namnet bör tydligt ange för vem författningen gäller och vad den rör. Den nya lagens namn bör följa samma systematik som föreslås för registerförfattningarna i övrigt (se t.ex. avsnitt 7.1.2). Regeringen anser mot den bakgrunden att lagen bör benämnas lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område.

Domstolsdatalagen kan bilda mönster Domstolsdatalagen har nyligen införts. Det innebär att den lagen i likhet med övriga registerförfattningar uppfyller kraven som ställs i dataskyddsrambeslutet. Mot bakgrund av att dataskyddsdirektivet i stor utsträckning bygger vidare på regleringen i dataskyddsrambeslutet är domstolsdatalagen därmed till stor del redan anpassad till de krav som ställs i direktivet. Det innebär att den nya lagen kan utformas med domstolsdatalagen som förebild. Det är en fördel om regleringen i den nya lagen i materiellt hänseende kan stämma överens med regleringen i domstolsdatalagen. I vissa avseenden skiljer sig dock dataskyddsdirektivets reglering från dataskyddsförordningens. Eftersom den nya lagen måste vara förenlig med direktivet är det oundvikligt att den till viss del kommer att avvika från regleringen i domstolsdatalagen.

Lagens systematik och terminologi bör följa domstolsdatalagen Utredningen anser att den nya lagen bör ha samma struktur som övriga registerförfattningar. Det finns i och för sig ett värde i att de registerförfattningar som kompletterar brottsdatalagen har en likartad utformning. 234 För att underlätta tillämpningen framstår det dock som mer angeläget att

domstolarnas personuppgiftsreglering är så enhetlig som möjligt, vilket även framhålls av t.ex. Svea hovrätt och Domstolsverket . Detta framstår som särskilt tydligt eftersom domstolarna inte har någon organisatorisk uppdelning som avspeglar den nya lagens tillämpningsområde. Regeringen anser därför i likhet med Hovrätten för Västra Sverige att domstolsdatalagen och lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område i möjligaste mån bör samordnas vad gäller systematik och terminologi. Till skillnad från utredningen anser regeringen t.ex. att den nya lagen i likhet med domstolsdatalagen inte bör vara indelad i kapitel.

12.2 Utgångspunkter för regleringen

12.2.1 Förhållandet till brottsdatalagen

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i Malmö anser att regleringen blir svåröverskådlig och att tillämpningsproblem kan uppstå. Enligt förvaltningsrätten kan dessa svårigheter undvikas genom att de bestämmelser i brottsdatalagen som aktualiseras även i domstolarnas verksamhet förs in i den nya lagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I avsnitt 5.2 föreslår regeringen att registerförfattningarna för övriga myndigheter i rättskedjan ska gälla utöver brottsdatalagen. Domstolsdatalagen föreslås ha motsvarande förhållande till dataskyddslagen (prop. 2017/18:113 s. 14 f.). Brottsdatalagen innehåller ett stort antal bestämmelser som aktualiseras i domstolarnas verksamhet. Det framstår därför inte som ändamålsenligt att, som Förvaltningsrätten i Malmö föreslår, ta in dessa bestämmelser i den nya lagen. Regeringen anser mot denna bakgrund att den nya lagen för domstolarna bör gälla utöver brottsdatalagen. Lagen bör innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Det medför att bestämmelserna i den nya lagen måste läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen.

12.2.2 Vissa bestämmelser i domstolsdatalagen har sin motsvarighet i ramlagen

Regeringens bedömning: Eftersom brottsdatalagen innehåller en generell reglering behöver inte någon motsvarighet till vissa av de bestämmelser som i dag finns i domstolsdatalagen föras in i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. 235

Skälen för regeringens bedömning: Den nya lagen ska gälla utöver brottsdatalagen. Eftersom brottsdatalagen innehåller en generell reglering behövs ingen motsvarighet till vissa befintliga eller föreslagna bestämmelser i domstolsdatalagen. Det gäller bl.a. bestämmelserna om lagens syfte, dataskyddsombud, behandling av känsliga personuppgifter, tillgången till personuppgifter och information om personuppgiftsincidenter (jfr lagrådsremissen Brottsdatalag s. 84 f., 148–157, 180 f., 195–198 och 200–202 och prop. 2017/18:113 s. 12, 19–24, 28–30 och 34–36). I 11 § domstolsdatalagen anges att den som är personuppgiftsombud ska föra en förteckning över de behandlingar som utförs. Enligt förarbetena bör domstolarna vara skyldiga att sammanställa och tillgängliggöra den information som en anmälan om automatiserad behandling enligt 36 § första stycket personuppgiftslagen skulle ha innehållit (prop. 2014/15:148 s. 85 f.). Regeringen föreslår i det lagstiftningsärende som rör domstolsdatalagens anpassning till dataskyddsförordningen att denna bestämmelse ska upphävas. Skälet är att den personuppgiftsansvarige enligt artikel 30 i dataskyddsförordningen är skyldig att föra ett register över den personuppgiftsbehandling som utförs under dess ansvar (prop. 2017/18:113 s. 25). En motsvarande reglering finns i artikel 24 i dataskyddsdirektivet och denna artikel kommer att genomföras på generell nivå (lagrådsremissen Brottsdatalag s. 186 f.). Någon bestämmelse som motsvarar den hittills gällande lydelsen av 11 § domstolsdatalagen behövs därför inte i den nya lagen. Enligt 12 § domstolsdatalagen ska den personuppgiftsansvarige till var och en som begär det lämna upplysningar om de behandlingar som utförs med stöd av lagen. Upplysningarna ska i princip omfatta samma information som ska framgå av den förteckning som personuppgiftsombudet ska föra enligt 11 §. Motsvarande bestämmelse finns i 42 § personuppgiftslagen, men av lagtekniska skäl ansågs det inte lämpligt att hänvisa till den (prop. 2014/15:148 s. 86). Det finns ingen motsvarighet till 42 § personuppgiftslagen i direktivet. Inte heller dataskyddsförordningen eller dataskyddslagen innehåller någon sådan bestämmelse. Det saknas skäl för att domstolarna ska ha mer långtgående skyldigheter än andra personuppgiftsansvariga i detta avseende och regeringen föreslår därför i samband med anpassningen av domstolsdatalagen till dataskyddsförordningen att 12 § domstolsdatalagen ska upphävas (prop. 2017/18:113 s. 34). Samma överväganden gör sig gällande på brottsdatalagens område. Den nya lagen bör därför inte innehålla någon bestämmelse som motsvarar 12 § domstolsdatalagen.

12.3 Allmänna bestämmelser

12.3.1 Den nya lagens tillämpningsområde

Regeringens förslag: Lagen ska gälla när allmän domstol i egenskap av behörig myndighet behandlar personuppgifter, om uppgifterna behandlas i syfte att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Lagen ska också gälla när allmän förvaltningsdomstol i egenskap av behörig myndighet behandlar personuppgifter, om uppgifterna behandlas i syfte att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta av remissinstanserna, t.ex. Förvaltningsrätten i Malmö och Datainspektionen , tillstyrker utredningens förslag eller har ingen invändning mot det. Domstolsverket påpekar att tillämpningsområdet utgår från vad syftet med behandlingen är och att det kommer vara svårt att utforma it-system som tar hänsyn till detta. Domstolsverket anser också att det framstår som överflödigt att hänvisa till behörig myndighet eftersom en myndighet alltid är behörig om den får behandla personuppgifter för något av de syften som anges i bestämmelsen. Svea hovrätt anser att det skulle vara önskvärt med ett förtydligande av om domstolars handläggning av enskilda åtal, åtal som tagits över av målsäganden efter att åklagare lagt ned åtal och mål där enbart målsäganden väljer att överklaga efter frikännande dom omfattas av brottsdatalagen. Hovrätten anser vidare att brottsdatalagen, men inte den nya lagen för domstolarna, bör vara tillämplig vid allmänna säkerhetskontroller i domstol. Enligt hovrätten bör det också förtydligas vilka bestämmelser som ska tillämpas vid hanteringen av personuppgifter vid säkerhetskontroller i enskilda mål och ärenden, både vad gäller brottmål och tvistemål. Kammarrätten i Stockholm anser att det så långt möjligt bör redogöras för de olika måltyper i de allmänna förvaltningsdomstolarna där den nya lagen ska tillämpas. Kammarrätten väcker också frågan om vilken lag som ska vara tillämplig vid Migrationsöverdomstolens behandling av personuppgifter i mål enligt lagen (1991:572) om särskild utlänningskontroll. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Utgångspunkter för avgränsningen av tillämpningsområdet I avsnitt 4.4 tar regeringen ställning till att registerförfattningarna bör innehålla bestämmelser om tillämpningsområdet. Domstolsdatalagen gäller vid personuppgiftsbehandling i domstolarnas rättskipande och rättsvårdande verksamhet och när personuppgifterna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott 237

eller verkställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Det som är avgörande för brottsdatalagens tillämpning är alltså, förutom att det ska vara en behörig myndighet som behandlar personuppgifterna, att personuppgiftsbehandlingen utförs för något av dessa syften. Tillämpningsområdet för den nya lagen kan därför inte knytas till domstolarnas rättskipande och rättsvårdande verksamhet utan bör avgränsas på ett annat sätt. Tillämpningsområdet bör i stället utgå från syftet med behandlingen. Domstolsverket anser att en sådan ordning kan medföra problem, t.ex. när det gäller it-system. Det bör dock vara möjligt att utforma tekniska system som lever upp till de krav som gäller på såväl dataskyddsförordningens som brottsdatalagens område. Sådana system bör alltså kunna användas oavsett vilket syfte personuppgifter behandlas för i det enskilda fallet. Eftersom hyres- och arrendenämnderna inte behandlar personuppgifter för något av de syften som omfattas av direktivets tillämpningsområde kommer nämndernas personuppgiftsbehandling inte att omfattas av den nya lagen. Lagen kommer alltså att gälla i allmän domstol och allmän förvaltningsdomstol. Utredningen föreslår att det också ska framgå att den nya lagen gäller när domstolar agerar i egenskap av behöriga myndigheter. Domstolsverket anser att en sådan avgränsning är överflödig. Det är riktigt att en domstol som behandlar personuppgifter i syfte att handlägga exempelvis ett brottmål normalt agerar i egenskap av behörig myndighet. Regeringen anser dock, i likhet med utredningen, att avgränsningen till behöriga myndigheter är av sådan grundläggande betydelse att den bör komma till uttryck inte bara i ramlagen utan även i den nya lagen (avsnitt 4.4).

Närmare om tillämpningsområdet Den nya lagen bör omfatta all personuppgiftsbehandling som domstolar utför inom brottsdatalagens tillämpningsområde. Domstolarnas kärnverksamhet består i att handlägga mål och ärenden (jfr 6 § domstolsdatalagen). Tillämpningsområdet för den nya lagen bör därför knytas till personuppgiftsbehandling som utförs i syfte att handlägga mål och ärenden av vissa slag. För allmän domstol bör tillämpningsområdet framför allt omfatta brottmålsförfarandet. Tillämpningsområdet bör alltså omfatta personuppgiftsbehandling i syfte att handlägga mål och ärenden om lagföring för brott. Med anledning av Svea hovrätts synpunkter kan det noteras att det innefattar handläggning av enskilda åtal, åtal som tagits över av målsäganden efter att åklagare lagt ned åtal och mål där enbart målsäganden väljer att överklaga efter frikännande dom. Allmän domstol prövar också frågor om häktning och andra straffprocessuella tvångsmedel under en förundersökning. Domstolarna fattar även beslut enligt 23 kap. 19 § rättegångsbalken om komplettering av förundersökningar och kan hålla vittnesförhör och besluta i andra frågor under pågående förundersökningar. Personuppgiftsbehandling för sådana syften bör också omfattas av tillämpningsområdet. I linje med hur tillämpningsområdet uttrycks för de brottsbekämpande myndigheterna

bör den arbetsuppgiften anges som handläggning av mål eller ärenden om utredning av brott. Vidare prövar allmän domstol vissa frågor om ändring av påföljd och om verkställighet av påföljd. Handläggning av mål och ärenden som rör ändring och verkställighet av straffrättsliga påföljder bör därmed också omfattas av lagens tillämpningsområde. Eftersom allmän domstol även prövar frågor om tillträdesförbud vid idrottsarrangemang bör tillämpningsområdet även omfatta handläggning av mål och ärenden om upprätthållande av allmän ordning och säkerhet. Svea hovrätt anser att brottsdatalagen, men inte den nya lagen för domstolarna, bör vara tillämplig vid allmänna säkerhetskontroller i domstol. Som anförs ovan är avsikten att den nya lagen ska omfatta all personuppgiftsbehandling som domstolar utför inom brottsdatalagens tillämpningsområde. Det kommer alltså inte bli aktuellt för domstolarna att tillämpa brottsdatalagen i de fall lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område inte är tillämplig. Vid säkerhetskontroller enligt lagen (1981:1064) om säkerhetskontroll i domstol torde det enligt regeringens mening inte vara fråga om att upprätthålla allmän ordning och säkerhet i den mening som avses i ramlagen. Hovrätten väcker även frågan om vilka bestämmelser som ska tillämpas vid behandling av personuppgifter i samband med säkerhetskontroller som genomförs med anledning av en viss förhandling. Regeringen bedömer att lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område kommer att vara tillämplig vid sådan personuppgiftsbehandling, om behandlingen sker inom ramen för handläggningen av exempelvis ett brottmål. Om säkerhetskontrollen däremot genomförs med anledning av en förhandling i ett tvistemål, kommer den nya lagen inte vara tillämplig. I sådana fall kommer i stället domstolsdatalagen att bli tillämplig. För allmän förvaltningsdomstol bör tillämpningsområdet endast omfatta personuppgiftsbehandling i syfte att handlägga mål om verkställighet av häktning och straffrättsliga påföljder. Därmed omfattas verkställighet av rättspsykiatrisk vård, andra vårdpåföljder och vissa frihetsberövande påföljder. Personuppgifter behandlas i sådant syfte även när migrationsdomstolarna och Migrationsöverdomstolen handlägger mål om utvisning på grund av brott. Kammarrätten i Stockholm efterfrågar en redogörelse för de olika måltyper i de allmänna förvaltningsdomstolarna där den nya lagen ska tillämpas. Kammarrätten väcker också frågan om vilken lag som ska vara tillämplig vid Migrationsöverdomstolens behandling av personuppgifter i mål enligt lagen om särskild utlänningskontroll. Regeringen bedömer att avgränsningen till mål om verkställighet av häktning och straffrättsliga påföljder innebär att det inte bör uppstå några oklarheter avseende det stora flertalet av de måltyper som förekommer i allmän förvaltningsdomstol. Mål i Migrationsöverdomstolen enligt lagen om särskild utlänningskontroll kan exempelvis inte anses röra verkställighet av en straffrättslig påföljd. I författningskommentaren ges exempel på måltyper där lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område ska tillämpas.

Hela målets eller ärendets handläggning bör omfattas När mål eller ärenden handläggs för något av de syften som anges i lagen bör hela handläggningen fram till dess att domstolen slutligt avgjort frågan omfattas av lagens tillämpningsområde. Det innebär att all personuppgiftsbehandling som utförs vid handläggningen av ett brottmål omfattas av tillämpningsområdet. Även handläggning av enskilda anspråk bör omfattas, trots att det är en civilrättslig talan, så länge de handläggs inom ramen för brottmålet. Lagen bör dock inte vara tillämplig om anspråket avskiljs för att handläggas som ett tvistemål. Detsamma bör på motsvarande sätt gälla för vissa andra former av särskild talan och talan om förbud som förs i brottmål. Vidare bör all expediering i ett mål eller ärende som är en del av handläggningen omfattas. Det spelar exempelvis alltså ingen roll om domar eller beslut expedieras till Kriminalvården för verkställighet av påföljd eller till Inspektionen för vård och omsorg för att myndigheten ska kunna ta ställning till om en läkare som dömts för brott ska få behålla sin läkarlegitimation. Även expediering för att tillgodose partsinsynen i mål eller ärenden bör omfattas. Det avgörande är att expedieringen utförs i mål eller ärenden som domstolen handlägger för något av de syften som omfattas av lagens tillämpningsområde och att expedieringen utgör en del av handläggningen. Tillämpningsområdet bör även omfatta den expediering som är direkt knuten till att avgörandet får laga kraft. Däremot bör domstolens behandling av personuppgifter för arkivering eller för att överlämna allmänna handlingar till en arkivmyndighet inte omfattas av den nya lagens tillämpningsområde. Som anges i lagrådsremissen Brottsdatalag omfattas behandling av personuppgifter i enlighet med föreskrifter om arkiv av dataskyddsförordningens tillämpningsområde, oavsett om det är den behöriga myndigheten som arkiverar personuppgifterna eller om de överlämnas till en arkivmyndighet (s. 164–167). Om handläggning för något av de syften som anges i lagen aktualiseras på nytt, t.ex. genom en ansökan om resning i ett brottmål, är den nya lagen tillämplig på handläggningen.

Utlämnande omfattas inte av tillämpningsområdet Domstolsdatalagen gäller inte bara i den rättskipande och rättsvårdande verksamheten utan även när personuppgifter vidarebehandlas i den administrativa verksamheten för att efter begäran lämnas ut till en enskild eller en myndighet (prop. 2014/15:148 s. 27 f.). Lagens tillämpningsområde omfattar exempelvis utlämnande av allmänna handlingar enligt 2 kap. tryckfrihetsförordningen. Sådan vidarebehandling av personuppgifter ingår inte i direktivets tillämpningsområde och kan därför inte heller omfattas av den nya lagen. Det gäller oavsett om målet eller ärendet är under handläggning eller har avslutats.

12.3.2 Domstolsdatalagens tillämpningsområde

Regeringens förslag: Domstolsdatalagen ska inte gälla vid behandling av personuppgifter som omfattas av lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område.

Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot den föreslagna avgränsningen av domstolsdatalagens tillämpningsområde. Skälen för regeringens förslag: Domstolsdatalagen gäller vid behandling av personuppgifter i domstolarnas rättskipande och rättsvårdande verksamhet. Eftersom viss behandling av personuppgifter i denna verksamhet kommer att regleras i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område, bör sådan behandling undantas från domstolsdatalagens tillämpningsområde. I promemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41) föreslås mot denna bakgrund att domstolsdatalagen inte ska gälla vid behandling av personuppgifter i de allmänna domstolarnas och de allmänna förvaltningsdomstolarnas verksamhet som omfattas av brottsdatalagens tillämpningsområde. Regeringen anser att den föreslagna bestämmelsen kan utformas så att den anger att domstolsdatalagen inte gäller vid behandling av personuppgifter som omfattas av lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Eftersom det i den nya lagen framgår vilka domstolsslag som är aktuella behöver det inte anges i domstolsdatalagen.

12.3.3 Varje domstol är personuppgiftsansvarig

Regeringens förslag: Varje domstol ska vara personuppgiftsansvarig för den behandling av personuppgifter som den utför.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Domstolsverket anser att utformningen av 9 § domstolsdatalagen har orsakat vissa tillämpningsproblem och att fördelningen av personuppgiftsansvar i domstolarnas registerlagstiftning därför bör ses över. Övriga remissinstanser har ingen invändning mot utredningens förslag. Skälen för regeringens förslag: Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt 3 kap. 1 § är den personuppgiftsansvarige ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Enligt 9 § domstolsdatalagen är varje domstol personuppgiftsansvarig för den behandling av personuppgifter som den utför. I förarbetena framhölls att fördelarna med att varje enskild domstol ska vara personuppgiftsansvarig är bl.a. att det blir tydligt för den enskilde vem han eller hon ska vända sig till med klagomål och att det skapas förutsättningar för en effektiv tillsyn av tillsynsmyndigheten. Enligt regeringen skulle ett delat eller gemensamt personuppgiftsansvar (mellan en domstol och Domstolsverket) medföra beaktansvärda nackdelar, inte minst gräns- 241

dragningsproblem och otydligheter (prop. 2014/15:148 s. 33 f.). Regeringen anser att dessa överväganden är relevanta även för den nya lagen och att domstolarnas personuppgiftsansvar bör regleras på samma sätt i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område som i domstolsdatalagen. En bestämmelse som motsvarar 9 § domstolsdatalagen bör därför tas in i den nya lagen. Domstolsverket anser att utformningen av 9 § domstolsdatalagen har orsakat vissa tillämpningsproblem och att regleringen av domstolarnas personuppgiftsansvar därför bör ses över. Regeringen konstaterar att det saknas underlag för att i detta lagstiftningsärende göra en sådan översyn.

12.3.4 Dataskyddsombud även i den dömande verksamheten

Regeringens bedömning: Behandling av personuppgifter i den dömande verksamheten bör inte undantas från dataskyddsombudets ansvarsområde.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: En majoritet av remissinstanserna, bl.a. Hovrätten för Västra Sverige och Förvaltningsrätten i Stockholm , instämmer i utredningens bedömning eller har ingen invändning mot den. Datainspektionen anser att dataskyddsombud är en viktig funktion för att den personuppgiftsansvarige ska kunna följa integritetsskyddslagstiftningen. Domstolsverket påpekar att det kan uppstå gränsdragningsproblem om dataskyddsombudets uppdrag inte omfattar den dömande verksamheten. Domstolsverket anser också att det är lämpligt att frågan om dataskyddsombud regleras på samma sätt på brottsdatalagens och dataskyddsförordningens områden. Med hänsyn till att tillsynsmyndigheten inte är behörig att utöva tillsyn över domstolarna i deras dömande verksamhet och att dataskyddsombudets uppgifter bl.a. är att övervaka efterlevnaden av dataskyddet och att samarbeta med tillsynsmyndigheten, anser Riksdagens ombudsmän att det inte är lämpligt att dataskyddsombud också ska utses i domstolarnas dömande verksamhet. Förvaltningsrätten i Linköping efterfrågar ett klargörande av hur skyldigheten att utse dataskyddsombud enligt 3 kap. 13 § brottsdatalagen förhåller sig till motsvarande skyldighet enligt förslaget till ändring av 10 § domstolsdatalagen. Övriga remissinstanser yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: Enligt 3 kap. 13 § brottsdatalagen ska behöriga myndigheter utse dataskyddsombud. Domstolars och andra oberoende rättsliga myndigheters dömande verksamhet får dock enligt artikel 32.1 i dataskyddsdirektivet undantas från skyldigheten att utse dataskyddsombud. Enligt 10 § första stycket domstolsdatalagen är domstolarna i dag skyldiga att utse ett eller flera personuppgiftsombud. I förarbetena till domstolsdatalagen framhölls att hanteringen av personuppgifter i den rättskipande och rättsvårdande verksamheten indirekt begränsas av de processuella regelverken och att risken för att det i verksamheten utförs obefogade integritetskänsliga behandlingar därför får anses vara mindre än inom t.ex. polisen. I syfte att åstadkomma ett stärkt integritetsskydd 242

ansåg regeringen dock att domstolarna borde vara skyldiga att utse ett eller flera personuppgiftsombud (prop. 2014/15:148 s. 91). Regeringen föreslår i det lagstiftningsärende som rör domstolsdatalagens anpassning till dataskyddsförordningen att bestämmelsen i domstolsdatalagen ska behållas och ändras endast på så sätt att ordet personuppgiftsombud ersätts med dataskyddsombud. I det ärendet görs bedömningen att dataskyddsförordningens möjlighet att undanta den dömande verksamheten från dataskyddsombudets ansvarsområde inte bör utnyttjas. Som skäl anförs bl.a. att ombuden fortfarande är av central betydelse för skyddet av den personliga integriteten, även i den dömande verksamheten, och att ett undantag för den dömande verksamheten kan leda till gränsdragningsproblem (prop. 2017/18:113 s. 19–24). Regeringen anser, i likhet med bl.a. Datainspektionen , att dessa skäl gör sig gällande även på brottsdatalagens område. Som Domstolsverket påpekar är det lämpligt att frågan om dataskyddsombud regleras på samma sätt på brottsdatalagens och dataskyddsförordningens områden. Det finns därför inte skäl att utnyttja möjligheten i artikel 32.1 i direktivet att undanta domstolarnas dömande verksamhet från skyldigheten att utse dataskyddsombud. Till skillnad från Riksdagens ombudsmän anser regeringen att en sådan ordning framstår som lämplig även med beaktande av direktivets reglering av tillsynsmyndighetens behörighet och dataskyddsombudets uppgifter. Förvaltningsrätten i Linköping efterfrågar ett klargörande av hur skyldigheten att utse dataskyddsombud enligt 3 kap. 13 § brottsdatalagen förhåller sig till motsvarande skyldighet enligt förslaget till ändring av 10 § domstolsdatalagen. Den föreslagna regleringen innebär att domstolarnas skyldighet att utse ett eller flera dataskyddsombud gäller inom såväl dataskyddsförordningens som brottsdatalagens tillämpningsområde. Det finns inget hinder mot att ett dataskyddsombud har ansvar för personuppgiftsbehandling på båda områdena. Det finns även en möjlighet att utse ett gemensamt dataskyddsombud för flera domstolar (artikel 37.3 i dataskyddsförordningen, artikel 32.3 i dataskyddsdirektivet och lagrådsremissen Brottsdatalag s. 201).

12.3.5 Uppgifter om juridiska personer bör inte omfattas

Regeringens bedömning: Lagen bör inte reglera behandling av uppgifter om juridiska personer.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Kammarrätten i Göteborg anser att om det finns tillräckliga skäl i sak för att införa ett skydd för juridiska personer, bör enhetlighet i domstolarnas personuppgiftsreglering uppnås genom att skyddet införs både i domstolsdatalagen och den nya lagen. Övriga remissinstanser har ingen invändning mot utredningens bedömning. Skälen för regeringens bedömning: Frågan om domstolsdatalagen skulle tillämpas på uppgifter om juridiska personer lyftes under lagstiftningsarbetet men ledde inte till något förslag. Som skäl för det angavs att det är tveksamt om begreppet personlig integritet har någon relevans för

juridiska personer (Ds 2013:10 s. 49–51). Domstolsdatalagen är alltså inte tillämplig på uppgifter om juridiska personer. I polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen föreskrivs däremot att vissa bestämmelser i respektive lag ska tillämpas på uppgifter om juridiska personer. Även om juridiska personer inte har samma behov av integritetsskydd som fysiska personer har det på dessa områden ansetts att vissa grundläggande bestämmelser om personuppgiftsbehandling bör tillämpas även på uppgifter om juridiska personer. Dessutom kan det vara svårt att i elektronisk hantering skilja uppgifter om juridiska personer från uppgifter om fysiska personer som är ägare av eller ställföreträdare för sådana (prop. 2009/10:85 s. 78). Regeringen anser att bestämmelserna som skyddar uppgifter om juridiska personer bör behållas i övriga registerförfattningar (avsnitt 5.4.1). Frågan är om det finns skäl att införa en motsvarande reglering i den nya lagen för domstolarna, trots att uppgifter om juridiska personer inte har något särskilt skydd i dag. Om den nya lagen skulle tillämpas på uppgifter om juridiska personer skulle lagarna om domstolarnas personuppgiftsbehandling skilja sig åt utan att det krävs för att genomföra dataskyddsdirektivet. Även om det finns fördelar med en enhetlig reglering för myndigheterna i rättskedjan bör en enhetlig reglering för domstolarna i detta fall väga tyngre. Mot den bakgrunden bör den nya lagen inte reglera behandling av uppgifter om juridiska personer. Som Kammarrätten i Göteborg påpekar skulle enhetlighet i domstolarnas registerförfattningar i och för sig kunna uppnås genom att ett skydd för juridiska personer införs både i domstolsdatalagen och den nya lagen. Regeringen kan dock konstatera att det saknas underlag för att nu överväga en sådan reglering.

12.4 Grundläggande bestämmelser om behandling

12.4.1 Rättsliga grunder för behandling

Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för handläggning av mål och ärenden om 1. utredning av eller lagföring för brott, 2. verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder, eller 3. upprätthållande av allmän ordning och säkerhet. Uppgiften att handlägga mål och ärenden ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstolen att utföra uppgiften.

Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: De flesta av remissinstanserna, t.ex. Svea hovrätt och Förvaltningsrätten i Jönköping , tillstyrker förslaget eller har ingen invändning mot det. Eskilstuna tingsrätt och Domstolsverket påpekar att förslaget skiljer sig från domstolsdatalagen och anser att det kan leda till tillämpningsproblem. Umeå tingsrätt föreslår att det i domstolsdatalagen ska tas in en bestämmelse som liknar den föreslagna bestämmelsen i den 244

nya lagen. Hovrätten för Västra Sverige väcker frågan om det bör vara någon skillnad i tillämpningen av rekvisitet att behandlingen är nödvändig respektive att behandlingen behövs. Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling I 6 och 7 §§ domstolsdatalagen regleras för vilka ändamål domstolarna får behandla personuppgifter. Enligt den primära ändamålsbestämmelsen får personuppgifter behandlas om det behövs för handläggning av mål och ärenden. Enligt den sekundära ändamålsbestämmelsen får personuppgifter som behandlas för handläggning av mål och ärenden behandlas även om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Regeringen föreslår i det lagstiftningsärende som rör anpassning av domstolsdatalagen till dataskyddsförordningen att personuppgifter som behandlas för handläggning av mål och ärenden ska få behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen innebär att finalitetsprincipen gäller och att vidarebehandling som är förenlig med denna är tillåten (prop. 2017/18:113 s. 39–41). Den primära ändamålsbestämmelsen i 6 § domstolsdatalagen tydliggör att domstolarna får behandla personuppgifter när de fullgör sina arbetsuppgifter. Bestämmelsen anger den yttersta ram inom vilken personuppgifter får behandlas. Det är inom denna ram som de särskilda, uttryckliga och berättigade ändamålen med behandlingen i enskilda fall ska bestämmas (2 kap. 3 § brottsdatalagen). Regeringen anser att den nya lagen bör innehålla en motsvarighet till domstolsdatalagens primära ändamålsbestämmelse. För att tydliggöra bestämmelsens funktion bör den emellertid betecknas som en bestämmelse om rättsliga grunder snarare än en ändamålsbestämmelse. På så sätt minskar risken att tillämparen godtar ett i lagen angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet (lagrådsremissen Brottsdatalag s. 124 f.). Domstolarna bör få behandla personuppgifter om det är nödvändigt för att fullgöra en arbetsuppgift inom den nya lagens tillämpningsområde. För att terminologin ska stämma överens med dataskyddsdirektivet och brottsdatalagen bör ordet nödvändigt användas. Ordet bör tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften (lagrådsremissen Brottsdatalag s. 118). Som Hovrätten för Västra Sverige påpekar används ordet behövs i domstolsdatalagens ändamålsbestämmelser. Åtgärder som är en naturlig del av domstolarnas kärnverksamhet, t.ex. handläggning av enskilda mål och ärenden eller planering, uppföljning och utvärdering av verksamheten, är både behöv- 245

liga och nödvändiga (jfr prop. 2014/15:148 s. 108). Skillnaden i uttryckssätt bör därför inte få någon praktisk betydelse. De tillåtna rättsliga grunderna bör omfatta handläggning av mål och ärenden inom den nya lagens tillämpningsområde. Allmän domstol bör få behandla personuppgifter om det är nödvändigt för handläggning av mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol bör få behandla personuppgifter om det är nödvändigt för handläggning av mål om verkställighet av häktning eller straffrättsliga påföljder. Lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om rättsliga grunder i registerförfattningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. I den nya lagen bör det därför på samma sätt som i brottsdatalagen föreskrivas att den uppgift som domstolen ska utföra ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstolen att utföra uppgiften. Med lag jämställs bl.a. EU-förordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I lagrådsremissen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (s. 117–120). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För domstolarnas del kan t.ex. rättegångsbalken nämnas, i vilken framgår att de allmänna domstolarna bl.a. har till uppgift att handlägga brottmål. Bestämmelserna i de processuella regelverken, tillsammans med den föreslagna bestämmelsen om rättsliga grunder i den nya lagen, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara entydig, precis och förutsägbar.

Domstolsdatalagens terminologi ska inte ändras Regeringens förslag innebär att motsvarande bestämmelser i domstolsdatalagen och lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område kommer att kategoriseras på olika sätt, dvs. som en ändamålsbestämmelse respektive en bestämmelse om rättsliga grunder. Terminologin i domstolsdatalagen och den nya lagen bör i och för sig i möjligaste mån samordnas (avsnitt 12.1.2). Umeå tingsrätt föreslår i linje härmed att det i domstolsdatalagen ska tas in en bestämmelse som liknar den föreslagna bestämmelsen om rättsliga grunder i den nya lagen. Regeringen bedömer dock att domstolsdatalagens primära ändamålsbestämmelse inte utan vidare kan betecknas som en bestämmelse om rättsliga grunder. Ett skäl till det är att det i brottsdatalagen, till skillnad från vad som gäller på dataskyddsförordningens område, inte finns någon bestämmelse om finalitetsprincipen. Anledningen till det är att olika ändamål inom brottsdatalagens tillämpningsområde ska betraktas som 246

förenliga med varandra, under förutsättning att en behandling för ett nytt ändamål är nödvändig och proportionerlig (lagrådsremissen Brottsdatalag s. 127). Både dataskyddsförordningen och domstolsdatalagen kommer däremot att innehålla bestämmelser om finalitetsprincipen (artiklarna 5.1 b och 6.4 i dataskyddsförordningen och prop. 2017/18:113 s. 39–41). Förordningen använder i detta och andra sammanhang ordet ändamål på ett sätt som stämmer väl överens med terminologin i domstolsdatalagen. Om 6 § domstolsdatalagen skulle betecknas som en bestämmelse om rättsliga grunder kan det uppstå osäkerhet kring hur vidarebehandling av insamlade personuppgifter får ske och hur finalitetsprincipen enligt dataskyddsförordningen och domstolsdatalagen ska tillämpas. En förändring av domstolsdatalagens terminologi skulle därför kräva överväganden som inte kan göras inom ramen för detta lagstiftningsärende. Eskilstuna tingsrätt och Domstolsverket befarar att avvikelsen i förhållande till bestämmelsen i domstolsdatalagen kan leda till tillämpningsproblem. Det bör framhållas att skillnaden mellan bestämmelserna i allt väsentligt är terminologisk. Oavsett hur bestämmelserna kategoriseras syftar de till att ange den yttersta ram inom vilken personuppgifter får behandlas. Risken för tillämpningsproblem framstår därför som begränsad.

12.4.2 Behandling för nya ändamål

Regeringens förslag: Det ska genom en hänvisning till brottsdatalagen framgå att personuppgifter som behandlas med stöd av den nya lagen får behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Regeringens bedömning: Ytterligare behandling av personuppgifter som behandlas enligt lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område bör inte regleras i domstolsdatalagen.

Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att någon prövning av om behandlingen är nödvändig och proportionerlig inte ska krävas när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde och domstolsdatalagen är tillämplig. Remissinstanserna: Ingen remissinstans invänder mot utredningens förslag. Hovrätten för Västra Sverige efterfrågar vägledning om när något ska anses vara ett nytt ändamål. Promemorians förslag överensstämmer inte med regeringens bedömning. I promemorian föreslås att det av domstolsdatalagen ska framgå att personuppgifter som behandlas enligt den nya lagen får behandlas även för uppgiftslämnande som sker i överensstämmelse med lag eller förordning eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag. Domstolsverket anser att lagstiftningen blir något komplicerad eftersom personuppgifter som behandlas enligt brottsdatalagen ska han- 247

teras enligt domstolsdatalagen när de lämnas ut eller behandlas för arkivändamål.

Skälen för regeringens förslag och bedömning

Nya ändamål inom brottsdatalagens tillämpningsområde Innan personuppgifter behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 4 § brottsdatalagen). Hovrätten för Västra Sverige efterfrågar vägledning om när något ska anses vara ett nytt ändamål. Enligt 2 kap. 3 § brottsdatalagen får personuppgifter bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Vad som utgör ett nytt ändamål ska bedömas i förhållande till ett sådant preciserat ändamål, t.ex. handläggningen av ett visst mål. Som exempel på behandling för ett nytt ändamål inom brottsdatalagens tillämpningsområde kan nämnas att personuppgifter i ett brottmål används för handläggningen av ett annat brottmål. Enligt 7 § domstolsdatalagen får personuppgifter som behandlas för handläggning av mål och ärenden behandlas även om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Bestämmelsen innebär att domstolen får lämna ut personuppgifter inte bara om det finns en uttrycklig skyldighet i lag eller förordning att göra det, utan också i de situationer där det kan anses påbjudet eller önskvärt att domstolen gör det (prop. 2014/15:148 s. 41 f.). En prövning av nödvändighet och proportionalitet krävs enligt artikel 4.2 i dataskyddsdirektivet alltid innan personuppgifter behandlas för ett nytt ändamål inom tillämpningsområdet för direktivet. Regeringen anser att det bara är i de fall där det finns en uttrycklig uppgiftsskyldighet som lagstiftaren kan anses ha tagit ställning till att uppgiftslämnandet är nödvändigt och proportionerligt (lagrådsremissen Brottsdatalag s. 138). Det skulle därför inte vara förenligt med direktivet att ha en bestämmelse som motsvarar domstolsdatalagens bestämmelse om behandling för uppgiftslämnande i den nya lagen. Det bör i stället, i enlighet med utredningens förslag, tas in en bestämmelse som tydliggör att personuppgifter som redan behandlas får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde enligt de förutsättningar som anges i 2 kap. 4 § den lagen.

Nya ändamål utanför brottsdatalagens tillämpningsområde Innan personuppgifter som behandlas med stöd av brottsdatalagen behandlas för ett ändamål utanför lagens tillämpningsområde ska det säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 22 § brottsdatalagen). Ett exempel på ett nytt ändamål utanför brottsdatalagens tillämpningsområde är när personuppgifter i ett brottmål används för handläggningen av ett tvistemål. Ett annat exempel är när personuppgifter i ett mål om rättspsykiatrisk vård lämnas ut efter begäran från en enskild som inte är part i målet. Vid sådan behandling är dataskyddsförordningen tillämplig. 248

Utredningen föreslår att någon prövning av om behandlingen är nödvändig och proportionerlig inte ska krävas när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde och domstolsdatalagen är tillämplig. Som skäl anförs att en stor del av behandlingen för nya ändamål utanför brottsdatalagens tillämpningsområde, t.ex. utlämnande på begäran, då skulle följa samma regelverk som domstolarnas personuppgiftsbehandling inom dataskyddsförordningens tilllämpningsområde. En konsekvens av utredningens förslag är att det inte skulle krävas någon prövning av nödvändighet och proportionalitet om en domstol i den egna verksamheten behandlar personuppgifter för nya ändamål utanför brottsdatalagens tillämpningsområde, t.ex. om personuppgifter i ett brottmål används vid handläggningen av ett tvistemål. Regeringen anser att det inte vore rimligt att kräva en noggrannare prövning för behandling för nya ändamål inom brottsdatalagens område än utanför det (lagrådsremissen Brottsdatalag s. 135). När det gäller personuppgifter som lämnas ut efter begäran ska någon prövning av nödvändighet och proportionalitet inte göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning (2 kap. 22 § brottsdatalagen). Till skillnad från utredningens förslag gäller undantaget även uppgiftslämnande enligt 6 kap. 5 § offentlighets- och sekretesslagen (lagrådsremissen Brottsdatalag s. 138 f.). Brottsdatalagens reglering av uppgiftslämnande överensstämmer alltså med domstolsdatalagens när domstolen har en skyldighet att lämna uppgifter. En skillnad mellan regelverken finns endast i de fall då det inte finns någon uttrycklig skyldighet till uppgiftslämnande. Domstolens prövning enligt brottsdatalagen torde i sådana fall emellertid ofta mynna ut i att det är nödvändigt och proportionerligt att lämna uppgifterna (lagrådsremissen Brottsdatalag s. 138). Skillnaden mellan brottsdatalagen och domstolsdatalagen bör därför ha begränsad betydelse i praktiken. Regeringen anser sammantaget att det inte finns tillräckliga skäl att i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område göra undantag från brottsdatalagens reglering av behandling för nya ändamål utanför den lagens tillämpningsområde. Det bör i stället tas in en bestämmelse som tydliggör att personuppgifter som redan behandlas får behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde enligt de förutsättningar som anges i 2 kap. 22 § den lagen.

Domstolsdatalagens ändamålsbestämmelser bör inte ändras Dataskyddsförordningen och dataskyddslagen är tillämpliga när domstolar behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde. Vid behandling av personuppgifter i den rättskipande och rättsvårdande verksamheten och när personuppgifterna lämnas ut efter begäran, är även domstolsdatalagen tillämplig. Personuppgifter som behandlas enligt domstolsdatalagen kommer i vissa fall att ha samlats in för ändamål inom brottsdatalagens tillämpningsområde, t.ex. i samband med handläggningen av ett brottmål. Sådan behandling bör på samma sätt som i dag vara tillåten. Frågan är om regleringen i domstolsdatalagen uppfyller detta syfte eller om den behöver anpassas. Domstolarna kan behöva behandla personuppgifter, som samlats in för handläggning av mål och ärenden inom tillämpningsområdet för den nya 249

lagen, för handläggning av andra mål och ärenden. Till exempel kan en adressuppgift i ett brottmål återanvändas i ett tvistemål. Eftersom sådan behandling behövs för handläggning av mål och ärenden är den tillåten enligt 6 § domstolsdatalagen. Domstolsdatalagen kan även bli tillämplig vid utlämnande av uppgifter i exempelvis ett brottmål. I promemorian En omarbetad domstolsdatalag – anpassning till EU:s dataskyddsförordning (Ds 2017:41) föreslås att det i domstolsdatalagen ska framgå att personuppgifter som behandlas enligt den nya lagen får behandlas för uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Som skäl anförs att domstolsdatalagens sekundära ändamålsbestämmelse endast gäller personuppgifter som behandlas enligt lagens primära ändamålsbestämmelse, dvs. i den del av verksamheten som inte omfattas av den nya lagen. Regeringen instämmer i denna bedömning. Sedan domstolsdatalagen har anpassats till dataskyddsförordningen kommer den sekundära ändamålsbestämmelsen emellertid inte längre att vara uttömmande (prop. 2017/18:113 s. 41). Det innebär att bestämmelsen inte utgör något hinder mot utlämnande av personuppgifter som behandlas enligt lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Eftersom frågan om behandling för nya ändamål utanför brottsdatalagens tillämpningsområde regleras i den lagen, skulle den bestämmelse som föreslås i promemorian utgöra en form av dubbelreglering. Som Domstolsverket påpekar innebär förslaget också att lagstiftningen skulle bli komplicerad. Regeringen bedömer därför att utlämnande av personuppgifter som behandlas enligt den nya lagen inte bör regleras särskilt i domstolsdatalagen. Däremot kan vissa befintliga bestämmelser i domstolsdatalagen bli tillämpliga vid sådan behandling, t.ex. bestämmelserna om elektroniskt utlämnande av personuppgifter. Dataskyddsförordningen, dataskyddslagen och domstolsdatalagen är även tillämpliga när domstolarna behandlar personuppgifter för arkivändamål av allmänt intresse, t.ex. vid arkivering av allmänna handlingar i att avslutat mål. I promemorian föreslås att det i domstolsdatalagen ska tas in en bestämmelse som klargör att personuppgifter som behandlas enligt den nya lagen får behandlas även för arkivändamål av allmänt intresse. Att domstolarna får behandla personuppgifter för arkivändamål av allmänt intresse följer av dataskyddsförordningen och föreskrifter om arkiv (prop. 2017/18:105 s. 108–110 och prop. 2017/18:113 s. 40). Domstolsdatalagens sekundära ändamålsbestämmelse kommer inte att vara uttömmande och utgör därför inte något hinder mot att handlingar i exempelvis ett brottmål tas om hand för arkivering. Regeringen bedömer att inte heller sådan behandling av personuppgifter behöver regleras särskilt i domstolsdatalagen. Sammantaget bedömer regeringen att ytterligare behandling av personuppgifter som behandlas enligt lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område inte bör regleras i domstolsdatalagen.

12.4.3 Särskilda upplysningar

Regeringens bedömning: Lagen bör inte innehålla något undantag från brottsdatalagens bestämmelser om särskilda upplysningar.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens bedömning. Skälen för regeringens bedömning: Enligt 2 kap. 3 § andra stycket brottsdatalagen ska det ändamål som personuppgifter behandlas för tydliggöras genom en särskild upplysning, om det inte framgår av sammanhanget eller på något annat sätt. I 2 kap. 9 § brottsdatalagen föreskrivs att personuppgifter som rör olika kategorier av registrerade så långt det är möjligt ska särskiljas, t.ex. personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott. Om det inte framgår av sammanhanget eller på något annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. Enligt 2 kap. 10 § brottsdatalagen ska personuppgifter som grundar sig på fakta så långt det är möjligt särskiljas från personuppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på något annat sätt ska den tydliggöras genom en särskild upplysning. I avsnitt 5.3.11 föreslår regeringen att bestämmelser om särskilda upplysningar på samma sätt som i dag enbart ska gälla vid behandling av personuppgifter som har gjorts gemensamt tillgängliga. För domstolarna finns det i dag inga bestämmelser om särskilda upplysningar. Det beror på att det i domstolsdatalagen inte görs någon skillnad mellan uppgifter som har gjorts gemensamt tillgängliga och uppgifter som endast ett fåtal personer har tillgång till. I motsats till de brottsbekämpande myndigheterna behöver domstolarna därför inte något undantag från brottsdatalagens bestämmelser. Det kan förefalla som om det därmed ställs högre krav på domstolarna, som i dag inte behöver förse personuppgifter med särskilda upplysningar, medan de myndigheter som har en sådan reglering får undantag från kraven i brottsdatalagen. Enligt brottsdatalagen ska personuppgifter emellertid förses med särskilda upplysningar bara om det förhållande som upplysningen skulle avse inte framgår av sammanhanget eller på något annat sätt. Det är framför allt i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och varför uppgifter om honom eller henne behandlas. Vid handläggningen i domstol anges det tydligt vem som är misstänkt, tilltalad, målsägande, vittne eller anhörig till någon av dessa. Det framgår också normalt av sammanhanget eller på annat sätt vilket ändamål personuppgifter behandlas för och om uppgifterna grundar sig på fakta eller på personliga bedömningar (lagrådsremissen Brottsdatalag s. 123 och 146). Det innebär att domstolarna endast i undantagsfall kommer att behöva förse personuppgifter med särskilda upplysningar enligt brottsdatalagens bestämmelser.

12.4.4 Behandling av personnummer

Regeringens förslag: Personnummer och samordningsnummer får behandlas endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningens förslag omfattar även liknande identitetsbeteckningar och en upplysning om en föreslagen bestämmelse om sökning. Utredningens förslag omfattar inte ändamålet med behandlingen. Remissinstanserna: Ingen remissinstans uttalar sig särskilt i denna del. Skälen för regeringens förslag: I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelsen är tillämplig i domstolarna genom en hänvisning i 5 § första stycket 4 domstolsdatalagen. En bestämmelse som motsvarar 22 § personuppgiftslagen föreslås i 3 kap. 10 § dataskyddslagen. Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras (prop. 2017/18:105 s. 199). Bestämmelsen om behandling av personnummer har ingen motsvarighet i dataskyddsdirektivet. Eftersom kraven på en säker identifiering väger särskilt tungt inom brottsdatalagens tillämpningsområde är användningen av personnummer och liknande identitetsuppgifter nära nog alltid motiverad. I de övriga registerförfattningarna föreslås därför inga bestämmelser om behandling av personnummer och samordningsnummer (avsnitt 5.3.1). Regeringen anser dock, i likhet med utredningen, att det finns anledning att överväga en sådan bestämmelse i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område, i linje med vad som i dag gäller enligt domstolsdatalagen. Domstolarnas verksamhet är till största delen offentlig. Allmänheten har stora möjligheter att få kännedom om de personer vilkas uppgifter behandlas. En tillgång till personnummer öppnar ytterligare möjligheter att få fram uppgifter om dessa personer. Detta motiverar en fortsatt reglering av hur personnummer och samordningsnummer får behandlas i domstolarnas verksamhet. Regeringen anser att det bör tas in en bestämmelse om behandling av personnummer och samordningsnummer i den nya lagen. Utformningen av bestämmelsen bör överensstämma med vad som föreslås gälla enligt dataskyddslagen och bör, i förhållande till utredningens förslag, kompletteras med att hänsyn även ska tas till ändamålet med behandlingen. Det finns inte anledning att i bestämmelsen reglera annat än personnummer och samordningsnummer, vilka är de identitetsbeteckningar som domstolarna använder sig av i sin verksamhet. Den del i utredningens förslag som avser liknande identitetsbeteckningar bör alltså inte tas in i bestämmelsen.

12.4.5 Biometriska och genetiska uppgifter

Regeringens bedömning: Det finns inte skäl att särskilt föreskriva att domstolarna får behandla biometriska och genetiska uppgifter.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Hovrätten för Västra Sverige anför att det kan uppkomma behov för domstolarna att behandla biometriska uppgifter och att det är viktigt att säkerställa att de föreslagna begränsningarna i uppgiftsbehandling inte inverkar negativt på den misstänktes möjlighet att själv vidta genetiska och biometriska undersökningar. Övriga remissinstanser yttrar sig inte i denna del. Skälen för regeringens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken betydelse de har vid brottsbekämpning. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska och genetiska uppgifter känsliga personuppgifter. Biometriska och genetiska uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Till skillnad från Hovrätten för Västra Sverige instämmer regeringen i utredningens bedömning att det är svårt att se att domstolarna har något behov av att behandla biometriska och genetiska uppgifter. Det ska i sammanhanget anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Domstolarna kommer alltså att kunna behandla personuppgifter i sådana utlåtanden i samma utsträckning som i dag. Den behandlingen är för domstolarna tillräcklig. Det finns därför inte behov av någon bestämmelse i den nya lagen som medger behandling av biometriska och genetiska uppgifter. Samhälls- och teknikutvecklingen kan dock innebära att det framöver finns anledning att överväga denna fråga på nytt. Att domstolarna inte medges behandla biometriska och genetiska uppgifter bedöms inte inverka negativt på den misstänktes möjlighet att själv föranstalta om genetiska och biometriska undersökningar. Det finns därför inte skäl att, som Hovrätten för Västra Sverige anför, särskilt säkerställa att den misstänkte har möjlighet att själv vidta sådana undersökningar.

12.5 Sökbegränsningar

12.5.1 Sökförbudet i brottsdatalagen ska inte gälla

Regeringens bedömning: Förbudet i brottsdatalagen mot sökning i syfte att få fram ett urval av personer grundat på känsliga personuppgifter bör inte gälla för domstolarna.

Utredningens förslag överensstämmer med regeringens bedömning. Utredningen föreslår att det i lagen uttryckligen upplyses om att andra bestämmelser än brottsdatalagens sökförbud ska gälla.

Remissinstanserna: Domstolsverket ställer sig positivt till förslaget att brottsdatalagens sökbegränsning inte ska tillämpas i domstolarnas verksamhet eftersom det kommer att underlätta domstolarnas behandling av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Dataskyddsdirektivet kräver inte att det införs något förbud mot att använda känsliga personuppgifter vid sökning. Sådana uppgifter får emellertid behandlas endast om det finns lämpliga skyddsåtgärder för behandlingen (artikel 10). En verkningsfull skyddsåtgärd kan vara att förbjuda att känsliga personuppgifter används vid sökning och att reglera eventuella undantag. I 2 kap. 14 § brottsdatalagen förbjuds sökning i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. I 2 kap. 11–13 §§ brottsdatalagen anges vilka uppgifter som betecknas som känsliga personuppgifter. Enligt 14 § domstolsdatalagen är det förbjudet att vid sökning i personuppgifter använda sökbegrepp som avslöjar känsliga personuppgifter. Bestämmelsen omfattar också uppgifter om nationell anknytning och brott eller misstanke om brott eftersom sökning med användande av sådana uppgifter har ansetts innebära särskilda integritetsrisker (prop. 2014/15:148 s. 59). Från sökförbudet görs vissa undantag i 14 § andra stycket och 15 §. Undantagen begränsas i 3–6 §§ domstolsdataförordningen. Regleringen av vilken sökning som är tillåten enligt domstolsdatalagen har utformats med beaktande av dels domstolarnas behov och intresset av insyn, dels skyddet för enskildas personliga integritet. Det har inte bedömts motiverat att begränsa endast domstolspersonalens möjligheter till sökning, om inte allmänhetens möjligheter att med stöd av offentlighetsprincipen begära sökning begränsas på motsvarande sätt. De största integritetsriskerna ligger inte i de sökningar som domstolens personal gör utan i de möjligheter till kartläggning som sökningar på begäran av allmänheten innebär (prop. 2014/15:148 s. 53 f.). Någon särskild sekretessbestämmelse för sådana personuppgifter som sökningar kan resultera i finns inte, eftersom principiella skäl har ansetts tala mot att ha en sådan bestämmelse. Intresset av insyn och öppenhet är särskilt starkt i domstolarna och det finns ett betydande värde i att både journalister och enskilda kan begära att avgöranden söks fram efter bestämda kriterier (prop. 2014/15:148 s. 55 f.). Dessa skäl gör sig alltjämt gällande. Mot denna bakgrund bedömer regeringen, i likhet med Domstolsverket, att sökförbudet i brottsdatalagen inte bör gälla för domstolarna utan att en annan, för domstolarna särskilt anpassad, reglering bör gälla i stället. Utredningen föreslår att detta bör komma till uttryck genom en upplysning i lagen. Lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område föreslås gälla utöver brottsdatalagen (avsnitt 12.2.1). Mot bakgrund av det och eftersom den nya lagen innehåller särskilda avvikande bestämmelser om sökförbud bedömer regeringen att det saknas behov av en sådan upplysning om att sökförbudet i brottsdatalagen inte ska gälla i domstolarna.

12.5.2 Sökförbuden i den nya lagen

Regeringens förslag: Vid sökning i personuppgifter ska det vara förbjudet att använda sökbegrepp som avslöjar känsliga personuppgifter eller nationell anknytning. Sökförbudet ska inte gälla användning i allmän förvaltningsdomstol av sökbegrepp som avslöjar hälsa. En upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda sådana sökbegrepp tas in i lagen. I lagen informeras också om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda sökbegrepp som avslöjar brott eller misstanke om brott. Användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp som sökbegrepp omfattas inte av förbudet. Sökförbudet hindrar inte sökning i en viss handling eller i ett visst mål eller ärende.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att begränsningar av möjligheten att använda sökbegreppen brott, misstanke om brott och hälsa ska finnas i den nya lagen i stället för att regleras på förordningsnivå. Remissinstanserna: Domstolsverket anser att det bör övervägas om sökbegränsningarna ska finnas i lag eller i förordning och att frågan bör hanteras på samma sätt i den nya lagen och domstolsdatalagen. Övriga remissinstanser yttrar sig inte särskilt över förslagen.

Skälen för regeringens förslag

Nuvarande reglering I 14 § domstolsdatalagen förbjuds användning av sökbegrepp som avslöjar känsliga personuppgifter, uppgifter om nationell anknytning och uppgifter om brott eller misstanke om brott. Förbudet omfattar dock inte sökbegrepp i form av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp. Från förbudet undantas enligt 15 § sökning i en viss handling eller i ett visst mål eller ärende. Förbudet gäller inte heller i allmän domstol eller allmän förvaltningsdomstol, såvitt gäller sökbegrepp som avslöjar brott eller misstanke om brott, eller i allmän förvaltningsdomstol såvitt gäller sökbegrepp som avslöjar hälsa. I 3–5 §§ domstolsdataförordningen begränsas möjligheten till sökning i äldre avgjorda mål och ärenden. Vidare förbjuds användning av sökbegrepp som avslöjar brott eller misstanke om brott i allmän domstol vid sökning i tvistemål, och i Migrationsöverdomstolen och migrationsdomstolarna användning av sökbegrepp som avslöjar brott eller misstanke om brott eller uppgifter om hälsa.

Utgångspunkter för regleringen i den nya lagen Den nuvarande regleringen i domstolsdatalagen och domstolsdataförordningen tillgodoser både domstolarnas berättigade behov av att kunna utföra sökningar på känsliga personuppgifter och andra integritets- 255

känsliga uppgifter och skyddet för enskildas integritet. Den innefattar också en rimlig avvägning mellan domstolarnas behov och allmänhetens rätt till insyn. Regleringen i domstolsdatalagen kan därför bilda utgångspunkt för regleringen i den nya lagen. Detaljerade begränsningar av möjligheten till sökning enligt domstolsdatalagen regleras i förordning. Av integritetsskyddsskäl ansågs det viktigt att begränsningarna skulle kunna avgränsas så specifikt som möjligt. Ytterligare avgränsningar skulle kunna anpassas kontinuerligt, efterhand som nya måltyper tillkommer och domstolarnas organisation förändras. Regeringen bedömde det därför lämpligt att i förordning precisera vilka möjligheter till sökning som ska finnas (prop. 2014/15:148 s. 62). Utredningen anser att dessa argument inte har samma tyngd när brottsdatalagen är tillämplig och föreslår att sökbegränsningarna regleras i lag. Regeringen anser emellertid att de ställningstaganden som gjordes i förhållande till sökbegränsningar i domstolsdatalagen fortfarande är giltiga. Begränsningar av möjligheten till sökning i vissa typer av personuppgifter inom tillämpningsområdet för den nya lagen bör därför regleras i förordning.

Sökförbud för känsliga personuppgifter Enligt artikel 10 i dataskyddsdirektivet får känsliga personuppgifter behandlas bara om det är absolut nödvändigt och det finns särskilda skyddsåtgärder. Regeringen bedömer att sökförbudet i 2 kap. 14 § brottsdatalagen är en sådan skyddsåtgärd som direktivet kräver (lagrådsremissen Brottsdatalag s. 155). Eftersom sökförbudet i brottsdatalagen inte ska gälla för domstolarna behövs en skyddsåtgärd i den nya lagen. Regeringen anser att en lämplig skyddsåtgärd är att på samma sätt som i dag förbjuda användningen av sökbegrepp som avslöjar känsliga personuppgifter. Genom en hänvisning till bestämmelserna om känsliga personuppgifter i 2 kap. 11 och 12 §§ brottsdatalagen kommer alla uppgifter som benämns känsliga personuppgifter att omfattas av förbudet.

Sökförbud för andra integritetskänsliga uppgifter Sökförbudet i domstolsdatalagen gäller inte bara för känsliga personuppgifter utan även för vissa andra uppgifter som ansetts vara särskilt integritetskänsliga, nämligen uppgifter som avslöjar nationell anknytning och brott eller misstanke om brott. I motsats till regleringen i det nu gällande dataskyddsdirektivet och dataskyddsförordningen finns det inte några särskilda restriktioner för behandling av uppgifter om lagöverträdelser i det nya dataskyddsdirektivet. Uppgifter om nationell anknytning regleras inte heller. Något sökförbud för uppgifter som avslöjar nationell anknytning och brott eller misstanke om brott krävs därför inte för att genomföra direktivet. Regeringen anser emellertid att de skäl som ligger bakom att sökförbudet i domstolsdatalagen även omfattar uppgifter om bl.a. nationell anknytning alltjämt har bärighet (prop. 2014/15:148 s. 59). Direktivet tillåter nationella regler som ger starkare integritetsskydd. Uppgifter om nationell anknytning bör därför omfattas av sökförbudet i den nya lagen. När det gäller användningen av uppgifter som avslöjar brott eller misstanke om brott som sökbegrepp bör dock regleringen i den nya lagen inte 256

utgå från domstolsdatalagens systematik, vilken bygger på ett förbud och ett generellt undantag för allmänna domstolar och allmänna förvaltningsdomstolar. Skälet härtill är att den nya lagen, till skillnad från domstolsdatalagen, endast är tillämplig i nämnda domstolsslag. Begränsningarna för de allmänna domstolarna och de allmänna förvaltningsdomstolarna att använda sökbegrepp som avslöjar brott eller misstanke om brott finns i dag i domstolsdataförordningen. Som anförs ovan anser regeringen att det av integritetsskyddsskäl är viktigt att begränsningarna i dessa delar kan avgränsas så specifikt som möjligt och anpassas kontinuerligt. Det är därför lämpligt att det i förordning preciseras vilka sökbegränsningar som bör finnas för uppgifter som avslöjar brott eller misstanke om brott. I lagen bör därför upplysas om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda uppgifter som avslöjar brott eller misstanke om brott som sökbegrepp. Innehållet i förordningsbestämmelserna bör ligga i linje med utredningens förslag och de sökbegränsningar som gäller enligt domstolsdataförordningen.

Tillåtna sökningar Det behövs på samma sätt som i dag vissa undantag från sökförbuden. Domstolarna använder i stor utsträckning särskilda beteckningar för att identifiera en viss mål- eller ärendetyp, s.k. målgrupps- och måltypskoder. Målgrupps- och måltypskoder används i mycket stor utsträckning i den dagliga verksamheten och det har inte framkommit att detta skulle medföra några särskilda risker i integritetshänseende (prop. 2014/15:148 s. 63). Sökning med användning av sådana beteckningar bör därför undantas från sökförbuden i den nya lagen. Sökförbuden bör på samma sätt som i dag inte heller gälla vid sökning i en viss handling eller i ett visst mål eller ärende. Som regeringen tidigare konstaterat innebär sökning bland en begränsad mängd uppgifter mindre integritetsrisker än sökning i större uppgiftsmängder (prop. 2014/15:148 s. 63 f.). Det bör således göras undantag från sökförbuden även för sådana sökningar. Lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område bör också innehålla ett undantag för de allmänna förvaltningsdomstolarna att använda uppgifter om hälsa som sökbegrepp. Genom att använda till exempel uppgifter om en sjukdomsdiagnos som sökbegrepp är det möjligt för domstolarna att med hjälp av sökning identifiera öppna mål som innehåller likartade frågeställningar så att handläggningen kan samordnas, vilket kan främja såväl effektiviteten som rättssäkerheten (prop. 2014/15:148 s. 60). När det gäller sökbegrepp som avslöjar hälsa i allmän förvaltningsdomstol finns begränsningarna i dag i domstolsdataförordningen. Som anförs ovan anser regeringen att det av integritetsskyddsskäl är viktigt att begränsningar kan avgränsas så specifikt som möjligt och anpassas kontinuerligt. Det är därför lämpligt att det i förordning preciseras vilka sökbegränsningar som ska finnas. Mot denna bakgrund bör det tas in en upplysning i den nya lagen om att regeringen kan meddela föreskrifter om begränsningar av möjligheten att använda uppgifter om hälsa som sökbegrepp. 257

12.6 Utlämnande av personuppgifter

12.6.1 Direktåtkomst

Regeringens förslag: Direktåtkomst ska endast få medges en allmän domstol, en allmän förvaltningsdomstol eller en part eller partens ombud, biträde eller försvarare. Direktåtkomst för en part eller en parts ombud, biträde eller försvarare får endast avse personuppgifter i partens mål eller ärende. En upplysning tas in i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om ytterligare begränsning av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans lämnar synpunkter i denna del. Skälen för regeringens förslag: Enligt 17 § domstolsdatalagen får direktåtkomst endast medges en allmän domstol, en allmän förvaltningsdomstol, en hyres- och arrendenämnd eller en part eller partens ombud, biträde eller försvarare. Direktåtkomst för en part eller en parts ombud, biträde eller försvarare får endast avse personuppgifter i partens mål eller ärende. I 7–13 §§ domstolsdataförordningen preciseras när direktåtkomst är tillåten till äldre avgjorda mål och ärenden, vid överklagande, till rättspraxis och i samband med beredskapsverksamhet. Reglerna om direktåtkomst i domstolsdatalagen och domstolsdataförordningen är resultatet av en avvägning mellan domstolarnas behov och skyddet för enskildas integritet. Den bedömning som gjordes i dessa avseenden vid domstolsdatalagens tillkomst har alltjämt bärkraft och regleringen i den nya lagen bör därför utformas på samma sätt. Det gäller även uppdelningen av bestämmelserna mellan lag och förordning (se prop. 2014/15:148 s. 64 f.). Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som i dag kunna meddela föreskrifter om ytterligare begränsning av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst.

12.6.2 Elektroniskt utlämnande av personuppgifter

Regeringens förslag: Personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. En upplysning tas in i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om ytterligare begränsning av möjligheten att lämna ut personuppgifter elektroniskt.

Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår även en bestämmelse som anger att elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i lagen och föreskrifter som har meddelats i anslutning till den. Remissinstanserna: Datainspektionen avstyrker förslaget eftersom det 258 inte utan närmare analys av vilka effekter för den personliga integriteten

som utvidgningen kan få inte går att avgöra om den kan anses proportionerlig i förhållande till enskildas personliga integritet. Svea hovrätt , Eskilstuna tingsrätt , Förvaltningsrätten i Jönköping och Domstolsverket påtalar att domstolsdatalagen och den nya lagen skiljer sig åt i terminologi och understryker vikten av en så enhetlig lagstiftning som möjligt. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automatiserad behandling om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsning av möjligheten att lämna ut personuppgifter på det sättet (prop. 2014/15:148 s. 73 f.). Varken brottsdatalagen eller dataskyddsdirektivet innehåller bestämmelser om på vilket sätt personuppgifter får lämnas ut. Det finns dock inget som hindrar att nationell lagstiftning innehåller sådana bestämmelser. Domstolarna bör kunna lämna ut personuppgifter elektroniskt i samma utsträckning som i dag. En bestämmelse som motsvarar 16 § domstolsdatalagen bör därför tas in i den nya lagen. Regeringen bedömer i avsnitt 5.6.4 att uttrycket utlämnande på medium för automatiserad behandling bör ersättas med det modernare uttrycket utlämnande i elektronisk form. Någon ändring i sak är inte avsedd. För att lagstiftningen ska vara så enhetlig som möjligt bör samma terminologi användas i såväl den nya lagen som i domstolsdatalagen. Regeringen anser att regleringen är utformad på ett sätt som ger ett gott skydd för den personliga integriteten (se avsnitt 5.6.4). Regeringen delar således inte Datainspektionens uppfattning att förslaget utgör en utvidgning i förhållande till vad som gäller i dag. Som regeringen anför i avsnitt 12.1.2 är det en fördel om domstolarnas personuppgiftsreglering är så enhetlig som möjligt. Mot denna bakgrund och då ett särskilt behov inte framkommit bedömer regeringen att den av utredningen föreslagna bestämmelsen om att elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i lagen och föreskrifter som har meddelats i anslutning till den inte bör tas in i lagen. Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som i dag kunna meddela föreskrifter om ytterligare begränsning av möjligheten att lämna ut personuppgifter elektroniskt.

12.7 Personuppgifter i avgjorda mål och ärenden

Regeringens förslag: I lagen upplyses om att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft.

Utredningens förslag överensstämmer inte med regeringens. Utredningen föreslår att begränsningarna ska finnas i lag i stället för att regleras på förordningsnivå. 259

Remissinstanserna: Domstolsverket anser att det bör övervägas om sökbegränsningarna ska finnas i lag eller förordning och att frågan bör hanteras på samma sätt i den nya lagen och domstolsdatalagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I domstolsdatalagen finns en bestämmelse som upplyser om att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Bestämmelsen har sin grund i att det t.ex. kan behövas begränsningar avseende sökning, direktåtkomst eller intern åtkomst vid domstolarna. Det är fråga om bestämmelser som bör vara relativt detaljerade och som bör kunna justeras exempelvis när domstolarnas arbetssätt utvecklas eller då nya måltyper tillkommer i verksamheterna. En mer detaljerad reglering ger bättre förutsättningar för den avvägning som ska göras mellan integritets- och effektivitetsintressena. Det är viktigt att domstolarna har möjlighet att i den utsträckning det är motiverat utnyttja de möjligheter till ökad effektivitet, rättssäkerhet och insyn som erbjuds tack vare övergången till elektroniskt bevarande (prop. 2014/15:148 s. 83). Regeringen bedömer att angivna skäl fortfarande är giltiga. En likalydande upplysningsbestämmelse som i domstolsdatalagen bör införas i den nya lagen. Innehållet i förordningsbestämmelserna bör ligga i linje med utredningens förslag och de sökbegränsningar som gäller enligt domstolsdataförordningen.

12.8 Administrativa sanktionsavgifter

Regeringens förslag: Sanktionsavgift ska få tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna om rättsliga grunder och sökförbud. Sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att sanktionsavgiften ska bestämmas till minst 50 000 kronor och högst 20 000 000 kronor. Remissinstanserna: De flesta av remissinstanserna, bl.a. Helsingborgs tingsrätt och Justitiekanslern , tillstyrker utredningens förslag eller har ingen invändning mot det. Södertörns tingsrätt anser att det är viktigt att sanktionerna utgör en rimlig reaktion på överträdelserna och att det i domstolarnas fall ofta rör sig om allvarliga överträdelser. Enligt tingsrätten kan dock även en lägre avgift förväntas vara tillräckligt avskräckande. Förvaltningsrätten i Malmö anser att det inte är nödvändigt att införa en möjlighet att ta ut administrativa sanktionsavgifter inom ramen för den nya lagen. Riksdagens ombudsmän och Förvaltningsrätten i Linköping påpekar att tillsynsmyndigheten inte är behörig att utöva tillsyn över personuppgiftsbehandling i domstolarnas dömande verksamhet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Tillsynsmyndigheten kommer enligt brottsdatalagen att utöva tillsyn över domstolarnas behandling av person- 260 uppgifter. Tillsynen omfattar dock inte personuppgiftsbehandling inom

ramen för domstolarnas dömande verksamhet (5 kap. 2 § brottsdatalagen). Till tillsynsmyndighetens befogenheter hör att besluta om sanktionsavgift enligt 6 kap. brottsdatalagen. De överträdelser som enligt brottsdatalagen kan leda till att sanktionsavgift tas ut är bl.a. överträdelser av bestämmelser om hur personuppgifter får behandlas. Reglerna om sanktionsavgift i brottsdatalagen gäller vid överträdelse av bestämmelser i den lagen. Som framgår av avsnitt 5.4.2 anser regeringen att sanktionsavgift också bör kunna tas ut vid överträdelse av vissa bestämmelser i registerförfattningarna. Det gäller bestämmelser som ersätter, preciserar eller kompletterar bestämmelser i brottsdatalagen som kan föranleda sanktionsavgift. Enligt regeringen finns det inte skäl att, som Förvaltningsrätten i Malmö menar, göra en annan bedömning för domstolarnas del. I likhet med vad som gäller enligt brottsdatalagen bör överträdelse av bestämmelser om rättsliga grunder för behandling kunna föranleda sanktionsavgift. Enligt brottsdatalagen är det också möjligt att ta ut sanktionsavgift vid överträdelse av sökförbudet avseende känsliga personuppgifter. För domstolarna kommer dock det sökförbudet inte att gälla. Regeringen föreslår i stället att lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område ska innehålla ett generellt förbud mot att använda integritetskänsliga sökbegrepp. Vidare föreslås ett antal undantag från sökförbudet. Slutligen görs bedömningen att vissa sökbegränsningar bör regleras i förordning (avsnitt 12.5.2). En överträdelse av bestämmelsen om sökförbud i den nya lagen bör kunna leda till att sanktionsavgift tas ut. Sanktionsavgift bör däremot inte kunna tas ut vid överträdelse av sådana sökbegränsningar som endast regleras i förordning. En förutsättning för att det ska vara fråga om en överträdelse av bestämmelsen om sökförbud är att sökningen inte omfattas av något av undantagen från förbudet. Undantagen kommer att regleras i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område och anslutande föreskrifter och rör t.ex. sökning i ett visst mål och användning i allmän förvaltningsdomstol av sökbegrepp som avslöjar hälsa. Det bör framgå av en bestämmelse i den nya lagen i vilka fall det är möjligt att ta ut sanktionsavgift. Enligt 6 kap. 3 § brottsdatalagen ska sanktionsavgift tas ut med högst 5 000 000 kronor vid mindre allvarliga överträdelser och högst 10 000 000 kronor vid allvarligare överträdelser. Det framgår av paragrafen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelser av bestämmelser om rättsliga grunder för behandling och sökförbudet avseende känsliga personuppgifter är enligt paragrafen allvarliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Regeringen ser inte skäl att ha högre sanktionsavgifter för domstolarna än för övriga myndigheter (lagrådsremissen Brottsdatalag s. 325–329). Sanktionsavgift bör därför kunna tas ut med högst 10 000 000 kronor. Som Riksdagens ombudsmän och Förvaltningsrätten i Linköping påpekar är tillsynsmyndigheten inte behörig att utöva tillsyn över den personuppgiftsbehandling som sker i domstolarnas dömande verksamhet. Sanktionsavgift kan därför endast beslutas för överträdelser utanför den dömande verksamheten. 261

12.9 Rättsmedel

12.9.1 Skadestånd

Regeringens förslag: Bestämmelsen om skadestånd i brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med den nya lagen eller föreskrifter som har meddelats i anslutning till den.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser tillstyrker utredningens förslag eller har ingen invändning mot det. Skälen för regeringens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. Rätten till skadestånd vid skada och kränkning bör vara densamma när personuppgifter behandlas i strid med lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område som vid behandling i strid med brottsdatalagen. Det bör därför framgå att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med den nya lagen eller föreskrifter som har meddelats i anslutning till den.

12.9.2 Överklagande

Regeringens förslag: En domstols beslut i sådana frågor som avses i brottsdatalagens bestämmelse om överklagande av personuppgiftsansvariga myndigheters beslut, får överklagas. Högsta domstolens och Högsta förvaltningsdomstolens beslut får dock inte överklagas. Beslut av en hovrätt, tingsrätt eller förvaltningsrätt överklagas till kammarrätten. Beslut av en kammarrätt överklagas till Högsta förvaltningsdomstolen. Regeringens bedömning: Den nya lagen bör inte innehålla några bestämmelser om överklagande av tillsynsmyndighetens beslut.

Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens förslag och bedömning.

Skälen för regeringens förslag och bedömning

Bestämmelser om överklagande finns i brottsdatalagen I 7 kap. brottsdatalagen finns bestämmelser om överklagande. Bestämmelserna reglerar rätten att överklaga beslut av personuppgiftsansvariga myndigheter och av tillsynsmyndigheten. Det finns även ett förbud mot att överklaga andra beslut enligt brottsdatalagen än de som särskilt anges. Lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område bör endast innehålla bestämmelser om överklagande som avviker från den generella regleringen. Den nya lagen bör även i 262 möjligaste mån ha samma systematik som domstolsdatalagen (av-

snitt 12.1.2). Regeringen anser därför att den nya lagen, till skillnad från vad som föreslås avseende övriga registerförfattningar, inte bör innehålla någon bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen. Det är samma lagtekniska lösning som föreslås avseende domstolsdatalagen (prop. 2017/18:113 s. 45–48).

En särskild instansordning Bestämmelser om överklagande av beslut som har meddelats av en personuppgiftsansvarig domstol finns i 20 § domstolsdatalagen. Enligt förslaget i det lagstiftningsärende som rör anpassning av domstolsdatalagen till dataskyddsförordningen ska en hovrätts, tingsrätts eller förvaltningsrätts beslut enligt artiklarna 12.5 och 15–21 i dataskyddsförordningen få överklagas till kammarrätten utan krav på prövningstillstånd. En kammarrätts beslut i sådana frågor ska få överklagas till Högsta förvaltningsdomstolen. Högsta domstolens och Högsta förvaltningsdomstolens beslut ska inte få överklagas. Den föreslagna bestämmelsen i 20 § domstolsdatalagen motsvarar 7 kap. 2 § dataskyddslagen, men föreskriver en avvikande instansordning som motiveras av att förvaltningsrätterna inte ska behöva överpröva sina egna eller högre instansers beslut (prop. 2014/15:148 s. 94 och prop. 2017/18:113 s. 46 f.). I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering, radering eller begränsning av behandlingen av personuppgifter, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge omprövning av ett automatiserat beslut. Det saknas skäl att för domstolarnas del ha avvikande bestämmelser om vilka beslut som får överklagas. Den särskilda instansordning som enligt domstolsdatalagen gäller för beslut av personuppgiftsansvariga domstolar bör dock gälla även enligt den nya lagen.

Beslut av tillsynsmyndigheten Enligt 7 kap. 3 § brottsdatalagen får tillsynsmyndighetens beslut enligt den lagen överklagas till allmän förvaltningsdomstol. I enlighet med regeringens förslag i avsnitt 12.8 ska det i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område anges vilka överträdelser som kan föranleda sanktionsavgift. Tillsynsmyndigheten beslutar om sanktionsavgift med stöd av 5 kap. 7 § och 6 kap. 6 § brottsdatalagen även när det gäller överträdelser av bestämmelserna i de särskilda registerförfattningarna. Tillsynsmyndighetens beslut om sanktionsavgifter vid dessa överträdelser får därför överklagas enligt brottsdatalagen och någon särskild reglering avseende rätten att överklaga sådana beslut behövs inte. Det finns alltså inte skäl att i den nya lagen särskilt reglera frågan om överklagande av tillsynsmyndighetens beslut.

13 Lagen om behandling av personuppgifter inom kriminalvården

13.1 Lagen om behandling av personuppgifter inom kriminalvården behöver anpassas

13.1.1 Nuvarande reglering

I kriminalvården ingår myndigheten Kriminalvården och övervakningsnämnderna. Lagen (2001:617) om behandling av personuppgifter inom kriminalvården gäller enligt 1 § vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om vissa personkategorier, bl.a. den som är föremål för personutredning, häktad eller dömd till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst. Kriminalvården får enligt 3 § behandla personuppgifter bara om det behövs för vissa särskilt angivna ändamål, däribland att fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning och att underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets övriga myndigheter behöver. Lagen, som enligt 2 § gäller utöver personuppgiftslagen, innehåller även bestämmelser om personuppgiftsansvar (4 §), behandling av känsliga personuppgifter (5 §), direktåtkomst (6 §), gallring (7 §) och utlämnande av uppgifter för rättsstatistiken (9 §). I fråga om rättelse och skadestånd gäller personuppgiftslagens bestämmelser (8 §). Lagen innehåller särskilda bestämmelser om omprövning och överklagande (12–16 §§). Merparten av regleringen finns emellertid i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Även annan reglering av personuppgiftsbehandling är i viss utsträckning tillämplig i Kriminalvården. Det gäller bl.a. patientdatalagen (2008:355), som gäller när Kriminalvården bedriver hälso- och sjukvård.

13.1.2 Behovet av en uppdaterad lagstiftning

Kriminalvårdens lagstiftning avviker i många avseenden från den lagstiftning som gäller för övriga myndigheter i rättskedjan. De andra registerförfattningarna har tillkommit under de senaste åren, medan kriminalvårdens registerlagstiftning tillkom bara några år efter personuppgiftslagen. Kriminalvårdens lagstiftning har en annan lagteknisk struktur än övriga registerförfattningar. Den gäller utöver personuppgiftslagen och är inte som de andra registerförfattningarna indelad i kapitel. Större delen av Kriminalvårdens personuppgiftsreglering finns i förordning, vilket skulle kunna ifrågasättas mot bakgrund av det utökade grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen. I förarbetena pekas bl.a. på att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll normalt ska regleras i lag (se prop. 2009/10:80 s. 183). Modernare registerlagstiftning bygger inte i samma utsträckning som kriminalvårdens registerlagstiftning på en detaljerad uppräkning av vilka personuppgifter som får behandlas.

Förutsättningarna för verksamheten på häkten och kriminalvårdsanstalter har förändrats. Brottsligheten har ändrat karaktär och påföljdssystemet har ändrats, särskilt möjligheten att avtjäna fängelsestraff utanför anstalt i form av intensivövervakning medför att de som verkställer fängelsestraff i anstalt i dag generellt sett avtjänar straff för tyngre kriminalitet än förr. Även demografiska faktorer påverkar hur verksamheten på häkten och i kriminalvårdsanstalter bedrivs. Kriminalvården måste t.ex. vid placering av intagna ta större hänsyn än tidigare till faktorer som organiserad brottslighet och tillhörighet till olika kriminella grupperingar. Mot denna bakgrund kan det finnas behov av att i framtiden göra en översyn av kriminalvårdens registerlagstiftning. Detta är också något som Kriminalvården efterlyser. Även Justitiekanslern och Datainspektionen pekar på behovet av en översyn av kriminalvårdens registerlagstiftning. Den bör ges en struktur och ett innehåll som i större utsträckning liknar övriga registerförfattningar. I detta lagstiftningsärende föreslås vissa förändringar som ett led i anpassningen till brottsdatalagen. Anpassningar och ändringar som är gemensamma för registerförfattningarna behandlas i avsnitt 5. De ytterligare ändringar som bör göras i lagen om behandling av personuppgifter inom kriminalvården behandlas i detta avsnitt. En sakkunnig person har haft i uppdrag att lämna förslag på de författningsändringar som behövs för att komplettera den del av kriminalvårdens registerlagstiftning som ligger utanför brottsdatalagens tillämpningsområde till dataskyddsförordningen (Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning, Ds 2017:46). I mars 2018 beslutades lagrådsremissen Kriminalvårdsdatalag – en ny lag med anpassning till EU:s dataskyddsförordning.

13.1.3 Lagen renodlas och ges ett nytt namn

Regeringens förslag: Lagen om behandling av personuppgifter inom kriminalvården ska innehålla bestämmelser om personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Den ska benämnas lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas kriminalvårdens brottsdatalag. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen bör renodlas Lagen om behandling av personuppgifter inom kriminalvården reglerar huvudsakligen personuppgiftsbehandling inom brottsdatalagens tillämpningsområde, men även till viss del inom dataskyddsförordningens tillämpningsområde. Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av kriminalvårdens personuppgiftsbehandling på ett annat sätt än i dag. Om man skulle behålla en samlad reglering för krimi- 265

nalvårdens personuppgiftsbehandling skulle den till största delen gälla utöver brottsdatalagen, men den skulle också komplettera dataskyddsförordningen med tillhörande lagstiftning. Ett alternativ är att i stället dela upp regleringen i två separata regelverk – ett för brottsdatalagens tillämpningsområde och ett för dataskyddsförordningens. Strukturen med olika registerförfattningar för en myndighets olika verksamheter är ingen nyhet och den lösningen framstår enligt regeringens mening som den mest lämpliga. Den del av kriminalvårdens personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde bör regleras i den befintliga registerförfattningen eftersom den till största delen rör häktning och straffverkställighet. De bestämmelser i lagen om behandling av personuppgifter inom kriminalvården som tar sikte på frågor som ligger utanför brottsdatalagens tillämpningsområde bör därför upphävas. En närmare redogörelse för brottsdatalagens tillämpningsområde finns i lagrådsremissen Brottsdatalag, avsnitten 6.4 och 6.7 (se även avsnitt 4.4). I lagrådsremissen Kriminalvårdsdatalag - en ny lag med anpassning till EU:s dataskyddsförordning, föreslås en ny lag som ska tillämpas vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen inte är tillämplig.

Registerförfattningen ges ett nytt namn Av de skäl som anges i avsnitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Namnet bör knyta an till hur brottsdatalagen benämns och ange för vem författningen gäller och vad den rör. Övriga registerförfattningar föreslås få namn där ordet brottsdatalag ingår, vilket av systematiska skäl även bör gälla för kriminalvården. Lagen bör benämnas lag om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. Som en följd av namnbytet måste hänvisningar till lagen ändras.

13.2 Allmänna bestämmelser

13.2.1 Tillämpningsområdet

Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när någon av myndigheterna inom kriminalvården i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför uppgifter för något av de syften som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag avseende tillämpningsområdet men framhåller att regleringen riskerar att bli svårtillämpad i förhållande till dataskyddsförordningens tillämpningsområde. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen behöver anpassas I avsnitt 4.4 tar regeringen ställning till att registerförfattningarna även i fortsättningen ska innehålla bestämmelser om tillämpningsområdet och anger övergripande vad som bör gälla för den regleringen. Vidare föreslås i avsnitt 5.2 att registerförfattningarna ska gälla utöver brottsdatalagen. Enligt 1 § lagen om behandling av personuppgifter inom kriminalvården gäller lagen vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om personer som är föremål för personutredning, som är häktade eller som är dömda till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, som är ålagda fängelse som förvandlingsstraff för böter eller vite, som på grund av utländsk dom ska verkställa nämnda påföljder i Sverige, som på annan grund är intagna i häkte eller kriminalvårdsanstalt eller som annars transporteras av kriminalvårdens transporttjänst. Tillämpningsområdet utgår i dag från att personuppgiftsbehandlingen ska avse en person i någon av de uppräknade kategorierna. Den utformningen är inte förenlig med regleringen i brottsdatalagen, eftersom det är syftet med personuppgiftsbehandlingen som är avgörande för vilket regelverk som ska tillämpas, inte om personen tillhör en viss kategori. Tillämpningsområdet bör i stället utgå från syftet med personuppgiftsbehandlingen. Det bör också framgå att lagen endast gäller när myndigheterna agerar i egenskap av behöriga myndigheter.

Personuppgiftsbehandling vid verkställighet av häktning och straffrättsliga påföljder En av Kriminalvårdens huvuduppgifter är enligt 1 § förordningen (2007:1172) med instruktion för Kriminalvården att verkställa utdömda påföljder. Det som avses är verkställighet av fängelsestraff och vissa frivårdspåföljder. Personuppgiftsbehandling för sådana syften bör därför omfattas av lagens tillämpningsområde. Enligt 2 § instruktionen ska Kriminalvården verka för att påföljder verkställs på ett säkert sätt och att återfall i brott förebyggs. Kriminalvården ska särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras. Enligt 3 § första stycket 3 lagen om behandling av personuppgifter inom kriminalvården får Kriminalvården behandla personuppgifter om det behövs för att upprätthålla säkerheten och förebygga brott under häktning och verkställighet av påföljder. Personuppgiftsbehandling för sådana syften bör även i fortsättningen omfattas av lagens tillämpningsområde. En annan av Kriminalvårdens huvuduppgifter är enligt 1 § instruktionen att bedriva häktesverksamhet. Brottsdatalagen ska tillämpas vid behandling av personuppgifter avseende den som är anhållen eller häktad för brott. Detsamma gäller den som är häktad efter dom i avvaktan på att domen får laga kraft och vid häktning för att hindra att den dömde undandrar sig verkställighet av beslut om utvisning på grund av brott. Lagen ska också tillämpas på den som är omhändertagen efter beslut enligt 26 kap. 22 § och 28 kap. 6 b § brottsbalken och förvaras i häkte. Personuppgiftsbehandling i syfte att verkställa häktning bör därmed 267

också omfattas av lagens tillämpningsområde. Verkställighet av häktning för syften som ligger utanför brottsdatalagens tillämpningsområde bör dock inte falla under lagens tillämpningsområde. Personuppgiftsbehandling i samband med förvaring i häkte och transporter som Kriminalvården utför för ändamål som ligger utanför brottsdatalagens tillämpningsområde bör således inte omfattas av lagen. Övervakningsnämnderna prövar vissa frågor om verkställighet utanför anstalt enligt fängelselagen (2010:610). Nämnderna har även uppgifter som rör verkställigheten av skyddstillsyn. När övervakningsnämnderna hanterar personuppgifter för sådana syften görs det inom ramen för straffverkställighet och hanteringen bör därför omfattas av lagens tillämpningsområde. I lagrådsremissen Brottsdatalag redogör regeringen för ett antal allmänna principer för hur man kan resonera i fråga om när ramlagen ska tillämpas och när den inte är tillämplig (se lagrådsremissen Brottsdatalag, avsnitt 6.7). Utredningen utvecklar dessa principer ytterligare genom exempel från olika verksamheter inom ramlagens tillämpningsområde (se SOU 2017:29 s. 185–234).

Personuppgiftsbehandling vid biträde åt andra behöriga myndigheter Kriminalvården ansvarar enligt 1 § förordningen med instruktion för Kriminalvården också för att utföra personutredningar i brottmål. I lagen (1991:2041) om särskild personutredning i brottmål, m.m. föreskrivs att Kriminalvården dels ska genomföra sådan utredning om en misstänkts personliga förhållanden som krävs för att domstolen ska kunna avgöra påföljdsfrågan, dels ska avge yttranden som belyser återfallsrisken. När Kriminalvården genomför en personutredning eller avger ett yttrande görs det primärt för att det ska finnas ett tillräckligt underlag för att kunna lagföra någon för brott. Vid personutredning kan Kriminalvården sägas biträda framför allt domstolarna vid lagföring av brott. Enligt överenskommelse med Polismyndigheten driver Kriminalvården Polismyndighetens arrestverksamhet på vissa platser i landet. I sådan verksamhet får Kriminalvården anses biträda Polismyndigheten i dess brottsbekämpande och ordningshållande verksamhet. Kriminalvården bedriver även transporttjänst. När t.ex. häktade transporteras till och från häkten i samband med domstolsförhandlingar biträder Kriminalvården åklagare och domstolar vid brottsbekämpning och lagföring. När personer transporteras från häkten till kriminalvårdsanstalter eller mellan kriminalvårdsanstalter görs det inom ramen för straffverkställigheten. Transporter som inte görs för lagföring eller straffverkställighet utan med stöd av t.ex. tvångsvårdslagstiftningen eller utlänningslagstiftningen, ligger däremot utanför lagens tillämpningsområde. Kriminalvården ansvarar vidare för den som av domstol eller övervakningsnämnd har omhändertagits med stöd av 28 kap. 11 § brottsbalken och som förvaras i häkte. Kriminalvården biträder i dessa fall andra behöriga myndigheter vid verkställighet av påföljd. Lagens tillämpningsområde bör därför även omfatta behandling av personuppgifter vid Kriminalvårdens biträde åt andra behöriga myndigheter för något syfte inom brottsdatalagens tillämpningsområde. 268

13.2.2 Personuppgiftsansvar

Regeringens förslag: Kriminalvården ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. En övervakningsnämnd ska vara personuppgiftsansvarig för den personuppgiftsbehandling som nämnden utför.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 4 § lagen om behandling av personuppgifter inom kriminalvården är Kriminalvården personuppgiftsansvarig. Det bör även i fortsättningen framgå av lagen att Kriminalvården är personuppgiftsansvarig för den personuppgiftsbehandling som myndigheten utför. Övervakningsnämnderna ska som framgår av avsnitt 13.2.1 tillämpa lagen. Det finns i dag 28 övervakningsnämnder. De är fristående myndigheter och har en domstolsliknande funktion. För övervakningsnämnderna gäller förordningen (2007:1174) med instruktion för övervakningsnämnderna. Eftersom övervakningsnämnderna är fristående myndigheter är det inte lämpligt att Kriminalvården ansvarar för den personuppgiftsbehandling som de utför. Det bör därför framgå av lagen att varje övervakningsnämnd är personuppgiftsansvarig för sin personuppgiftsbehandling. Den omständigheten att övervakningsnämnderna blir personuppgiftsansvariga hindrar inte att de samarbetar med Kriminalvården, t.ex. på det sättet att Kriminalvården kan vara personuppgiftsbiträde åt nämnderna. Möjligheten att utse ett gemensamt dataskyddsombud kan också övervägas.

13.3 Grundläggande bestämmelser om behandling av personuppgifter

13.3.1 Rättsliga grunder och behandling för nya ändamål

Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att någon av myndigheterna inom kriminalvården ska kunna utföra följande uppgifter: 1. verkställa häktning eller straffrättsliga påföljder, 2. förebygga, förhindra eller upptäcka brottslig verksamhet i samband med sådan verkställighet, 3. biträda andra myndigheter när de fullgör uppgifter för något av de syften som anges i brottsdatalagen, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verksamhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Den nuvarande regleringen behöver anpassas Enligt 2 kap. 1 § brottsdatalagen får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Enligt 3 § lagen om behandling av personuppgifter inom kriminalvården får kriminalvården behandla personuppgifter om det behövs för att myndigheten ska kunna fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning, underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets myndigheter behöver eller upprätthålla säkerheten och förebygga brott under den tid som en åtgärd enligt 1 § första stycket 2–9 pågår. Hänvisningen avser tid under vilken någon är häktad eller avtjänar ett fängelsestraff, verkställer en frivårdande påföljd i form av villkorlig dom med föreskrift om samhällstjänst eller skyddstillsyn, är ålagd fängelse som förvandlingsstraff för böter eller vite eller på grund av utländsk dom verkställer någon av nämnda påföljder i Sverige, på annan grund är intagen i häkte eller kriminalvårdsanstalt eller annars transporteras av Kriminalvårdens transporttjänst. De personuppgifter som kriminalvården får behandla får också behandlas om det behövs för tillsyn, planering, uppföljning och kvalitetssäkring av verksamheten. De brottsbekämpande myndigheternas registerförfattningar bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Det bör även gälla för Kriminalvården och övervakningsnämnderna. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. Som tidigare konstaterats anser regeringen att direktivets krav är uppfyllt genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna. För Kriminalvårdens del framgår det av förordningen med instruktion för Kriminalvården att myndigheten ansvarar för att verkställa utdömda påföljder, bedriva häktesverksamhet samt utföra personutredningar i brottmål. För övervakningsnämnderna följer av 1 § förordningen med instruktion för övervakningsnämnderna att nämndernas verksamhetsområden beslutas av regeringen (se förordning [1998:1318] om övervakningsnämndernas verksamhetsområden m.m.). Denna reglering, tillsammans med den föreslagna regleringen i 2 kap. 1 § lagen om 270 kriminalvårdens behandling av personuppgifter inom brottsdatalagens

område, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara entydig, precis och förutsägbar.

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling Lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område bör innehålla en bestämmelse om tillåtna rättsliga grunder för behandling av personuppgifter som ger Kriminalvården rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina uppgifter. I avsnitt 13.2.1 föreslås att tillämpningsområdet ska omfatta behandling av personuppgifter vid verkställighet av häktning eller straffrättsliga påföljder. Det bör framgå av lagen att personuppgifter får behandlas för de syftena. Det omfattar även behandling av personuppgifter som rör säkerheten vid verkställighet, exempelvis frågor om en intagen medför förhöjd risk för rymning eller fritagning och vem som besöker den häktade eller intagne. Personuppgifter bör även få behandlas när kriminalvården biträder andra behöriga myndigheter vid brottsbekämpning, lagföring, verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Vad sådant biträde kan innebära redovisas i avsnitt 13.2.1. I biträdet ingår att ge rättsväsendets myndigheter information om häktesverksamheten och verkställigheten av påföljder och att tillhandahålla de personuppgifter som behövs för att andra myndigheter ska kunna fullgöra uppgifter inom brottsdatalagens tillämpningsområde. Ett exempel på det förstnämnda är information till åklagare och domstolar som rör häktade och på det sistnämnda den information som Kriminalvården ger Polismyndigheten om avslutade vårdvistelser. Kriminalvården bör därför få behandla personuppgifter om det är nödvändigt för att biträda en annan behörig myndighet för något av de syften som anges i brottsdatalagen. Kriminalvården har vissa internationella förpliktelser, bl.a. att under vissa förutsättningar ta över verkställigheten av en utländsk frivårdspåföljd eller ett utländskt fängelsestraff och att förvara personer som är föremål för transitering genom Sverige för verkställighet av fängelsestraff i annat land. Fullgörande av internationella förpliktelser bör därför vara en tillåten rättslig grund för Kriminalvårdens personuppgiftsbehandling (jfr bl.a. 2 kap. 1 § polisdatalagen, 2 kap. 1 § skattebrottsdatalagen och 2 kap. 1 § tullbrottsdatalagen). Lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område föreslås i avsnitt 13.2.1 gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta den i brottsdatalagen. Av bestämmelsen bör det därför på samma sätt som i brottsdatalagen framgå att den uppgift som myndigheten ska utföra ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Med lag jämställs bl.a. EU-förordningar.

Särskilt om Kriminalvårdens brottsförebyggande arbete Enligt 2 § myndighetens instruktion ska Kriminalvården särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras, frigivningen förbereds, narkotikamissbruket bekämpas och innehållet i verkställigheten anpassas efter varje individs behov. Arbetet med att förebygga och förhindra att brott begås av den som verkställer straff är en viktig del i straffverkställigheten. Fokus är att förhindra både att brott planeras eller begås under verkställigheten och att de intagna återfaller i brott senare. Andra viktiga frågor är att förhindra att narkotika förekommer på häkten och i kriminalvårdsanstalter och att hindra rymning och fritagning. Det bör emellertid framhållas att Kriminalvården varken har särskilda uppgifter eller befogenheter på området, utöver rätten att ta hand om och förstöra narkotika som påträffas på häkten och i kriminalvårdsanstalter. Det brottsförebyggande arbetet består därför i åtgärder som Kriminalvården vidtar eller beslutar om under själva verkställigheten, även om syftet är att förebygga att den häktade eller intagne begår brott efter frigivning eller avslutad straffverkställighet. Kriminalvården har således inte någon uppgift som syftar till brottsbekämpning som inte har att göra med häktesverksamheten eller verkställighet av straff. Kriminalvården behöver kunna behandla personuppgifter för den brottsförebyggande verksamheten. Det bör därför framgå av lagen att Kriminalvården har rätt att behandla uppgifter för att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet av häktning eller straffrättsliga påföljder.

Kriminalvårdens forsknings- och statistikverksamhet Kriminalvården ansvarar i dag för underlaget till en stor del av den samlade rättsstatistiken. Myndigheten har även för sin egen verksamhet behov av omfattande statistik. Dessutom bedriver Kriminalvården sedan länge viss forskning som rör framför allt verkställighet av straffrättsliga påföljder. Enligt 2 kap. 5 § brottsdatalagen får en behörig myndighet behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Kriminalvårdens statistik- och forskningsverksamhet är ett led i uppgifter som ligger inom brottsdatalagens tillämpningsområde. Den rättsliga grunden i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område täcker därmed även behandling av personuppgifter för sådana syften.

Behandling för nya ändamål Lagen om behandling av personuppgifter inom kriminalvården reglerar inte när personuppgifter får behandlas för nya ändamål. Det styrs i stället av finalitetsprincipen i personuppgiftslagen. I brottsdatalagen regleras förutsättningarna för att personuppgifter ska få behandlas för nya ändamål. Enligt 2 kap. 4 § brottsdatalagen ska den som överväger att behandla personuppgifter för ett nytt ändamål göra en prövning av om det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet innan uppgifterna får behandlas för nya ändamål inom lagens tillämpningsområde. Motsvarande prövning 272 ska enligt 2 kap. 22 § brottsdatalagen göras när de brottsbekämpande

myndigheterna behandlar personuppgifter för nya ändamål utanför tillämpningsområdet. En sådan prövning utgör en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet. Samma prövning bör göras av Kriminalvården innan personuppgifter behandlas för ett nytt ändamål utanför brottsdatalagens tillämpningsområde. Det bör därför införas en bestämmelse i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område som tydliggör att förutsättningarna för att behandla personuppgifter som behandlas med stöd av den lagen för nya ändamål regleras i brottsdatalagen.

13.3.2 Behandling av biometriska och genetiska uppgifter

Regeringens förslag: Kriminalvården ska få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Regeringens bedömning: Kriminalvården bör inte få behandla genetiska uppgifter.

Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget eller bedömningen. Skälen för regeringens förslag och bedömning: Av 1 kap. 6 kap. brottsdatalagen följer vad som avses med biometriska och genetiska uppgifter. Enligt 2 kap. 12 § brottsdatalagen får sådana uppgifter behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. I dag behandlar Kriminalvården varken biometriska eller genetiska uppgifter. Det pågår emellertid utveckling av teknik för att med hjälp av biometri möjliggöra säkrare identifiering vid exempelvis transporter inom en kriminalvårdsanstalt. På samma sätt som för polisen och Tullverket är det viktigt för Kriminalvården att den rättsliga regleringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik. Även om Kriminalvården i dagsläget inte använder biometri anser regeringen, i likhet med utredningen, att myndigheten bör ges rättslig möjlighet att behandla biometriska uppgifter, eftersom det inom en snar framtid kommer att finnas behov av det. För närvarande bedöms det inte finnas skäl att begränsa möjligheten att behandla biometriska uppgifter utöver vad som föreskrivs i brottsdatalagen. Det bör därför införas en bestämmelse i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område som medger behandling av biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Det har inte framkommit att Kriminalvården har behov av att behandla genetiska uppgifter och regeringen instämmer därför i utredningens bedömning att myndigheten inte bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. 273

13.3.3 Utlämnande av personuppgifter

Regeringens förslag: Kriminalvården ska till en utländsk myndighet eller internationell organisation få lämna ut de personuppgifter som behövs för 1. prövning och genomförande av överflyttning av straffverkställighet, 2. transitering och förvaring av en person som är frihetsberövad för utredning av eller lagföring för brott eller straffverkställighet, eller 3. tillfällig överflyttning av en frihetsberövad person för utredning av eller lagföring för brott eller straffverkställighet.

Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 8 kap. brottsdatalagen regleras frågor om överföring av personuppgifter till tredjeland och internationella organisationer. Uttrycket internationell organisation definieras i 1 kap. 6 § brottsdatalagen. I 48 § förordningen om behandling av personuppgifter inom kriminalvården regleras förutsättningarna för att lämna ut personuppgifter till en annan stat när verkställighet av påföljd ska överflyttas dit. Enligt paragrafen får uppgifter lämnas ut om bl.a. namn, personnummer eller andra identifikationsbeteckningar, genomförd personutredning och andra liknande utredningar, domstols dom och avräkningsunderlag, liksom uppgifter i journal för häktad, fängelsedömd, skyddstillsynsdömd eller den som är dömd till villkorlig dom med föreskrift om samhällstjänst. Sådana personuppgifter får lämnas ut till den myndighet i den andra staten som är ansvarig för verkställigheten. Bestämmelsen om att personuppgifter får lämnas ut till annan stat om det behövs för att den staten ska kunna överta straffverkställigheten av en påföljd är av sådant slag att den bör ha lagform. Den bör därför tas in i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. Bestämmelsen bör dock göras mer generell eftersom det kan förutses att det internationella samarbetet kommer att öka, särskilt inom EU. Den nya bestämmelsen bör utformas så att den täcker de områden där det kan förutses behov av att kunna behandla och överlämna personuppgifter till en annan stats myndigheter. Bestämmelsen bör vara sekretessbrytande. Det är framför allt för tre ärendetyper som det finns behov av att kunna lämna information. En av dessa är överflyttning av straffverkställighet. Den ökade rörligheten över gränserna har medfört att frågor om överflyttning av verkställighet till en annan stat är betydligt vanligare i dag än tidigare. I de fallen behövs ofta ingående information om den dömde, både för att pröva frågan om överflyttning och för den framtida verkställigheten om överflyttning kommer till stånd. Den reglering som i dag finns i 48 § förordningen om behandling av personuppgifter inom kriminalvården ger ledning för vilka typer av personuppgifter som kan behöva överföras. Regleringen behöver dock inte vara så detaljerad. En annan situation där Kriminalvården behöver kunna överföra personuppgifter är vid transitering av frihetsberövade. Vid transitering ska den frihetsberövade tas om hand tillfälligt i transiteringsstaten. Kriminal- 274

vården måste då kunna lämna nödvändig information till en annan stats myndigheter om personen som ska transiteras och i samband med det tillfälligt förvaras i den andra staten. Den tredje situationen som den nya bestämmelsen bör täcka är tillfällig överflyttning till en annan stat. Om exempelvis en person som avtjänar ett längre fängelsestraff i Sverige behöver överföras tillfälligt till en annan stat för att lagföras eller medverka i en brottsutredning där behöver personuppgifter överföras för att den andra staten ska kunna förvara den dömde på ett säkert sätt till dess att han eller hon återförs till Sverige för att återuppta straffverkställigheten här. Förslaget tar sikte på Kriminalvårdens behov av att kunna överföra personuppgifter till en annan stat. Att Kriminalvården i motsvarande fall får behandla personuppgifter som myndigheten får från en annan stat följer av rätten att behandla personuppgifter för att fullgöra förpliktelser som följer av internationella åtaganden.

13.4 Kriminalvårdens register

13.4.1 Nuvarande reglering

I förordningen om behandling av personuppgifter inom kriminalvården regleras två register, det centrala kriminalvårdsregistret och säkerhetsregistret. Det centrala kriminalvårdsregistret innehåller uppgifter om i princip alla som verkställer en påföljd som Kriminalvården ansvarar för. Säkerhetsregistret innehåller något förenklat uppgifter om personer som verkställer häktning eller påföljd och som kan utgöra en säkerhetsrisk i något avseende. Det finns också ett flertal bestämmelser i förordningen om journalföring. I 34 § förordningen om behandling av personuppgifter inom kriminalvården regleras det centrala kriminalvårdsregistret, som förs av Kriminalvården. Registret innehåller uppgifter om personer som har dömts till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, har ålagts förvandlingsstraff för böter eller vite eller som på grund av en utländsk brottmålsdom verkställer en sådan påföljd i Sverige. I 35 § anges genom hänvisningar till andra bestämmelser i förordningen vilka uppgifter registret får innehålla. Andra myndigheters skyldighet att lämna uppgifter som ska registreras i centrala kriminalvårdsregistret regleras i 36 §. Kriminalvårdens skyldighet att lämna uppgifter till andra myndigheter regleras i 37 §. Där anges också vilka myndigheter som får medges direktåtkomst till registret. Enligt 39 § för Kriminalvården också säkerhetsregistret. Registret innehåller uppgifter om häktade eller intagna som är dömda till fängelse eller på grund av utländsk dom verkställer fängelsestraff och som på något av de i paragrafen uppräknade sätten utgör en säkerhetsrisk. Det är fråga om personer som är eller tidigare har varit placerade på säkerhetsavdelning, under tid i häkte eller under verkställighet av ett fängelsestraff har gjort sig skyldiga till allvarligt hot eller våld mot personal eller andra intagna, under sådan tid har befattat sig med narkotika som inte varit avsedd för eget bruk eller som rymt eller fritagits från häkte eller kriminalvårdsanstalt eller förberett eller gjort försök till rymning eller fritagning. Dess- 275

utom omfattar regleringen personer som misstänks för att under tid i häkte eller under verkställighet av ett fängelsestraff ha deltagit i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet. Utöver de personkategorier som nämnts får säkerhetsregistret enligt 40 § innehålla uppgifter om häktade eller intagna, om det finns särskild anledning att anta att de under häktning eller verkställighet av fängelsestraff kan komma att utöva allvarlig brottslig verksamhet tillsammans med andra, göra sig skyldiga till hets mot folkgrupp eller vissa andra brott mot allmän verksamhet, allvarligt störa ordningen inom häktet eller anstalten, delta i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet eller förbereda rymning eller fritagning. Säkerhetsregistret får enligt 41 § första stycket föras för att samla, bearbeta och analysera information som ger underlag för åtgärder för att upprätthålla säkerheten eller förebygga brott. Registret får innehålla de uppgifter som behövs för det. Enligt andra stycket ska säkerhetsregistret innehålla skälen för registreringen, med särskilt angivande av de omständigheter som ger anledning till ett sådant antagande som avses i 40 §, och upplysning om varifrån uppgifterna kommer och, om det inte är obehövligt, en bedömning av uppgiftslämnarens trovärdighet. I 43 och 44 §§ finns det bestämmelser om direktåtkomst till uppgifter i och utlämnande av uppgifter ur säkerhetsregistret. I 45 § regleras gallring av uppgifter i registret.

13.4.2 Hur bör den framtida regleringen se ut?

Både det centrala kriminalvårdsregistret och säkerhetsregistret innehåller uppgifter om ett stort antal registrerade. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av personliga förhållanden. Det skydd som bestämmelsen ger får endast begränsas genom lag och under vissa förutsättningar (2 kap. 20 och 21 §§ regeringsformen). I förarbetena pekas bl.a. på att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll normalt ska regleras i lag (se prop. 2009/10:80 s. 183). Det kan ifrågasättas om inte de två större register som Kriminalvården för bör regleras i lag, både med hänsyn till antalet registrerade och karaktären av de uppgifter som registreras (jfr Behandling av personuppgifter inom kriminalvården, prop. 2000/01:126, s. 21). Det har inte ingått i utredningens uppdrag att göra en materiell översyn av de författningar som berörs av brottsdatalagen utan enbart att anpassa dem till den lagen. Det har emellertid stått utredningen fritt att ta upp och lämna förslag i närliggande frågor som aktualiseras under utredningsarbetet. Utredningen har lämnat förslag som rör säkerhetsregistret och gör därutöver bedömningen att det finns ett behov av en översyn avseende det centrala kriminalvårdsregistret, en bedömning som delas av Datainspektionen . En sådan översyn kräver dock ytterligare analyser, bl.a. på grund av att regleringen av vilka uppgifter som får föras i registret är svåröverskådlig och att behovet av registrering och informationsutbyte behöver analyseras närmare. Det låter sig inte göras inom ramen för detta lagstiftningsärende. 276

13.5 Säkerhetsregistret

13.5.1 Reglering i lag

Regeringens förslag: Det ska i lagen föreskrivas att Kriminalvården får föra ett säkerhetsregister. I säkerhetsregistret ska personuppgifter få behandlas i syfte att 1. förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet, och 2. säkerställa ordning och säkerhet på häkten, i kriminalvårdsanstalter och i annan verksamhet som Kriminalvården bedriver.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Behandling av personuppgifter i register med många registrerade eller känsligt innehåll regleras inom brottsdatalagens tillämpningsområde huvudsakligen i lag. Säkerhetsregistret innehåller personuppgifter av sådant slag att åtminstone huvuddragen bör regleras i lag. Det bör således av lagen framgå att Kriminalvården får föra ett säkerhetsregister. Syftet med registret bör vara att Kriminalvården ska kunna förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet som Kriminalvården ansvarar för. Uppgifterna i registret bör också kunna användas i syfte att säkerställa ordning och säkerhet på häkten, i kriminalvårdsanstalter och i annan verksamhet som Kriminalvården bedriver. Att även annan verksamhet omfattas är viktigt med tanke på kriminalvårdens frivårdsverksamhet och att fängelsestraff till stor del kan verkställas utanför anstalt. När rätten att föra säkerhetsregistret lagregleras bör också de bestämmelser om registret som i motsvarande fall brukar finnas i lag tas in i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. Det gäller bestämmelser om innehållet i registret, sökning på känsliga personuppgifter, vilka som får medges direktåtkomst och hur länge personuppgifterna får behandlas. Vissa detaljer beträffande säkerhetsregistret bör dock alltjämt regleras i förordning.

13.5.2 Registrering av häktade och intagna

Regeringens förslag: I säkerhetsregistret ska uppgifter få behandlas om en person som är häktad eller verkställer ett fängelsestraff och som är eller har varit placerad på en säkerhetsavdelning. I registret ska även uppgifter få behandlas om en person som är häktad eller verkställer fängelsestraff, om det finns risk för att han eller hon 1. under häktning eller verkställighet av ett fängelsestraff begår brott som inte är ringa eller utövar brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller mer, 2. förbereder rymning eller försöker rymma, 3. blir föremål för fritagning, 277

4. bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt, eller 5. under häktning eller verkställighet av ett fängelsestraff utsätts för våld eller hot.

Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen tillstyrker att de personer som i dag får registreras i säkerhetsregistret även fortsättningsvis ska få registreras. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

En riskbedömning blir avgörande för om registrering i säkerhetsregistret ska få ske Säkerhetsregistret bör i allt väsentligt omfatta uppgifter om samma kategorier av häktade och intagna som i dag. Det bör således inte omfatta uppgifter om alla häktade eller intagna utan enbart de som är häktade eller intagna för de syften som anges i brottsdatalagen och som bedöms medföra särskilda säkerhetsrisker. De personkategorier som i dag anges i 39 och 40 §§ förordningen om behandling av personuppgifter inom kriminalvården kan medföra sådana särskilda risker vid verkställigheten eller för häktesverksamheten att behandling av personuppgifter i säkerhetsregistret är motiverad. Regleringen bör dock moderniseras och göras generell. Regeringen instämmer i utredningens bedömning att regleringen bör utgå från vilka personer som kan medföra säkerhetsrisk under verkställigheten och en bedömning av den risken. Rekvisitet risk förekommer i olika typer av lagstiftning. Det används t.ex. i 4 § lagen (2006:45) om omvandling av fängelse på livstid. Det är också ett centralt rekvisit i 24 kap. 1 § och 25 kap. 1 § rättegångsbalken för när vissa straffprocessuella tvångsmedel får användas. Enligt 23 och 24 a §§ polislagen ska likaså en bedömning av risken för att något inträffar göras. Ett annat exempel är bestämmelsen i 4 kap. 12 § andra stycket utsökningsbalken. Inom Kriminalvården är man van vid att göra olika former av riskbedömningar, se t.ex. 2 kap. 4 §, 10 kap. 1 och 2 §§ och 11 kap. 1–5 §§ fängelselagen (2010:610). Regeringen anser därför att förutsättningen för att registrera någon i säkerhetsregistret som huvudregel ska utgå från en riskbedömning.

Häktade och intagna som är eller har varit placerade på säkerhetsavdelning I dag är placering på säkerhetsavdelning enligt 39 § 1 förordningen om behandling av personuppgifter inom kriminalvården en grund för registrering i säkerhetsregistret. Förutsättningarna för placering på säkerhetsavdelning anges i 2 kap. 4 § fängelselagen. Sådan placering förutsätter antingen varaktig risk för rymning eller fritagning och att det kan antas att den intagne är särskilt benägen att fortsätta brottslig verksamhet eller att det finns särskild anledning att anta att placeringen behövs för att hindra den intagne från allvarlig brottslig verksamhet under anstaltsvistelsen. Om omständigheterna är sådana att det finns grund för placer- 278 ing på en säkerhetsavdelning, bör också förutsättningarna för behandling

av personuppgifter i säkerhetsregistret vara uppfyllda. Personuppgifter om någon som är häktad eller intagen och är eller har varit placerad på en säkerhetsavdelning bör därför få behandlas i säkerhetsregistret.

Risk för brott som inte är ringa eller att brottslig verksamhet utövas Enligt 39 § 2 förordningen om behandling av personuppgifter inom kriminalvården får personuppgifter behandlas i säkerhetsregistret bl.a. om någon under tid i häkte eller under verkställighet gjort sig skyldig till allvarligt hot eller våld mot personal eller andra intagna. Enligt 39 § 3 får uppgifter även behandlas om någon befattat sig med narkotika som inte varit avsedd för eget bruk. Vidare får, enligt 40 §, uppgifter behandlas i säkerhetsregistret om häktade eller intagna om det finns särskild anledning att anta att de under den tid som häktningen eller verkställigheten av fängelsestraffet pågår tillsammans med andra kan komma att utöva allvarlig brottslig verksamhet (punkt 1), göra sig skyldig till vissa särskilda brott (punkt 2) eller delta i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet (punkt 4). Med allvarlig brottslighet avses enligt 2 § förordningen om behandling av personuppgifter inom kriminalvården verksamhet som innefattar brott för vilket är föreskrivet fängelse i två år eller däröver. Enligt regeringens mening bör nuvarande bestämmelser vara utgångspunkten för i vilka fall personer får registreras i säkerhetsregistret. Regleringen bör dock göras mer generell. Det nuvarande kravet att någon ska ha gjort sig skyldig till våld eller hot kan uppfattas som att det krävs en straffrättslig prövning för att personuppgifter ska få behandlas, vilket knappast kan ha varit avsikten. Det bör därför vara tillräckligt att det finns risk för att en häktad eller intagen begår brott, t.ex. utsätter personal eller andra intagna för hot eller våld. Om det finns risk för att personer begår brott på häkte eller under verkställighet av fängelsestraff, bör uppgifter om dem få behandlas i säkerhetsregistret om det är fråga om brott som kan antas påverka vistelsen på häktet eller i anstalten eller annars påverka Kriminalvårdens verksamhet. Det finns andra typer av brott än de som i dag räknas upp i förordningen som kan skapa säkerhetsrisker. Som exempel kan nämnas att brott som rör dopningsmedel kan innebära en minst lika stor risk för säkerheten och ordningen under verkställigheten som brott som rör narkotika. En mer generell reglering ger Kriminalvården bättre förutsättningar att reagera bl.a. mot pågående brott eller brottslig verksamhet. I princip kan alla typer av brott som en häktad eller intagen begår på ett häkte eller under verkställighet i anstalt eller motsvarande innebära risk för att han eller hon begår nya brott i den miljön. Det ter sig dock inte rimligt att ringa brott, t.ex. snatteri eller andra brott som har ett lågt straffvärde, skulle få sådana konsekvenser. Därför bör endast brott som inte är ringa kunna läggas till grund för registrering i säkerhetsregistret. Av samma skäl bör endast risk för utövande av brottslig verksamhet av allvarligare slag kunna föranleda registrering. Begreppet brottslig verksamhet förekommer även i fängelselagen, t.ex. i 2 kap. 4 § som reglerar förutsättningarna för placering i säkerhetsavdelning och 7 kap. 10 § om besök m.m. Med brottslig verksamhet av allvarligare slag avses brott där två års fängelse eller mer ingår i straffskalan. Det motsvarar det krav för

registrering som gäller i dag (se 2 § förordningen om behandling av personuppgifter i kriminalvården).

Risk för rymning eller fritagning Enligt 39 § 4 förordningen får personuppgifter behandlas i säkerhetsregistret om den som har rymt eller fritagits från häkte eller kriminalvårdsanstalt eller har förberett eller gjort försök till rymning eller fritagning. Enligt 40 § 5 får säkerhetsregistret även omfatta häktade eller intagna om det finns särskild anledning att anta att de under den tid som häktningen eller verkställigheten av fängelsestraffet pågår tillsammans med andra kan komma att förbereda rymning eller fritagning. Dessa kategorier bör liksom i dag kunna registreras. Regleringen bör utgå från risken för att personen rymmer eller blir föremål för fritagning. Har en rymning eller fritagning inträffat får det anses föreligga risk för framtida rymning eller fritagning, om inte omständigheterna talar emot det.

Risk för allvarliga ordningsstörningar Enligt 39 § 5 förordningen får personuppgifter registreras om en häktad eller intagen som under tid i häkte eller under verkställighet av ett fängelsestraff misstänks för att ha deltagit i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet. Enligt 40 § får säkerhetsregistret även omfatta häktade eller intagna om det finns särskild anledning att anta att de under den tid som häktningen eller verkställigheten av fängelsestraffet pågår tillsammans med andra kan komma att allvarligt störa ordningen inom häktet eller anstalten (punkt 3) eller delta i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet (punkt 4). Användningen av uttrycket misstänks i 39 § kan ge intryck av att deltagande i nätverk är kriminaliserat i sig, vilket inte är fallet. Grunden för registrering bör därför uttryckas annorlunda. Regleringen bör utgå från behovet av att förebygga allvarliga ordningsstörningar och annat som kan äventyra säkerheten på häkten och i kriminalvårdsanstalter. Om det finns risk för att en person på något sätt bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt under verkställigheten bör det kunna vara grund för behandling av personuppgifter i säkerhetsregistret.

Risk för våld eller hot mot häktade eller intagna I dag har Kriminalvården inte rätt att behandla uppgifter i säkerhetsregistret om häktade eller intagna som inte själva utgör säkerhetsrisker men som riskerar att utsättas för våld eller hot av andra häktade eller intagna. Oftast kan ett hot härledas till andra häktade eller intagna och därmed utgöra en grund för att behandla personuppgifter om dem. Det kan emellertid ibland finnas en allvarlig hotbild mot en häktad eller intagen, samtidigt som det saknas kunskap om vem eller vilka som ligger bakom hotet. Det är då viktigt att Kriminalvården kan ta hänsyn till hotbilden vid placering och transporter, för att undvika att den häktade eller intagne utsätts för brott under verkställigheten. Det kan också ha betydelse för vilka säkerhetsåtgärder och andra åtgärder som krävs för att möta hotet och hur personalen bör dimensioneras vid ett visst tillfälle. 280 Att det finns risk för att en häktad eller intagen utsätts för våld eller hot

bör således enligt regeringens mening också kunna utgöra grund för behandling av personuppgifter i säkerhetsregistret. Det följer av 2 kap. 9 § brottsdatalagen att det genom en särskild upplysning ska tydliggöras att personen i fråga inte själv utgör en säkerhetsrisk.

13.5.3 Registrering när det finns risk för att en person utövar våld eller hot

Regeringens förslag: I säkerhetsregistret ska uppgifter få behandlas om en person som verkställer en påföljd inom kriminalvården, om det finns risk för att han eller hon utövar våld eller hot mot eller otillbörlig påverkan på personal eller andra personer som uppehåller sig i kriminalvårdens lokaler.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen , som avstyrker förslaget, saknar en analys av vilka effekter en sådan registrering kan få på den personliga integriteten. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I dag har Kriminalvården ingen rätt att behandla personuppgifter i säkerhetsregistret om andra än häktade och intagna, trots att det kan finnas personer som utgör säkerhetsrisker i Kriminalvårdens övriga verksamhet. Det finns enligt utredningens mening behov av att i vissa fall kunna behandla uppgifter om personer oavsett vilken påföljd de avtjänar dels för att de ska kunna bemötas på rätt sätt, dels för att trygga personalens och andra klienters säkerhet. Även Kriminalvården har lyft den frågan. Myndigheten har i en skrivelse till regeringen daterad den 26 juni 2017, kopplad till frågan om säkerheten i frivården, anfört att frivården kommer i kontakt med personer som är alltmer kriminellt belastade och att det bland frivårdens klienter återfinns de som varit häktade och i anstalt klassats som högriskintagna vad gäller hot och våld (Ju2013/04149/L5). Datainspektionen anför att även om det kan antas att Kriminalvården har ett behov av att registrera dessa personer, saknas det en analys av vilka effekter en sådan registrering kan få på den personliga integriteten. Regeringen instämmer i utredningens bedömning när det gäller behovet av en utvidgning avseende vilka personer som får registreras. I syfte att nå en rimlig avvägning mellan Kriminalvårdens intresse av att få behandla de aktuella uppgifterna och skyddet för den enskildes personliga integritet bör dock, som utredningen föreslår, förutsättningarna för att få behandla uppgifter i säkerhetsregistret på denna grund vara snävare än i övriga fall. Det bör därför krävas att det finns risk för att klienten riktar hot mot eller utövar våld mot eller otillbörlig påverkan på personal, klienter eller andra personer. Regleringen bör täcka angrepp mot både kriminalvårdens personal och andra som befinner sig i kriminalvårdens lokaler.

13.5.4 Registrering avseende andra

Regeringens förslag: Om det är absolut nödvändigt för ändamålet med behandlingen ska uppgifter om en person som har personlig anknytning till eller annan nära förbindelse med en registrerad få behandlas i säkerhetsregistret. Om personen inte är häktad eller verkställer fängelsestraff ska det framgå genom en särskild upplysning.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det krävs mycket noggranna överväganden för att utvidga registreringen till att omfatta även personer som har en personlig anknytning eller annan nära förbindelse till den som finns registrerad och avstyrker förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Även den häktades eller intagnes kontakter med omvärlden, t.ex. besök och annan kommunikation, kan vara förknippade med säkerhetsrisker. Utredningen föreslår därför att Kriminalvården bör få behandla uppgifter om vissa andra personer i säkerhetsregistret. Utredningens förslag innebär att registrering av andra personer än häktade och intagna bör kunna avse personer som den registrerade får besök av eller på annat sätt håller kontakt med. Behovet av registrering rör i första hand anhöriga eller andra som har en personlig anknytning till den registrerade. Det är störst risk att intagna försöker påverka närstående att t.ex. medföra otillåtna föremål till häkten eller kriminalvårdsanstalter. Även andra personer som på något sätt har en nära förbindelse med den registrerade kan på motsvarande sätt leda till säkerhetsrisker. Det kan t.ex. vara fråga om personer som har begått brott tillsammans. Det kan även röra sig om personer som tillhör samma kriminella nätverk eller våldsbejakande extremistiska rörelse. Regleringen bör däremot inte omfatta personer som har professionella kontakter med registrerade, exempelvis advokater. Regeringen instämmer i utredningens bedömning avseende behovet av att få behandla uppgifter i säkerhetsregistret i de nu aktuella fallen. I syfte att uppnå en lämplig avvägning mellan Kriminalvårdens behov av uppgifterna och skyddet för den enskildes personliga integritet anser regeringen, i likhet med utredningen, att det bör ställas väsentligt högre krav för registrering på denna grund. Ett grundläggande krav för registrering bör vara att personuppgiftsbehandlingen är absolut nödvändig för ändamålet med behandlingen. Det innebär att bestämmelsen ska tillämpas restriktivt. Det kan exempelvis vara absolut nödvändigt att behandla personuppgifter om någon som försökt arrangera fritagning eller försökt föra in eller har fört in otillåtna föremål på ett häkte eller i en kriminalvårdsanstalt. Det är viktigt att den som tar del av uppgifter i säkerhetsregistret får vetskap om det är den registrerade som utgör säkerhetsrisken eller om registreringen gjorts av något annat skäl. Enligt 2 kap. 9 § brottsdatalagen ska olika personkategorier kunna särskiljas. Det kravet gäller även för dem som registreras i säkerhetsregistret. Den regleringen täcker t.ex. den situationen att en intagen utgör ett hot mot en annan intagen. Den täcker emellertid inte behovet av att kunna skilja ut personer som regi- 282

streras på grund av deras anknytning till någon som förekommer i säkerhetsregistret. För att det tydligt ska framgå om personerna inte själva är häktade eller verkställer fängelsestraff, utan är personer med anknytning till en sådan person, bör registreringen förses med en särskild upplysning om det.

13.5.5 Sökning i känsliga personuppgifter

Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Sökförbudet i 2 kap. 14 § brottsdatalagen utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen. Enligt 41 § tredje stycket andra meningen förordningen om behandling av personuppgifter inom kriminalvården får känsliga personuppgifter användas som sökbegrepp för sökning i säkerhetsregistret. Kriminalvården har även i fortsättningen behov av att kunna använda känsliga personuppgifter vid sökning i personuppgifter i säkerhetsregistret. Det bör därför göras undantag i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område från det generella sökförbudet i brottsdatalagen. För att kunna placera intagna och av hänsyn till de intagnas och personalens säkerhet har Kriminalvården behov av att kunna göra sökning i syfte att få fram urval av personer grundade på de flesta kategorier av känsliga personuppgifter. Det kan dock aldrig finnas behov av att söka på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se lagrådsremissen Brottsdatalag, avsnitt 8.1.4). Kriminalvården har inte heller behov av att kunna göra sökning i syfte att få fram ett urval av personer grundat på medlemskap i fackförening eller biometriska eller genetiska uppgifter. Sådana sökningar bör därför inte vara tillåtna. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i säkerhetsregistret begränsas i förhållande till vad som gäller i dag.

13.5.6 Direktåtkomst och annat utlämnande

Regeringens förslag: Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten ska få medges direktåtkomst till personuppgifter i säkerhetsregistret.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. 283

Skälen för regeringens förslag

Direktåtkomst till uppgifter i säkerhetsregistret Enligt 44 § förordningen om behandling av personuppgifter inom kriminalvården får rikspolischefen, säkerhetspolischefen och de personer som respektive chef utser ha direktåtkomst till uppgifter om huruvida en person är registrerad i säkerhetsregistret. Polismyndigheten och Säkerhetspolisen får i sin tur lämna ut en sådan uppgift till Åklagarmyndigheten och Ekobrottsmyndigheten, om uppgiften kan antas ha särskild betydelse för en pågående undersökning i myndighetens brottsutredande verksamhet eller för andra brottsbekämpande åtgärder. Det finns ett behov att modernisera bestämmelsen om direktåtkomst till personuppgifter i säkerhetsregistret, bl.a. av det skälet att den detaljreglerar tillgången till uppgifterna och att den även reglerar mottagarens användning. Regeringen instämmer i utredningens bedömning att direktåtkomst bör ges till myndigheter i stället för enskilda befattningshavare. Det bör därför föreskrivas att Polismyndigheten och Säkerhetspolisen får medges direktåtkomst. Även Ekobrottsmyndigheten och Åklagarmyndigheten bör kunna medges direktåtkomst, så att samma krets som i dag även fortsättningsvis får tillgång till uppgifter i registret. Detaljerna kring direktåtkomst kan regleras i förordning. Skälet till att vissa befattningshavare pekas ut i 44 § får antas vara att endast en mycket begränsad krets ska ges tillgång till uppgifter i registret. I 3 kap. 6 § brottsdatalagen föreskrivs att den personuppgiftsansvarige ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Det gäller även uppgifter som en myndighet får tillgång till genom direktåtkomst. Som framgår av avsnitt 5.3.10 behövs därför inte längre bestämmelser som begränsar tillgången till uppgifter. Tillgången till personuppgifter i registret för Kriminalvårdens personal bör inte längre regleras genom en bestämmelse om direktåtkomst. Regleringen i 3 kap. 6 § brottsdatalagen är tillräcklig. Kriminalvården kan, förutom att begränsa behörigheten tekniskt, utfärda interna föreskrifter om tillgången om det anses nödvändigt. Någon ytterligare reglering av tillgången till personuppgifter i registret behövs därför inte. Det bör inte heller regleras hur mottagaren får behandla sådana personuppgifter. Det styrs av brottsdatalagen och den mottagande myndighetens registerförfattning.

Behovet av en sekretessbrytande bestämmelse Direktåtkomsten till uppgifter i säkerhetsregistret är i dag författningsreglerad. Frågan om det behövs sekretessbrytande bestämmelser för att kunna medge direktåtkomst övervägs normalt innan det införs möjlighet till direktåtkomst. Den frågan berördes emellertid inte i förarbetena till kriminalvårdens registerlagstiftning och förefaller hittills inte ha utgjort något problem. Att vissa bestämmelser om registret nu föreslås flyttas till lag gör dock att frågan om det krävs sekretessbrytande bestämmelser aktualiseras. Utredningen har inte haft utrymme att behandla den frågan. Det kan finnas anledning att återkomma till den frågan vid en översyn av kriminalvårdens registerlagstiftning. 284

13.5.7 Längsta tid som personuppgifter får behandlas

Regeringens förslag: Personuppgifter i säkerhetsregistret ska, trots det som sägs i brottsdatalagen, inte få behandlas längre än fem år efter det att 1. den registrerade blivit villkorligt frigiven från fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte, 2. den registrerade helt har verkställt en påföljd inom kriminalvården, eller 3. den person som en registrerad har personlig anknytning till eller annan nära förbindelse med, har blivit villkorligt frigiven från fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår ingen längsta tid som personuppgifter får behandlas i de fall uppgifter behandlas avseende en person som verkställer en påföljd inom kriminalvården och det finns risk för våld eller hot eller i fall där personuppgifter behandlas avseende en person som har en personlig anknytning till eller annan nära förbindelse med en registrerad. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 45 § förordningen om behandling av personuppgifter inom kriminalvården ska uppgifter i säkerhetsregistret gallras senast fem år efter det att den registrerade har frigetts från häkte eller blivit frigiven. Om villkorlig frigivning inte har ägt rum ska uppgifterna gallras senast fem år efter att den registrerade helt verkställt fängelsestraffet. En bestämmelse med motsvarande innehåll bör tas in i lagen. Bestämmelsen syftar till att skydda enskildas integritet och är därför inte en gallringsbestämmelse i arkivrättslig mening. Den bör av de skäl som anges i avsnitt 5.5 i stället ange hur länge personuppgifter i registret får behandlas. Utöver utredningens förslag bör det även anges vilken längsta tid som personuppgifter får behandlas i de fall när behandlingen görs med stöd av att det finns risk för att en person utövar våld eller hot eller registrering avseende andra.

13.5.8 Rätt att meddela föreskrifter

Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om innehållet i säkerhetsregistret och utlämnande av personuppgifter ur registret.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för utredningens förslag: Enligt 41 § förordningen om behandling av personuppgifter inom kriminalvården ska säkerhetsregistret innehålla uppgift om bl.a. skälen för registreringen och ytterligare upplysningar om omständigheterna kring registreringen. I 43 och 44 §§ finns bestämmelser om utlämnande av personuppgifter ur registret. 285

Vissa bestämmelser om innehållet i säkerhetsregistret och utlämnande av uppgifter ur registret bör även fortsättningsvis finnas i förordning. Det bör därför framgå av lagen att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter i sådana frågor.

13.6 Bestämmelser som inte längre behövs i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område

Regeringens förslag: Vissa bestämmelser behövs inte längre i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område och ska därför upphävas. Detta avser bestämmelser om 1. att känsliga personuppgifter inte får användas som sökbegrepp om inte regeringen har föreskrivit det, 2. tillgång till personuppgifter vid direktåtkomst, 3. omprövning av beslut, och 4. överklagande. Det ska införas en bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Sökning på känsliga personuppgifter I 2 kap. 14 § brottsdatalagen finns ett generellt förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Mot bakgrund av att brottsdatalagen innehåller ett generellt sökförbud bör bestämmelsen i 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården om förbud mot att använda känsliga personuppgifter som sökbegrepp upphävas. I avsnitt 13.5.5 föreslås en särskild regel om sökning i säkerhetsregistret.

Tillgången till personuppgifter Enligt 3 kap. 6 § brottsdatalagen ska den personuppgiftsansvarige se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Eftersom det finns en bestämmelse i brottsdatalagen som begränsar tillgången till personuppgifter föreslås i avsnitt 5.3.10 att sådana bestämmelser i registerförfattningarna ska upphävas. Enligt 6 § första stycket lagen om behandling av personuppgifter inom kriminalvården ska direktåtkomst till de personuppgifter som behandlas enligt lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminalvården behöver tillgång till uppgifterna. Bestämmelsen fyller samma funktion som 3 kap. 6 § brottsdatalagen och bör därför upphävas. Av 6 § andra stycket lagen om behandling av personuppgifter inom kriminalvården följer att 10 § gäller i fråga om direktåtkomst till upp- 286 gifter som får lämnas ut till en annan myndighet. Där föreskrivs att

direktåtkomst till personuppgifter ska förbehållas de personer som på grund av sina arbetsuppgifter behöver tillgång till dem. Med hänsyn till regleringen i 3 kap. 6 § brottsdatalagen finns det inte behov av en bestämmelse om tillgången till personuppgifter hos andra behöriga myndigheter. Bestämmelsen bör därför upphävas.

Omprövning Enligt 13 § lagen om behandling av personuppgifter inom kriminalvården får Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen inte överklagas innan beslutet har omprövats av Kriminalvården. Omprövning får begäras av den som beslutet angår om det har gått honom eller henne emot. Överklagande av ett beslut som inte har omprövats ska enligt 13 § ses som en begäran om omprövning. Vid omprövningen får beslutet inte ändras till den enskildes nackdel. I 14 och 15 §§ anges formkraven för begäran om omprövning och rättidsprövning. Omprövningsförfarandet tillkom i samband med att Kriminalvården blev en myndighet. Syftet var bl.a. att begränsa antalet överklaganden och undvika att måltillströmningen till de allmänna förvaltningsdomstolarna ökade (se prop. 2004/05:176 s. 61 f.). Varken direktivet eller brottsdatalagen ställer krav på att ett beslut ska omprövas innan det får överklagas. I övriga registerförfattningar föreskrivs inte heller något omprövningsförfarande. Det saknas därför anledning att fördröja överklagandena genom krav på omprövning. Omprövningsförfarandet bör därför tas bort och samtliga bestämmelser som rör det upphävas.

Överklagande I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket eller begränsning av behandlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information enligt 4 kap. 3 eller 4 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge omprövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Av överklagandebestämmelsen framgår även att det krävs prövningstillstånd vid överklagande till kammarrätten och att beslut av regeringen, Högsta domstolen, Högsta förvaltningsdomstolen och riksdagens ombudsmän inte får överklagas. Eftersom det finns generella bestämmelser om överklagande i brottsdatalagen bör bestämmelsen i 12 § lagen om behandling av personuppgifter inom kriminalvården om att beslut om rättelse och om information enligt 26 § personuppgiftslagen överklagas hos allmän förvaltningsdomstol upphävas. Det bör i stället införas en bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen.

Den särskilda forumbestämmelsen Enligt 14 § lagen (1971:289) om allmänna förvaltningsdomstolar ska beslut överklagas till en förvaltningsrätt, om det i lag eller annan författning föreskrivs att talan ska väckas vid eller beslut överklagas till allmän 287

förvaltningsdomstol. Som huvudregel ska ett beslut överklagas till den förvaltningsrätt inom vars domkrets ärendet först prövats. I 16 § lagen om behandling av personuppgifter inom kriminalvården finns en särskild forumbestämmelse. Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen ska överklagas till den förvaltningsrätt inom vars domkrets den kriminalvårdsanstalt, det häkte eller det frivårdskontor är beläget där den enskilde var inskriven när det första beslutet i ärendet fattades. Beslut som gäller en person som inte är inskriven vid en kriminalvårdsanstalt, ett häkte eller ett frivårdskontor i landet ska överklagas till den förvaltningsrätt som regeringen bestämmer. Enligt 7 d § 2 förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m. ska beslut av Kriminalvården som överklagas till en förvaltningsrätt tas upp av Förvaltningsrätten i Linköping om beslutet gäller en person som inte är inskriven vid en kriminalvårdsanstalt, ett häkte eller ett frivårdskontor i landet och beslutet avser bl.a. ärenden enligt lagen om behandling av personuppgifter inom kriminalvården. Den särskilda forumbestämmelsen tillkom i samband med att Kriminalvården blev en myndighet. Syftet var att så långt möjligt sprida målen över landets samtliga förvaltningsdomstolar (se prop. 2004/05:176 s. 67). Regeringen bedömer att det i dag inte finns något behov av en särskild forumbestämmelse för överklagande av beslut som rör personuppgiftsbehandling. Någon motsvarande bestämmelse finns varken i brottsdatalagen eller i övriga registerförfattningar. Den särskilda forumbestämmelsen bör därför upphävas. Det innebär att de allmänna bestämmelserna om forum ska tillämpas vid överklagande av beslut som meddelas inom kriminalvården.

14 Register över tillträdesförbud vid idrottsarrangemang

14.1 Nuvarande reglering

14.1.1 Tillträdesförbudsregistret

Förutsättningarna för beslut om tillträdesförbud Enligt 1 § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang får en person förbjudas att få tillträde till och vistas på en inhägnad plats som huvudsakligen är avsedd för idrottsutövning när idrottsarrangemang anordnas på platsen av en idrottsorganisation, s.k. tillträdesförbud. Det gäller även om allmänheten har tillträde till platsen. För att en person ska kunna meddelas tillträdesförbud ska det på grund av särskilda omständigheter finnas risk att han eller hon kommer att begå brott under idrottsarrangemang som anordnas av en idrottsorganisation på en inhägnad plats huvudsakligen avsedd för idrottsutövning och att brottet är ägnat att störa ordningen eller säkerheten där.

Frågor om tillträdesförbud prövas av åklagare, som kan utfärda tillträdesförbud för viss tid, högst tre år med möjlighet till förlängning. Åklagarens beslut kan prövas av allmän domstol. Den som bryter mot ett tillträdesförbud döms för överträdelse av tillträdesförbud till böter eller fängelse i högst sex månader.

Tillträdesförbudsregistrets syfte och innehåll I samband med att reglerna om tillträdesförbud skärptes år 2015 infördes särskilda regler om registrering av sådana förbud. Lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang syftar enligt 1 § till att ge dels Polismyndigheten, dels idrottsorganisationer möjlighet att behandla personuppgifter för att på ett ändamålsenligt sätt kunna upprätthålla gällande beslut om tillträdesförbud vid idrottsarrangemang. Lagen gäller enligt 4 § utöver personuppgiftslagen. Det innebär att om det inte finns avvikande bestämmelser i lagen eller föreskrifter som har meddelats med stöd av den ska personuppgiftslagen tillämpas. Polismyndigheten för enligt 2 § ett särskilt register, tillträdesförbudsregistret. Det får enligt 8 § endast innehålla de uppgifter om en person som har meddelats tillträdesförbud som behövs för de ändamål för vilka Polismyndigheten får föra registret och som avser namn, personnummer eller samordningsnummer, folkbokföringsadress och annan stadigvarande adress, alias, fotografi, anknytning till idrott och idrottsorganisation, omfattningen och giltighetstiden av beslut om tillträdesförbud, och överträdelse av gällande tillträdesförbud. En uppgift i tillträdesförbudsregistret ska enligt 12 § gallras om uppgiften inte längre behövs för något av de ändamål för vilka Polismyndigheten får behandla personuppgifter enligt lagen. Uppgifterna ska dock gallras senast när tillträdesförbudets giltighetstid löper ut eller om tillträdesförbudet dessförinnan upphävs.

14.1.2 Polismyndighetens roll

Enligt 3 § gäller lagen vid Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret. Lagen gäller vid behandling som är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Polismyndigheten är enligt 5 § personuppgiftsansvarig för den personuppgiftsbehandling som myndigheten utför enligt lagen. Polisdatalagen är tillämplig på behandling av personuppgifter som rör tillträdesförbud och som inte utförs i tillträdesförbudsregistret. Polisdatalagen tillämpas således dels i sådana utredningar som ska föregå beslut om tillträdesförbud, dels vid utredning av överträdelser av tillträdesförbud. Polismyndigheten får enligt 6 § behandla personuppgifter i tillträdesförbudsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud. Personuppgifter som behandlas enligt 6 § får också behandlas av Polismyndigheten för att dels tillhandahålla idrottsorganisationer den information som behövs för att de ska kunna upprätthålla gällande tillträdesförbud, dels fullgöra myndig- 289

hetens uppgiftslämnande enligt lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen. Personuppgifter får enligt 10 § lagen om register över tillträdesförbud vid idrottsarrangemang lämnas ut på medium för automatiserad behandling. Enligt 11 § ska tillgången till personuppgifter begränsas till vad den som arbetar vid Polismyndigheten behöver för att kunna fullgöra sina arbetsuppgifter. Polismyndighetens behandling av personuppgifter enligt lagen är åtminstone delvis brottsbekämpande (se Register över tillträdesförbud vid idrottsarrangemang, prop. 2013/14:254 s. 43).

14.1.3 Idrottsorganisationernas roll

En idrottsorganisation får enligt 7 § lagen om register över tillträdesförbud vid idrottsarrangemang behandla personuppgifter från tillträdesförbudsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud vid ett idrottsarrangemang som organisationen anordnar. En sådan organisation har också enligt 9 § rätt att ta del av uppgifter i tillträdesförbudsregistret trots att det enligt 35 kap. 4 a § offentlighets- och sekretesslagen gäller sekretess för uppgifterna. Tillgången till personuppgifter ska enligt 11 § begränsas till vad den som arbetar eller utför uppdrag åt en idrottsorganisation behöver för att kunna fullgöra arbetsuppgifterna eller uppdraget. En uppgift som en idrottsorganisation har fått tillgång till från tillträdesförbudsregistret ska enligt 13 § tas bort om uppgiften inte längre behövs för de ändamål för vilka idrottsorganisationen får behandla uppgifter. Uppgifterna ska dock tas bort senast när tillträdesförbudets giltighetstid löper ut eller om tillträdesförbudet dessförinnan upphävs. Den som arbetar eller utför uppdrag åt en idrottsorganisation och som tar befattning med en uppgift som har inhämtats med stöd av lagen får enligt 14 § inte obehörigen röja vad han eller hon fått veta om någon enskilds personliga förhållanden. Tystnadsplikten har ett vidare tillämpningsområde och träffar inte bara den som behandlar personuppgifter (se prop. 2013/14:254 s. 25).

14.2 Två olika regleringar

Regeringens förslag: Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret ska regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Lagen om register över tillträdesförbud vid idrottsarrangemang ska i fortsättningen endast reglera idrottsorganisationernas behandling av personuppgifter och benämnas lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud. Bestämmelserna i lagen som rör Polismyndighetens personuppgiftsbehandling ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Svenska fotbollförbundet och Riksidrottsförbundet har tillstyrkt förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Ändrade förutsättningar EU:s dataskyddsreform medför skillnader mellan behandling av personuppgifter som regleras i brottsdatalagen och dataskyddsförordningen. Det får framför allt betydelse för anpassningen av sådana författningar som reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde. Hit hör lagen om register över tillträdesförbud vid idrottsarrangemang, eftersom den både reglerar Polismyndighetens och idrottsorganisationernas behandling av personuppgifter. Idrottsorganisationernas behandling av personuppgifter enligt lagen ligger utanför brottsdatalagens tillämpningsområde, eftersom någon myndighetsutövning inte har överlåtits till dem. Det sagda innebär att idrottsorganisationer som utgångspunkt ska tilllämpa dataskyddsförordningen med kompletterande lagstiftning vid behandling av personuppgifter som härrör från tillträdesförbudsregistret. Som framgår av Dataskyddsutredningens betänkande finns det inget som hindrar att Sverige i viss utsträckning behåller särreglering även inom dataskyddsförordningens tillämpningsområde (se SOU 2017:39 s. 78 f.). Det finns starka skäl för att behålla den särskilda regleringen av hur idrottsorganisationer får behandla personuppgifter som härrör från tillträdesförbudsregistret. Det rör sig om uppgifter som kan vara integritetskänsliga. Är det fråga om uppgifter om överträdelse av tillträdesförbud avser uppgifterna lagöverträdelser. För att idrottsorganisationerna ska kunna behandla uppgifter om lagöverträdelser i samma utsträckning som i dag krävs det särreglering. Behöriga myndigheters behandling av personuppgifter som rör tillträdesförbud ligger inom brottsdatalagens tillämpningsområde, eftersom den inte bara omfattar brottsbekämpning utan även upprätthållande av allmän ordning och säkerhet. Bestämmelserna om Polismyndighetens personuppgiftsbehandling i tillträdesförbudsregistret behöver därmed anpassas till brottsdatalagen.

Bör dagens reglering behållas? Polismyndighetens och idrottsorganisationernas behandling av personuppgifter regleras idag i samma författning. Om samma lagtekniska lösning skulle gälla även fortsättningsvis måste Polismyndighetens personuppgiftsbehandling regleras så att bestämmelserna gäller utöver brottsdatalagen, medan idrottsorganisationernas personuppgiftsbehandling ska förhålla sig till dataskyddsförordningen och den svenska lagstiftning som kompletterar den. Det skulle i och för sig vara möjligt att skapa en sådan reglering, t.ex. genom att dela in lagen i kapitel och låta dem förhålla sig till respektive lagstiftning. Det är emellertid svårt att finna några övertygande skäl för att behålla en gemensam reglering. Varken handlägg-

ningsskäl eller effektivitetsskäl talar för det. Lagtekniska skäl talar också mot det, om det går att finna en annan rimlig lösning. För idrottsorganisationerna regleras framför allt hur uppgifter som härrör från tillträdesförbudsregistret får behandlas. Motsvarande regelverk finns normalt inte i de författningar som reglerar myndighetsregister. Även det talar mot att behålla den nuvarande författningsstrukturen. Den nuvarande regleringen bör sammanfattningsvis delas upp på två olika regelverk – ett för Polismyndighetens personuppgiftsbehandling och ett för idrottsorganisationernas personuppgiftsbehandling.

Polismyndighetens personuppgiftsbehandling bör regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område I dag undantas i 1 kap. 3 § polisdatalagen behandling av personuppgifter i bl.a. tillträdesförbudsregistret från lagens tillämpningsområde. Skälen för det är framför allt att lagen om register över tillträdesförbud vid idrottsarrangemang bara till viss del ansågs kunna hänföras till brottsbekämpning. För att inte fler än en författning skulle vara tillämplig på samma behandling av personuppgifter undantogs behandlingen i registret från polisdatalagens tillämpningsområde (se prop. 2013/14:254 s. 43). Även om lagstiftningen om tillträdesförbudsregistret är relativt ny finns det skäl att på nytt överväga frågan om bestämmelserna om Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret kan föras in i lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Det är möjligt att arbeta in bestämmelserna i den lagen när den genom dataskyddsreformen får ett bredare tillämpningsområde och även omfattar upprätthållande av allmän ordning och säkerhet. Det tidigare hindret mot att reglera all Polismyndighetens personuppgiftsbehandling i samma författning har därmed undanröjts. En förutsättning för att föra över regleringen till lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör dock vara att tillträdesförbudsregistret alltjämt regleras som ett särskilt register. Om bestämmelserna om Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret upphävs och motsvarande bestämmelser införs i lagen om polisens behandling av personuppgifter inom brottsdatalagens område kan lagen om register över tillträdesförbud vid idrottsarrangemang renodlas till att enbart omfatta idrottsorganisationernas personuppgiftsbehandling, vilket leder till en tydligare reglering

Idrottsorganisationernas personuppgiftsbehandling Den som anordnar en offentlig tillställning, exempelvis sporttävlingar, ansvarar enligt 2 kap. 16 § ordningslagen (1993:1617) för att det gäller god ordning vid tillställningen. Polismyndigheten får meddela de villkor som behövs för att upprätthålla ordning och säkerhet vid tillställningen. Ansvaret för att idrottsarrangemang kan anordnas på ett tryggt sätt med hög säkerhet för såväl aktiva som publik vilar alltså i första hand på de arrangerande idrottsorganisationerna (se prop. 2013/14:254 s. 19). Det är också de som ska se till att gällande tillträdesförbud respekteras. Det är av det skälet som idrottsorganisationerna ges tillgång till uppgifter om tillträdesförbud. Att arrangörerna har kännedom om vilka personer som har tillträdesförbud och kan identifiera dem vid inpasseringskontrollen 292

ger möjlighet att hindra att personer med tillträdesförbud släpps in när ett idrottsarrangemang äger rum. Enligt artikel 6.1 c dataskyddsförordningen är personuppgiftsbehandling tillåten om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt artikel 6.1 e är det vidare tillåtet att behandla personuppgifter om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Enligt artikel 6.3 ska den rättsliga grunden för sådan behandling som avses i artikel 6.1 c och 6.1 e fastställas i enlighet med unionsrätten eller nationell rätt. Idrottsorganisationernas uppgift att förebygga och förhindra ordningsstörningar vid idrottsarrangemang genom att se till att utfärdade tillträdesförbud får effekt innebär att idrottsorganisationerna utför en uppgift av allmänt intresse. Som redovisas närmare i förarbetena till lagen om register över tillträdesförbud vid idrottsarrangemang är det då nödvändigt att de kan behandla vissa personuppgifter rörande dem som har meddelats tillträdesförbud. Reglerna om idrottsorganisationernas rätt att behandla vissa personuppgifter i lagen bör därför behållas. Viss anpassning av bestämmelserna kan dock krävas. Idrottsorganisationernas personuppgiftsbehandling bör även fortsättningsvis regleras i lagen om register över tillträdesförbud vid idrottsarrangemang. Om lagen renodlas på det sättet att bestämmelserna om Polismyndighetens behandling av personuppgifter om tillträdesförbud i sin helhet regleras i lagen om polisens behandling av personuppgifter inom brottsdatalagens område bör dock namnet på lagen ändras. Den bör benämnas lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud.

14.3 Regleringen för Polismyndigheten

Regeringens förslag: De nuvarande bestämmelserna om rätten att föra tillträdesförbudsregistret, om för vilka ändamål personuppgifter får behandlas i registret, om dess innehåll, hur länge uppgifterna får behandlas, under vilka förutsättningar de får lämnas ut och om den sekretessbrytande bestämmelsen, ska flyttas till lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Svenska fotbollförbundet och Riksidrottsförbundet har tillstyrkt förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Syftet med Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret är sådant att det ligger inom brottsdatalagens tillämpningsområde. De nuvarande bestämmelserna om Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret bör oförändrade i sak föras över till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. De bör placeras i det kapitel där vissa andra register som myndigheten för särregleras. Härigenom kommer fortsättningsvis all behandling av personuppgifter som Polismyndigheten utför när det gäller tillträdesförbud att regleras i den lagen. 293

Många bestämmelser som i dag reglerar Polismyndighetens behandling av personuppgifter i tillträdesförbudsregistret blir emellertid överflödiga om regleringen flyttas till lagen om polisens behandling av personuppgifter inom brottsdatalagens område, eftersom motsvarande bestämmelser redan finns antingen i den lagen eller brottsdatalagen. Det gäller bl.a. bestämmelserna om att behandlingen enligt huvudregeln ska vara automatiserad, om personuppgiftsansvar och om tillgången till personuppgifter. De kan därför upphävas utan att ersättas. Det behövs inte heller någon särskild bestämmelse om rättelse eller skadestånd. De bestämmelser som bör flyttas, och i förekommande fall anpassas, är bestämmelserna om rätten att föra tillträdesförbudsregistret (2 §), för vilka ändamål personuppgifter får behandlas i registret (6 §), dess innehåll (8 §) och hur länge uppgifterna får behandlas (12 §). Någon förändring i sak bör inte göras, men bestämmelserna behöver anpassas till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Det innebär bl.a. att gallringsbestämmelsen, av de skäl som anges i avsnitt 5.5.2, bör göras om till en bestämmelse om längsta tid för behandling. Även den sekretessbrytande bestämmelsen, som ger idrottsorganisationer rätt att ta del av uppgifter ur registret trots den sekretess som gäller för sådana uppgifter (9 §), bör flyttas. Bestämmelsen, som bör placeras i 2 kap. tillsammans med övriga sekretessbrytande regler, bör inte ändras i sak. Förslagen kräver vissa följdändringar i förordningen (2015:54) om register över tillträdesförbud vid idrottsarrangemang.

14.4 Regleringen för idrottsorganisationerna

Regeringens förslag: En bestämmelse som anger hur lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud förhåller sig till dataskyddsförordningen och kompletterande nationell lagstiftning ska införas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Svenska fotbollförbundet och Riksidrottsförbundet har tillstyrkt förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Lagen om register över tillträdesförbud vid idrottsarrangemang gäller i dag utöver personuppgiftslagen. Den hänvisningen bör upphävas eftersom personuppgiftslagen upphör att gälla när dataskyddsförordningen ska börja tillämpas. Det bör i stället införas en bestämmelse som upplyser om att lagen kompletterar dataskyddsförordningen och att, om det inte finns särregler i lagen, dataskyddslagen ska gälla vid idrottsorganisationers behandling av uppgifter som rör tillträdesförbud. Hänvisningen till dataskyddsförordningen bör vara dynamisk till sin karaktär, vilket. innebär att den avser förordningen i den vid varje tidpunkt gällande lydelsen. Vidare bör gallringsbestämmelsen göras om till en bestämmelse om längsta tid för behandling. I övrigt kan bestämmelserna om idrottsorgani- 294 sationers behandling av personuppgifter behållas oförändrade. På grund

av att bestämmelserna om Polismyndighetens behandling av personuppgifter bryts ut krävs det omfattande redaktionella ändringar i lagen.

14.5 Följdändringar

Regeringens förslag: Hänvisningar till lagen om register över tillträdesförbud vid idrottsarrangemang ska ändras till hänvisningar till lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Svenska fotbollförbundet och Riksidrottsförbundet har tillstyrkt förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Sekretessen för uppgifter i tillträdesförbudsregistret Sekretessen för uppgifter i tillträdesförbudsregistret regleras i 35 kap. 4 a § offentlighets- och sekretesslagen. Den gäller i verksamhet som avser förande av register enligt lagen om register över tillträdesförbud vid idrottsarrangemang för uppgift om enskildas personliga förhållanden, om det inte står klart att uppgiften kan röjas utan men för den enskilde eller någon närstående. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år. När bestämmelserna om tillträdesförbudsregistret flyttas till lagen om polisens behandling av personuppgifter inom brottsdatalagens område, och regleras i 5 kap. (nuvarande 4 kap.) tillsammans med vissa andra register, kan det diskuteras om den särskilda sekretessbestämmelsen behövs. Enligt 35 kap. 1 § offentlighets- och sekretesslagen gäller sekretess för bl.a. uppgift om enskilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i register som Polismyndigheten för enligt 4 kap. polisdatalagen. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år. Den särskilda sekretessbestämmelsen för tillträdesförbudsregistret är dock inte identisk med den som gäller för övriga register som nu regleras i 4 kap. polisdatalagen. Skaderekvisitet i 35 kap. 1 § är vidare och omfattar både skada och men. Föremålet för sekretessen skiljer sig också på det sättet att sekretessen i 35 kap. 4 a § enbart skyddar enskilds personliga förhållanden, medan sekretessen i 35 kap. 1 § skyddar enskilds personliga och ekonomiska förhållanden. Mot denna bakgrund bör den särskilda sekretessbestämmelsen för tillträdesförbudsregistret behållas men en hänvisning behöver ändras när regleringen flyttas.

Lagen och förordningen om tillträdesförbud vid idrottsarrangemang I 8 a § lagen om tillträdesförbud vid idrottsarrangemang föreskrivs att en polisman eller annan anställd vid Polismyndigheten får fotografera en person som har eller skäligen kan antas få tillträdesförbud enligt lagen, för att fotografiet ska kunna tillföras tillträdesförbudsregistret. Eftersom regleringen av tillträdesförbudsregistret flyttas bör hänvisningen till lagen om register över tillträdesförbud vid idrottsarrangemang ändras. Det krävs även ändringar i förordningen (2005:323) om tillträdesförbud vid idrottsarrangemang.

15 Övriga författningsändringar

15.1 Följdändringar i offentlighets- och sekretesslagen

Regeringens förslag: Hänvisningar i offentlighets- och sekretesslagen till de registerförfattningar som byter namn ska ändras. Hänvisningar till ändrade kapitel eller paragrafnummer ska också ändras. Hänvisningen till lagen om polisens allmänna spaningsregister ska upphävas.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Tidningsutgivarna har tillstyrkt förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Ett stort antal paragrafer i offentlighets- och sekretesslagen innehåller hänvisningar till en eller flera av de registerförfattningar som ska anpassas till brottsdatalagen. Det gäller 18 kap. 2 och 18 §§, 35 kap. 1 och 10 §§ och 37 kap. 7 §. I 35 kap. 1 och 10 §§ offentlighets- och sekretesslagen nämns polisens, Skatteverkets, Tullverkets, Kustbevakningens och åklagarväsendets registerförfattningar vid namn. Vissa av dem nämns på motsvarande sätt i 18 kap. 2 § offentlighets- och sekretesslagen. Eftersom registerförfattningarna ska få nya namn behöver hänvisningarna i dessa paragrafer ändras. Det gäller även hänvisningar till kapitel och paragrafer i vissa av lagarna. Ändringarna i polisdatalagen innebär vidare att kapitelnumreringen ändras. Hänvisningen i 35 kap. 1 § offentlighets- och sekretesslagen till 4 kap. polisdatalagen bör därför ändras till att avse 5 kap. Vidare bör hänvisningarna i 35 kap. 4 a § och 10 b § ändras med anledning av de ändringar som genomförs beträffande regleringen av tillträdesförbudsregistret. Eftersom lagen om polisens allmänna spaningsregister upphörde att gälla den 1 mars 2017, utan att ersättas av någon annan lag, fyller hänvisningen till den lagen inte längre någon funktion. Hänvisningen bör därför upphävas. När det gäller personuppgiftsbehandlingen vid Säkerhetspolisen ska regleringen i 6 kap. polisdatalagen i den äldre lydelsen fortsätta att gälla för myndigheten under en övergångsperiod i avvaktan på att en ny reglering för Säkerhetspolisens personuppgiftsbehandling träder i kraft, se 296

avsnitt 16. Hänvisningarna i 18 kap. 2 och 18 §§ och 35 kap. 1 och 10 §§ offentlighets- och sekretesslagen till den reglering i polisdatalagen som idag gäller för Säkerhetspolisen ska därför stå kvar. Hänvisning ska dock endast ske till lagen som sådan utan angivelse av kapitel, eftersom kapitelnumreringen i lagen ändras.

15.2 Lagen om internationellt polisiärt samarbete

Regeringens förslag: Lagen om internationellt polisiärt samarbete ska gälla utöver brottsdatalagen. Förhållandet mellan personuppgiftsregleringen i den lagen och personuppgiftsregleringen i andra lagar inom brottsdatalagens tillämpningsområde ska tydliggöras genom en bestämmelse i förstnämnda lag, där också vissa bestämmelser ska anpassas till brottsdatalagens reglering. Bestämmelser i lagen om internationellt polisiärt samarbete som hänvisar till personuppgiftslagen i fråga om skadestånd ska i stället hänvisa till brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Anpassningar till brottsdatalagen och registerförfattningarna I lagen om internationellt polisiärt samarbete finns det bestämmelser om informationsutbyte i 6–10 kap. Dessa behöver anpassas till den nya personuppgiftsregleringen i flera olika avseenden. Av 6 kap. 1 § framgår att lagen om internationellt polisiärt samarbete gäller utöver polisdatalagen, kustbevakningsdatalagen och tullbrottsdatalagen. Det innebär att även de generella bestämmelserna i personuppgiftslagen som registerförfattningarna hänvisar till ska tillämpas vid behandling av personuppgifter vid internationellt polisiärt samarbete (se prop. 2010/11:129 s. 47 f). För att samma reglering som i dag ska gälla bör det föreskrivas att lagen om internationellt polisiärt samarbete ska gälla utöver brottsdatalagen. Det innebär att lagen bör tillämpas i den utsträckning den innehåller bestämmelser om personuppgiftsbehandling som avviker från bestämmelserna i brottsdatalagen och de särskilt uppräknade registerförfattningarna.

Hänvisningar till personuppgiftslagen I 7 kap. 7 §, 8 kap. 3 §, 9 kap. 5 § och 10 kap. 3 § lagen om internationellt polisiärt samarbete finns hänvisningar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Hänvisningarna till bestämmelser om skadestånd bör ändras till att gälla 7 kap. 1 § brottsdatalagen. Eftersom brottsdatalagen innehåller generella bestämmelser om rättelse och lagen om internationellt polisiärt samarbete föreslås gälla utöver brottsdatalagen behövs inga hänvisningar till brottsdatalagens bestämmelser i den delen.

I 9 kap. 4 § och 10 kap. 1 § lagen om internationellt polisiärt samarbete finns det hänvisningar till regleringen i 33 och 34 §§ personuppgiftslagen om överföring av personuppgifter till tredjeland. Hänvisningen i 9 kap. 4 § bör ersättas med en hänvisning till bestämmelsen om grundläggande förutsättningar för överföring av personuppgifter i 8 kap. 1 § brottsdatalagen. När det gäller hänvisningen i 10 kap. 1 § är den av en annan karaktär. Den hör samman med att 33 § personuppgiftslagen förbjuder överföring till tredjeland. Eftersom brottsdatalagen har en annan lagteknisk utformning behövs inte någon motsvarande bestämmelse. Den bör därför inte ersättas. Viss anpassning bör också göras i förordningen (2017:504) om internationellt polisiärt samarbete.

15.3 Lagen om Polismyndighetens elimineringsdatabas

Regeringens förslag: Lagen om Polismyndighetens elimineringsdatabas ska gälla utöver brottsdatalagen. Bestämmelser som blir överflödiga till följd av det ska upphävas. Bestämmelserna om gallring ska ändras till bestämmelser om längsta tid som personuppgifter får behandlas. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd ska ändras till en hänvisning till brottsdatalagen.

Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 2 § lagen (2014:400) om Polismyndighetens elimineringsdatabas gäller lagen utöver personuppgiftslagen. Bestämmelsen bör ändras till att gälla brottsdatalagen. Förslaget att lagen om Polismyndighetens elimineringsdatabas ska gälla utöver brottsdatalagen innebär att 6 § om skyldighet att utse personuppgiftsombud och 7 § om tillgången till personuppgifter inte längre behövs, eftersom det finns en generell reglering om det i brottsdatalagen. De paragraferna bör därför upphävas. Gallringsbestämmelserna i 11 § lagen om Polismyndighetens elimineringsdatabas är dataskyddsbestämmelser och bör därför ändras så att de i stället anger hur länge uppgifterna i registret får behandlas. I 12 § föreskrivs att personuppgiftslagens bestämmelser om rättelse och skadestånd ska tillämpas på motsvarande sätt vid personuppgiftsbehandling enligt lagen om Polismyndighetens elimineringsdatabas eller enligt föreskrifter som har meddelats i anslutning till den. Eftersom lagen föreslås gälla utöver brottsdatalagen behövs det ingen särskild bestämmelse om rättelse. Eftersom personuppgiftslagen kommer att upphävas bör paragrafen ändras så att den i stället hänvisar till brottsdatalagens bestämmelse om skadestånd. Viss anpassning bör också göras i förordningen (2014:405) om Polismyndighetens elimineringsdatabas.

15.4 Lagen om tillsyn över viss brottsbekämpande verksamhet

Regeringens förslag: Hänvisningen i lagen om tillsyn över viss brottsbekämpande verksamhet till polisdatalagen ska ändras till att avse brottsdatalagen och lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Hänvisningen till lagen om polisens allmänna spaningsregister ska upphävas. Det ska tydliggöras i lagen om tillsyn över viss brottsbekämpande verksamhet att Säkerhets- och integritetsskyddsnämnden har rätt att få tillgång till all information och alla upplysningar som den behöver för sin tillsyn. Nämnden ska kunna vägra utföra kontroll på begäran av en enskild om begäran är orimlig eller uppenbart ogrundad.

Utredningens förslag överensstämmer delvis med regeringens. Utredningens förslag utgår från att nämndens tillsyn enbart ska avse Säkerhetspolisens personuppgiftsbehandling enligt förslag i SOU 2016:65. Remissinstanserna: Datainspektionen tillstyrker förslaget om att nämnden ska kunna vägra att utföra en kontroll på begäran av enskild om den är orimlig eller uppenbart ogrundad. Datainspektionen påpekar dock att rätten att vägra en kontroll bör tillämpas restriktivt eftersom den enskilde i övrigt har små möjligheter att få en behandling av personuppgifter kontrollerad.

Skälen för regeringens förslag

Tillsynsområdet och hänvisningar I 1 § andra stycket lagen om tillsyn över viss brottsbekämpande verksamhet föreskrivs att nämnden ska utöva tillsyn över den behandling av personuppgifter enligt polisdatalagen och lagen om polisens allmänna spaningsregister som utförs av bl.a. Polismyndigheten och Ekobrottsmyndigheten. Tillsynen ska särskilt avse behandlingen av känsliga personuppgifter. Av 1 § tredje stycket framgår att tillsynen ska syfta till att säkerställa att den verksamhet som tillsynen omfattar bedrivs i enlighet med lag eller annan författning. I lagrådsremissen Brottsdatalag tar regeringen ställning för att Säkerhets- och integritetsskyddsnämnden ska fortsätta att utöva tillsyn över polisens personuppgiftsbehandling på samma sätt som i dag och inte enbart utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Regeringen har således valt en delvis annan lösning för Säkerhets- och integritetsskyddsnämndens tillsyn än vad utredningen har utgått från. Hänvisningen till polisdatalagen bör ändras för att anpassa lagen till brottsdatalagen och lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Denna hänvisning kommer att medföra en marginell utvidgning av nämndens tillsynsområde, eftersom även behandling i syfte att upprätthålla allmän ordning och säkerhet omfattas av de nämnda lagarnas tillämpningsområde. Hänvisningen till lagen om polisens allmänna spaningsregister bör upphävas av de skäl som angetts under avsnitt 15.1. 299

Undersökningsbefogenheter Enligt 4 § lagen om tillsyn över viss brottsbekämpande verksamhet har nämnden rätt att av de myndigheter som omfattas av tillsynen få de uppgifter och det biträde som den begär. Regleringen omfattar alla uppgifter och handlingar som nämnden bedömer behövs för tillsynen. Biträde kan bestå i att tillsynsobjekten gör lokaler, arkiv och personuppgiftssamlingar tillgängliga för nämnden (se prop. 2006/07:133 s. 68 f. och s. 82). Det är viktigt att nämnden har tillgång till alla de handlingar och uppgifter som kan behövas för att klarlägga de förhållanden som nämnden har tillsyn över. Regleringen bör därför ändras så att det framgår att nämnden har rätt till de uppgifter, upplysningar och information som den behöver för sin tillsyn.

En begäran om kontroll bör kunna vägras Enligt 3 § lagen om tillsyn över viss brottsbekämpande verksamhet är nämnden skyldig att på begäran av en enskild kontrollera om han eller hon har utsatts för hemliga tvångsmedel eller viss behandling av personuppgifter och om detta har skett i enlighet med lag eller annan författning. Enskild ska enligt förarbetena tolkas så att kontroll kan begäras av antingen en fysisk eller en juridisk person (se prop. 2006/07:133 s. 81). Den enskilde ska underrättas om att kontrollen har utförts. Kontroller på begäran av enskilda fyller en viktig funktion. De kan dock vara mycket resurskrävande för tillsynsmyndigheten. Mot den bakgrunden har 5 kap. 3 § brottsdatalagen utformats på ett annat sätt än tidigare reglering Enligt den bestämmelsen ska en enskild som begär kontroll visa att han eller hon först har begärt information av den personuppgiftsansvarige för att kontrollen ska utföras. Tillsynsmyndigheten får vidare vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. Frågan är om det är möjligt att begränsa nämndens skyldighet att utföra kontroll på motsvarande sätt. I stora delar av Polismyndighetens verksamhet hindrar sekretess enskilda från att få information om huruvida uppgifter om honom eller henne behandlas. Det kan därför inte göras till en förutsättning för kontroll att en begäran har gjorts hos myndigheten. En enskild kan inte heller känna till vilka behandlingar som utförs. Att ställa upp krav på att en begäran preciseras eller avgränsas på liknande sätt som i brottsdatalagen är därför inte möjligt. Det är då inte heller möjligt att begränsa nämndens skyldighet att utföra kontroll på begäran av enskild på det sätt som görs i brottsdatalagen. I dag har nämnden ingen möjlighet att vägra att utföra kontroll ens om begäran om kontroll är orimlig eller uppenbart ogrundad. Det skulle innebära en viss lättnad om nämnden får stöd för att inte utföra någon kontroll i sådana fall. Som nyss nämnts kan en vägran dock inte grundas på att den enskilde inte har gjort tillräckligt för att själv klarlägga om hans eller hennes personuppgifter behandlas eller om han eller hon varit föremål för hemliga tvångsmedel. Vid tillsynen bör det t.ex. kunna ses som orimligt att utföra upprepade kontroller med korta tidsintervall eller beträffande frågor som redan har kontrollerats av nämnden eller någon annan tillsynsmyndighet. Regeringen föreslår därför att nämnden bör ges möjlighet att vägra att utföra 300

kontroll om begäran är orimlig eller uppenbart ogrundad. Även om nämnden måste fatta beslut om att vägra utföra kontroll är en sådan ordning mindre resurskrävande för nämnden än att genomföra orimliga eller uppenbart ogrundade kontroller. Enskildas möjlighet att begära kontroll bör inte begränsas utöver det, mot bakgrund av rätten till ett effektivt rättsmedel enligt Europakonventionen (jfr prop. 2006/07:133 s. 64 f. och SOU 2016:65 s. 177 f.). På sätt som Datainspektionen bedömer bör rätten att vägra en kontroll vidare tillämpas restriktivt eftersom den enskilde i övrigt har små möjligheter att få en behandling av personuppgifter kontrollerad.

Nämndens avgöranden bör inte kunna överklagas Enligt 6 § lagen om tillsyn över viss brottsbekämpande verksamhet får nämndens avgöranden inte överklagas, vilket hör samman med att dess uttalanden inte är bindande. Det får till följd att den enskilde fritt kan återkomma med begäran om ny kontroll (se prop. 2006/07:133 s. 71). Ett beslut av nämnden om att vägra att utföra kontroll innebär inte heller något hinder för den enskilde att återkomma med en ny begäran. Det finns därför inte skäl att införa någon särskild möjlighet att överklaga ett sådant beslut av nämnden

15.5 Säkerhetsskyddslagen

Regeringens förslag: Hänvisningen i säkerhetsskyddslagen till lagen om polisens allmänna spaningsregister ska upphävas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 12 § säkerhetsskyddslagen (1996:627) finns en hänvisning till lagen om polisens allmänna spaningsregister. Hänvisningen bör upphävas av de skäl som angetts under avsnitt 15.1.

16 Ikraftträdande- och övergångsbestämmelser

Regeringens förslag: De nya författningarna, ändringarna i de befintliga registerförfattningarna och övriga författningsförslag ska träda i kraft den 1 januari 2019. En sanktionsavgift ska inte få tas ut för överträdelse av bestämmelser om personuppgiftsbehandling i registerförfattningarna, om överträdelsen har skett före ikraftträdandet. Äldre föreskrifter ska fortfarande gälla för överträdelser som har skett före ikraftträdandet när det gäller kriminalvårdens behandling av personuppgifter.

Inom tillämpningsområdet för lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område ska domstolsdatalagen i lydelsen före den 25 maj 2018 fortfarande gälla för överklagande av beslut som har meddelats före ikraftträdandet. En övergångsbestämmelse till en tidigare ändring av domstolsdatalagen ska upphävas. Polisdatalagen i den äldre lydelsen ska fortfarande gälla för Säkerhetspolisens behandling av personuppgifter i frågor som rör nationell säkerhet. Även vissa äldre bestämmelser i offentlighets- och sekretesslagen, säkerhetsskyddslagen och lagen om internationellt polisiärt samarbete ska övergångsvis gälla vid Säkerhetspolisens behandling av personuppgifter enligt polisdatalagen. Kustbevakningsdatalagen i den äldre lydelsen ska fortfarande gälla för Kustbevakningens behandling av personuppgifter som inte utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Regeringens bedömning: Det behövs inte några övergångsbestämmelser i fråga om ärenden om tillsyn och skadestånd. Övergångsbestämmelserna i skattebrottsdatalagen behöver inte ändras.

Utredningens förslag och bedömning överensstämmer delvis med regeringens. Utredningen föreslår att författningarna ska träda i kraft den 1 maj 2018 samt att det ska finnas övergångsbestämmelser som anger att äldre bestämmelser om tillsyn och skadestånd i registerförfattningarna ska fortsätta att gälla. Remissinstanserna yttrar sig inte särskilt över förslagen.

Skälen för regeringens förslag och bedömning

Ikraftträdande Brottsdatalagen, som genomför direktivet, träder i kraft den 1 augusti 2018. De nu aktuella registerförfattningarna ska gälla utöver brottsdatalagen och bör därför träda i kraft så snart som möjligt efter brottsdatalagens ikraftträdande. Regeringen föreslår mot den bakgrunden att de ska träda i kraft den 1 januari 2019.

Övergångsbestämmelser angående sanktioner, skadestånd och tillsyn Enligt ikraftträdande- och övergångsbestämmelserna till brottsdatalagen får sanktionsavgift inte tas ut för överträdelser av bestämmelser om personuppgiftsbehandling som har skett före ikraftträdandet. Äldre föreskrifter ska dock fortsätta att gälla för överträdelser som har skett före ikraftträdandet (se lagrådsremissen Brottsdatalag, avsnitt 17.2.2). Vissa överträdelser av bestämmelser i registerförfattningarna ska också kunna leda till att sanktionsavgift tas ut (se avsnitt 5.4.2). Det behövs därför motsvarande övergångsbestämmelser angående sanktionsavgifter i registerförfattningarna. Det är dock endast för Kriminalvårdens personuppgiftsbehandling som straffbestämmelsen i 49 § personuppgiftslagen gäller idag. Det är därför bara till lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område som det behövs en särskild övergångsbestämmelse som anger att äldre föreskrifter ska fortsätta att tillämpas på överträdelser som har skett före ikraftträdandet. 302

Utredningen föreslår även övergångsbestämmelser som anger att äldre föreskrifter om skadestånd och tillsyn fortfarande ska gälla i vissa situationer. Det har dock i tidigare lagstiftningsärenden ansetts att det saknas ett egentligt behov av sådana övergångsbestämmelser (se t.ex. prop. 2017/18:105 s. 176). Regeringen gör inte nu någon annan bedömning. Utredningens förslag i dessa delar bör därför inte genomföras.

Övergångsbestämmelser till lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område och domstolsdatalagen Genom den föreslagna lagen (2018:000) om ändring i domstolsdatalagen anpassas den lagen till dataskyddsförordningen. Lagändringarna träder i kraft den 25 maj 2018. Enligt punkt 3 i ikraftträdande- och övergångsbestämmelserna till lagändringarna ska äldre föreskrifter fortfarande gälla vid sådan behandling av personuppgifter som avses i artikel 2.2 d i dataskyddsförordningen, dvs. personuppgiftsbehandling som regleras i dataskyddsdirektivet (prop. 2017/18:113 s. 49 f.). Bakgrunden till bestämmelsen är att de nya reglerna i domstolsdatalagen är anpassade till dataskyddsförordningen och därför inte bör gälla på direktivets område. Sådan behandling av personuppgifter som regleras i direktivet kommer att omfattas av lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Övergångsbestämmelsen bör upphävas eftersom det saknas behov av den när den nya lagen träder i kraft. Den nya lagen för domstolarna föreslås gälla för domstolarnas behandling av personuppgifter inom brottsdatalagens tillämpningsområde. Som framgår ovan kommer domstolsdatalagen i lydelsen före den 25 maj 2018 att gälla för sådan behandling till dess att den nya lagen träder i kraft. När det gäller överklagande av beslut som har meddelats före den 1 januari 2019 bör en särskild övergångsbestämmelse införas som innebär de besluten överklagas enligt bestämmelserna i domstolsdatalagen i den äldre lydelsen.

Övergångsbestämmelser för Säkerhetspolisen Säkerhetspolisens personuppgiftsbehandling på området för nationell säkerhet ska inte längre regleras i polisdatalagen och de bestämmelser som särskilt gäller Säkerhetspolisens personuppgiftsbehandling bör därför upphävas. I SOU 2017:74 föreslås en anpassad lagstiftning om Säkerhetspolisens behandling av personuppgifter. Förslaget har remitterats och bereds för närvarande i Regeringskansliet. I avvaktan på att förslaget bereds behöver polisdatalagen i dess äldre lydelse gälla för Säkerhetspolisens behandling av uppgifter som rör nationell säkerhet, varför en övergångsbestämmelse av den innebörden bör införas. Bestämmelsen ska upphävas i samband med att den nya regleringen om behandling av personuppgifter i Säkerhetspolisens verksamhet träder i kraft. Vidare krävs att vissa bestämmelser i offentlighets- och sekretesslagen, säkerhetsskyddslagen och lagen om internationellt polisiärt samarbete övergångsvis fortsätter att gälla vid Säkerhetspolisens behandling av personuppgifter. Innebörden av bestämmelserna ska vara att det under övergångsperioden inte sker någon ändring av Säkerhetspolisens möjligheter att behandla personuppgifter. För att Säkerhets- och integritets- 303

skyddsnämnden även fortsättningsvis ska kunna utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling i frågor som gäller nationell säkerhet krävs också att äldre föreskrifter i lagen om tillsyn över viss brottsbekämpande verksamhet övergångsvis fortsätter att gälla.

Övergångsbestämmelse till lagen om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område I Ds 2017:58 föreslås en ny lag med en anpassad dataskyddsreglering för Kustbevakningen på dataskyddsförordningens område. Förslaget har remitterats och bereds för närvarande i Regeringskansliet. I avvaktan på att förslaget bereds behöver kustbevakningsdatalagen i dess äldre lydelse gälla för Kustbevakningens personuppgiftsbehandling på förordningens område. En övergångsbestämmelse med den innebörden bör därför införas. Bestämmelsen ska upphävas i samband med att den nya regleringen för Kustbevakningen på förordningens område träder i kraft.

Övergångsbestämmelse till skattebrottsdatalagen I 3 kap. 4 § första stycket skattebrottsdatalagen föreskrivs att om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva viss brottslig verksamhet, ska det genom en särskild upplysning eller på annat sätt framgå att personen inte är misstänkt. Vidare krävs det enligt andra stycket särskilda upplysningar i vissa fall om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Till andra stycket finns det övergångsbestämmelser i punkten 3. Den innebär att bestämmelsen om särskilda upplysningar inte behöver tillämpas på uppgifter som har samlats in före lagens ikraftträdande. Enligt 2 kap. 9 § brottsdatalagen ska uppgifter om olika kategorier av personer så långt möjligt särskiljas. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori en person hör ska det framgå genom en särskild upplysning. I lagrådsremissen Brottsdatalag bedömer regeringen att det inte är nödvändigt att förse alla äldre personuppgifter med sådana upplysningar (se lagrådsremissen Brottsdatalag, avsnitt 8.1.3). Det bör därför vara möjligt att behålla övergångsbestämmelsen.

Övriga befintliga övergångsbestämmelser Det finns även andra övergångsbestämmelser till skattebrottsdatalagen. Även tullbrottsdatalagen har övergångsbestämmelser. Dessa bestämmelser är dock tidsbegränsade till den 1 januari 2019, dvs. samma dag som de nu aktuella lagförslagen träder i kraft. De behandlas därför inte här.

17 Konsekvenser

17.1 Allmänt om konsekvenserna

17.1.1 Anpassningar av registerförfattningarna

Regeringens bedömning: Anpassningarna av registerförfattningarna medför inga andra konsekvenser än de som följer av att brottsdatalagen införs och att författningarna därigenom får ett delvis annat tilllämpningsområde än tidigare.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna har inte några synpunkter på utredningens bedömning. Skälen för regeringens bedömning: Samtliga registerförfattningar för myndigheterna i rättskedjan ändras i någon utsträckning till följd av att de föreslås gälla utöver brottsdatalagen. Anpassningarna till brottsdatalagen innebär framför allt att registerförfattningarna får nya tillämpningsområden som är anpassade till brottsdatalagens. De registerförfattningar som i dag reglerar personuppgiftsbehandling, såväl inom som utanför brottsdatalagens tillämpningsområde, renodlas så att de fortsättningsvis bara reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Det gäller för Kustbevakningens, åklagarväsendets och Kriminalvårdens författningar. För Polismyndigheten förändras också tillämpningsområdet för registerförfattningen eftersom tillämpningsområdet utökas med att även omfatta upprätthållande av allmän ordning och säkerhet. För Ekobrottsmyndigheten förtydligas det när myndigheten ska tillämpa Polismyndighetens respektive åklagarväsendets registerförfattningar. Den generella regleringen i brottsdatalagen ersätter till stor del bestämmelser som finns i de nuvarande registerförfattningarna och de blir därför inte lika omfattande som tidigare. Registerförfattningarna kompletteras med bestämmelser om sanktionsavgift för överträdelser av bestämmelserna i författningarna. Vidare ändras terminologin och görs mer enhetlig. Ett annat led i att göra registerförfattningarna mer enhetliga är att genomgående samla vissa bestämmelser, antingen i ett visst kapitel eller inom kapitlen. Bestämmelserna om föreskrifter anpassas också till den nya regleringen.

17.1.2 En ny lag för domstolarna men inga nya arbetsuppgifter

Regeringens bedömning: Den nya lagen för domstolarnas personuppgiftsbehandling innebär inga nya arbetsuppgifter.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna har inte några synpunkter på utredningens bedömning. Skälen för regeringens bedömning: Regleringen i lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område mot- 305

svarar i stor utsträckning den reglering som gäller för domstolarna när de ska tillämpa dataskyddsförordningen. Den nya lagen får inte några särskilda konsekvenser, utöver de som hör samman med att domstolarna kommer att tillämpa olika regelverk beroende på för vilket syfte personuppgifterna behandlas.

17.1.3 Modernisering av vissa författningar

Regeringens bedömning: Moderniserade och tydliga registerförfattningar leder till att myndigheternas personuppgiftsbehandling förenklas.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ekobrottsmyndigheten instämmer i att många av förslagen till moderniseringar och förtydliganden bör leda till förenklingar för myndigheten, särskilt med beaktande av att myndigheten får ett tydligare personuppgiftsansvar. Myndigheten vill i sammanhanget peka på konsekvenserna av att det samlade regelverket för personuppgiftshantering föreslås bli omfattande vilket ställer höga krav på rättstillämparen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: Ett av syftena med dataskyddsdirektivet är att underlätta informationsutbytet mellan myndigheter. En naturlig följd av dataskyddsreformen i sin helhet är dock att ett stort antal myndigheter, däribland Ekobrottsmyndigheten , kommer att behöva tilllämpa flera olika regelverk och att de därigenom kommer att ställas inför gränsdragningsproblem som ställer särskilda krav på tillämparen. Detta är ofrånkomligt. En förutsättning för ett förenklat informationsutbyte på direktivets område är då att myndigheternas registerförfattningar i vart fall är likartade. I samband med att nödvändiga anpassningar till det nya dataskyddsregelverket genomförs görs myndigheternas registerförfattningar därför mer enhetliga. När det gäller polisdatalagen flyttas dels bestämmelserna om tillträdesförbudsregistret, dels de bestämmelser om personuppgiftsbehandling som i dag finns i polislagen över till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Detta innebär att registerförfattningen blir mer heltäckande. Vidare ändras vissa bestämmelser om hur gemensamt tillgängliga uppgifter får behandlas så att de blir enklare att tillämpa i praktiken. I andra bestämmelser, t.ex. de som föreskriver att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, förtydligas vilka krav som ställs på behandlingen. Detta gör lagstiftningen mer transparent och lätttillämpad. Den moderniserade bestämmelsen om att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt underlättar dessutom elektronisk kommunikation. Motsvarande förändringar görs i de andra myndigheternas registerförfattningar i den utsträckningen det är aktuellt. Kriminalvårdens registerlag får en modernare utformning. Regleringen görs mer generell och lättillämpad. Bestämmelserna om säkerhetsregistret lyfts av integritetsskäl upp i lag. Vissa detaljregler tas bort ur både 306

lagen och förordningen. De särskilda bestämmelserna om överklagande, omprövning och forum i kriminalvårdens registerförfattning upphävs.

17.2 Ekonomiska konsekvenser

Regeringens bedömning: Anpassningarna av registerförfattningarna medför inga extra kostnader för berörda myndigheter och innebär viss effektivisering som uppväger de ökade utbildningskostnader som den nya regleringen kan kräva. Förslagen medför inga ökade kostnader för kommuner och landsting eller för enskilda.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Hovrätten för Västra Sverige , Förvaltningsrätten i Linköping, Domstolsverket, Polismyndigheten och Sveriges advokatsamfund bedömer att det inte är rimligt att utgå ifrån att kostnaderna för genomförandet av förslaget kommer att rymmas inom befintliga anslag. Sveriges advokatsamfund har även ifrågasatt slutsatsen om att förslaget inte torde kunna medföra några ekonomiska konsekvenser för enskilda. Domstolsverket framhåller vidare det problematiska i att det inte i något sammanhang görs en samlad bedömning av de konsekvenser som dataskyddsreformen i sin helhet medför. Övriga remissinstanser yttrar sig inte särskilt över bedömningen.

Skälen för regeringens bedömning

Konsekvenser för staten, kommuner och landsting Polismyndigheten bedömer att förslaget väntas medföra behov av nya strukturer, ny mjukvara och eventuellt ny hårdvara. De ökade kostnader som detta medför kommer enligt Polismyndigheten inte att rymmas inom befintligt anslag. Anpassningarna av registerförfattningarna innebär emellertid inte några skyldigheter för myndigheterna att inrätta t.ex. nya it-system och det finns därför inte skäl för att generellt förutsätta att sådana kostnader kommer att uppstå. Anpassningarna medför inte heller i övrigt några ökade kostnader utöver vad som kan krävas för utbildning av personal om de nya författningarna. Hovrätten för Västra Sverige bedömer att det torde krävas en inte oväsentlig utbildningsinsats för att utbilda och uppdatera domstolarnas personal. Kostnaderna för utbildning bör emellertid rymmas inom befintliga ekonomiska ramar och de nya författningarna kan leda till viss effektivisering som uppväger utbildningskostnaderna. Sammantaget bedöms förändringarna för berörda myndigheter inte bli större än att de kan finansieras inom ramen för befintliga anslag trots det som Hovrätten för Västra Sverige, Förvaltningsrätten i Linköping, Domstolsverket, Polismyndigheten och Sveriges advokatsamfund anför. Domstolsverket anser att det är problematiskt att det inte i något sammanhang görs en samlad bedömning av de konsekvenser som reformen i sin helhet medför. En sådan samlad konsekvensanalys går dock inte att utföra i ett enskilt lagstiftningsärende. Det är dessutom först när samtliga 307

förslag till anpassningar av dessa författningar har lagts fram som det skulle vara möjligt att göra en samlad bedömning. Eftersom författningsändringarna inte berör kommunerna kan anpassningarna inte antas påverka dessa ekonomiskt.

Konsekvenser för enskilda Sveriges advokatsamfund anser att de nya regelverken ska uppfattas som att ökade krav ska ställas på skydd för den personliga integriteten och att dessa krav inte kommer att kunna uppfyllas utan sådana åtgärder som medför ekonomiska konsekvenser för bl.a. enskilda. Regeringen har bedömt att förslagen som gäller brottsdatalagens införande inte kan förväntas leda till några sådana kostnadsökningar för enskilda (se lagrådsremissen Brottsdatalag, avsnitt 16.2.3) och det finns inte heller anledning att förvänta en sådan effekt av anpassningarna av registerförfattningarna på sätt som Sveriges advokatsamfund bedömer.

17.3 Konsekvenser för det brottsförebyggande arbetet

Regeringens bedömning: Förbättrat dataskydd och moderna författningar ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter, vilket är positivt för det brottsförebyggande arbetet. Förslagen förväntas inte få några direkta effekter på brottsligheten.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Polismyndigheten framhåller att en reform av den här omfattningen oundvikligen får konsekvenser för polisens kärnverksamhet och att det finns risk för oönskade hämmande effekter på de brottsbekämpande myndigheternas förmåga att fullgöra sina uppdrag då ökade krav på administration och dokumentation innebär att resurser måste omfördelas från den brottsbekämpande verksamheten. Övriga remissinstanser yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: Förslagen kan inte förväntas få några direkta effekter på brottsligheten eftersom det handlar om en administrativ reform. Ett ökat informationsflöde inom Sverige och mellan medlemsstater kan dock få en positiv effekt på det brottsförebyggande arbetet. Dessa bedömningar gäller även med beaktande av vad Polismyndigheten framför i sin kritik.

17.4 Konsekvenser i övrigt

Regeringens bedömning: Förslagen förväntas förbättra skyddet för enskildas personliga integritet. De förväntas inte få några andra konsekvenser.

Utredningens bedömning överensstämmer i huvudsak med regeringens. Utredningen har inte bedömt förslagens inverkan på enskildas personliga integritet. 308

Remissinstanserna: Kiruna kommun bedömer att förslagen inte kommer att få några negativa konsekvenser för kommunen eller för den enskilde. Kommunen bedömer därutöver att förslagen inte kommer att få några samhällsekonomiska konsekvenser, några konsekvenser för den kommunala självstyrelsen eller konsekvenser för jämställdheten. Övriga remissinstanser yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: Förslagen förväntas stärka integritetsskyddet för enskilda och att ge dem bättre möjligheter att kunna kontrollera hur deras personuppgifter behandlas. Förslagen får inte några samhällsekonomiska konsekvenser eller några konsekvenser för den kommunala självstyrelsen. Förslagen får inte heller några konsekvenser för jämställdheten eller andra sådana konsekvenser som avses i 14 § kommittéförordningen (1998:1474) eller 7 § förordningen (2007:1244) om konsekvensutredning vid regelgivning.

18 Författningskommentar

18.1 Förslaget till lag om domstolarnas behandling av personuppgifter inom brottsdatalagens område

Lagens tillämpningsområde

1 § Paragrafen anger tillämpningsområdet för lagen. Övervägandena finns i avsnitt 12.3.1. Lagen gäller utöver brottsdatalagen för de allmänna domstolarna och de allmänna förvaltningsdomstolarna när de i egenskap av behöriga myndigheter behandlar personuppgifter för vissa syften. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Lagen ska tillämpas vid handläggning av mål och ärenden om utredning av eller lagföring för brott, verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Den gäller även vid handläggning av mål och ärenden om resning eller något annat extraordinärt rättsmedel, om det ursprungliga målet eller ärendet omfattas av lagens tillämpningsområde. Behandling av personuppgifter vid expediering inom ramen för målet eller ärendets handläggning omfattas, t.ex. underrättelser till andra myndigheter om påföljden som dömts ut i ett brottmål eller om den dömde tillhör en viss yrkeskategori där domstolen är skyldig att underrätta ett tillsynsorgan om domen. Även expediering för att tillgodose partsinsynen omfattas. Behandling av personuppgifter i samband med säkerhetskontroller enligt lagen (1981:1064) om säkerhetskontroll i domstol kan omfattas av lagen, under förutsättning att behandlingen sker inom ramen för handläggningen av ett sådant mål eller ärende som anges i paragrafen. Lagen är tillämplig under hela handläggningen av ett sådant mål eller ärende som anges i paragrafen. Om t.ex. ett enskilt anspråk förs i samband med åtal för ett brott är lagen tillämplig även på den personuppgiftsbehandling som krävs för handläggningen av det enskilda anspråket. Detsamma gäller vissa andra former av särskild talan och talan om förbud som förs i brottmål, t.ex. talan om skattetillägg och näringsförbud. 310

Om ett enskilt anspråk avskiljs för att handläggas i den ordning som gäller för tvistemål är lagen inte längre tillämplig vid handläggningen av det enskilda anspråket. Detsamma gäller en talan om skattetillägg som inte förs i ett brottmål. Utlämnande av personuppgifter i ett mål eller ärende enligt tryckfrihetsförordningen eller som ett led i serviceskyldigheten till andra myndigheter ligger utanför lagens tillämpningsområde. Enligt 2 § första stycket domstolsdatalagen (2015:728) ska den lagen tillämpas vid sådan behandling av personuppgifter. Domstolsdatalagen gäller även när personuppgifter i mål och ärenden behandlas i enlighet med föreskrifter om arkiv. Enligt punkt 1 gäller lagen när en allmän domstol behandlar personuppgifter i syfte att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Med mål om lagföring av brott avses bl.a. brottmål. All handläggning av brottmål omfattas därmed av lagens tillämpningsområde. Som konstateras ovan gäller det både ansvarstalan och annan talan som förs i ett brottmål, t.ex. talan om enskilt anspråk, näringsförbud eller skattetillägg. Även frågor om resning eller andra extraordinära rättsmedel i brottmål omfattas. Typiska frågor som rör utredning av brott är när en allmän domstol prövar häktningsfrågor eller ger tillstånd till eller prövar andra frågor om användning av straffprocessuella tvångsmedel under en förundersökning. Andra exempel på sådana frågor är en domstols beslut om vittnesförhör under förundersökningen eller förordnande av sakkunnig enligt 23 kap. 13 § respektive 14 § rättegångsbalken och prövning av frågor som rör komplettering av förundersökning eller insyn i förundersökning enligt 23 kap. 19 § rättegångsbalken. Lagen omfattar även handläggning av ärenden enligt lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott. Allmän domstol prövar frågor om ändring av påföljd bl.a. enligt 28 kap. 8 § brottsbalken (undanröjande av skyddstillsyn) och 38 kap. 2 och 2 a §§ brottsbalken (omprövning av påföljden på grund av ändrade förutsättningar). Allmän domstol prövar också enligt 15–19 §§ bötesverkställighetslagen (1979:189) om böter ska omvandlas till fängelse. Åklagares beslut enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang kan prövas av allmän domstol. Domstolen prövar då frågor om upprätthållande av allmän ordning och säkerhet. Enligt punkt 2 gäller lagen när allmän förvaltningsdomstol behandlar personuppgifter i syfte att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder. Det gäller t.ex. prövning av Kriminalvårdens beslut om verkställighet av fängelse i kriminalvårdsanstalt enligt fängelselagen (2010:610) och om verkställighet av beslut om häktning enligt häkteslagen (2010:611). Vidare omfattas handläggning av mål om rättspsykiatrisk vård och prövning av vissa beslut av övervakningsnämnd. Även prövning av beslut enligt lagen (1998:603) om verkställighet av sluten ungdomsvård omfattas av lagen. Ett annat exempel är migrationsdomstolarnas handläggning av mål om utvisning på grund av brott. Mål i Migrationsöverdomstolen enligt lagen (1991:572) om särskild utlänningskontroll omfattas däremot inte av lagen. Även allmän 311

förvaltningsdomstols handläggning av mål enligt ordningslagen (1993:1617) faller utanför lagens tillämpningsområde.

Personuppgiftsansvar

2 § Paragrafen, som motsvarar 9 § domstolsdatalagen, innehåller en bestämmelse om personuppgiftsansvar. Övervägandena finns i avsnitt 12.3.3. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Den nu aktuella paragrafen innebär att varje allmän domstol och varje allmän förvaltningsdomstol ska vara personuppgiftsansvarig för den behandling som den utför. Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen. Den personuppgiftsansvarige ska t.ex. genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas (3 kap. 2 §). Det ankommer också på den personuppgiftsansvarige att se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (3 kap. 6 §). Enligt brottsdatalagen gäller vidare att den personuppgiftsansvarige ska utse ett eller flera dataskyddsombud (3 kap. 13 §).

Rättsliga grunder

3 § Paragrafen, som delvis motsvarar 6 § domstolsdatalagen, reglerar de rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 12.4.1. Paragrafen är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen och gäller i stället för den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger domstolarna rättsligt stöd för att behandla personuppgifter för diarieföring och nödvändig handläggning. Personuppgifter får enligt första stycket behandlas om det är nödvändigt för handläggning av mål och ärenden inom lagens tillämpningsområde. Det rör sig alltså om mål och ärenden om (1) utredning av eller lagföring för brott, (2) verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder och (3) upprätthållande av allmän ordning och säkerhet. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Eftersom lagen gäller för både allmän domstol och allmän förvaltningsdomstol och dessa handlägger olika typer av mål och ärenden inom lagens tillämpningsområde, måste paragrafen läsas tillsammans med 1 § för att det ska kunna avgöras vilka punkter som är relevanta för respektive domstol. Allmän förvaltningsdomstol handlägger inte mål om utredning av eller lagföring för brott eller upprätthållande av allmän ordning och säkerhet. Det är därför endast punkt 2 som aktualiseras i allmän förvaltningsdomstol. Paragrafen omfattar alla åtgärder som behöver vidtas i ett mål eller ärende. Inom paragrafens tillämpningsområde faller exempelvis motta- 312 gande av uppgifter, diarieföring, kommunicering, protokollföring, sök-

ning efter relevant praxis, upprättande av dom och expediering. Det förutsätts emellertid inte att en behandling är nödvändig för handläggningen av ett specifikt mål eller ärende utan behandling kan även ske för planering, uppföljning och utvärdering av verksamheten vid domstolarna. Planering, uppföljning och utvärdering anses vara en integrerad del av själva verksamheten och omfattas alltså av bestämmelsen. Därigenom kan sökningar efter relevant praxis och hantering av sådana uppgifter ske, oavsett om åtgärderna sker i syfte att underlätta domskrivningsarbete, praxisdiskussioner eller annat kompetensutvecklingsarbete (prop. 2014/15:148 s. 108). Enligt andra stycket ska uppgiften att handlägga mål och ärenden framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstolen att utföra uppgiften. Motsvarande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Med lag jämställs bl.a. EU-förordningar. Författningsstödet för domstolarnas handläggning av mål och ärenden finns bl.a. i rättegångsbalken och förvaltningsprocesslagen (1971:291).

Behandling för nya ändamål

4 § I paragrafen finns en upplysning om att förutsättningarna för att behandla personuppgifter som behandlas med stöd av 3 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 12.4.2. Ett exempel på ett nytt ändamål inom brottsdatalagens tillämpningsområde är att personuppgifter i ett brottmål används för handläggningen av ett annat brottmål. Exempel på nya ändamål utanför brottsdatalagens tillämpningsområde är när personuppgifter i ett brottmål används för handläggningen av ett tvistemål eller när personuppgifter i ett mål om rättspsykiatrisk vård lämnas ut efter begäran från en enskild som inte är part i målet. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt 2 kap. 4 eller 22 § brottsdatalagen. Se vidare författningskommentaren till de paragraferna (lagrådsremissen Brottsdatalag s. 441 f. och 451 f.).

Behandling av personnummer

5 § I paragrafen regleras behandlingen av personnummer och samordningsnummer. Övervägandena finns i avsnitt 12.4.4. Enligt paragrafen får personnummer och samordningsnummer behandlas endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Med personnummer och samordningsnummer avses detsamma som i folkbokföringslagen (1991:481). Bestämmelsen motsvarar 3 kap. 10 § lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, fortsättningsvis kallad dataskyddslagen. Innebörden av bestämmelsen är att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Omständighe- 313

ter som har betydelse vid intresseavvägningen är exempelvis om syftet med behandlingen kan uppnås på något annat sätt och behandlingens omfattning. Behovet av att behandla personnummer och samordningsnummer kan förändras över tid. En parts personnummer kan behöva behandlas i ett skede av handläggningen av ett mål eller ärende men inte i ett annat. Ett exempel kan vara att målsägandens personnummer behövs för att identifiera honom eller henne för att säkerställa att rätt person kallas till förhandlingen. Personnumret behöver dock inte anges i domen om målsäganden inte för talan i målet.

Sökbegränsningar

6 § Paragrafen, som delvis motsvarar 14 och 15 §§ domstolsdatalagen, innehåller bestämmelser som förbjuder användningen av integritetskänsliga sökbegrepp och generella undantag från förbudet. Övervägandena finns i avsnitt 12.5.2. I första stycket anges att sådana uppgifter som avses i 2 kap. 11 och 12 §§ brottsdatalagen, dvs. känsliga personuppgifter, inte får användas som sökbegrepp vid sökning i personuppgifter. Bestämmelsen gäller i stället för sökförbudet i 2 kap. 14 § brottsdatalagen. Med känsliga personuppgifter avses uppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Även biometriska och genetiska uppgifter utgör känsliga personuppgifter. Utöver känsliga personuppgifter omfattas uppgifter om nationell anknytning av sökförbudet. Med uppgifter om nationell anknytning avses bl.a. uppgifter om medborgarskap, om födelseort eller om utlandsfödda föräldrar. Varje form av nationell anknytning omfattas dock inte av bestämmelsen utan det krävs att uppgifterna visar på en anknytning till ett visst land som inte är alltför svag. En uppgift om att en person har besökt ett land eller att vederbörande känner någon i landet kan inte anses utgöra uppgifter som omfattas av sökförbudet. Normalt torde uppgifter om språkkunskaper eller om behov av tolk inte heller vara att anse som en uppgift om nationell anknytning. Av andra stycket framgår att användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp inte omfattas av förbudet. Bestämmelsen tar sikte på s.k. målgrupps- och måltypskoder. Sökning med hjälp av sådana beteckningar är alltså tillåten. Det föreskrivs även att sökbegränsningarna i första stycket inte gäller i fråga om sökningar som sker enbart bland uppgifter i en viss handling eller i ett visst mål eller ärende.

7 § Paragrafen, som delvis motsvarar 15 § domstolsdatalagen, innehåller undantag från sökförbudet i 6 § första stycket. Övervägandena finns i avsnitt 12.5. Enligt första stycket får uppgifter som avslöjar hälsa användas som sökbegrepp i allmän förvaltningsdomstol.

I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda sökbegrepp som avslöjar hälsa.

8 § I paragrafen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att använda sökbegrepp som avslöjar brott eller misstanke om brott. Övervägandena finns i avsnitt 12.5.2.

Elektroniskt utlämnande av personuppgifter

9 § Paragrafen reglerar i vilka fall personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 12.6.2. I första stycket anges att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Bestämmelsen motsvarar 16 § domstolsdatalagen, men terminologin ändras. Med utlämnande elektroniskt på annat sätt än genom direktåtkomst avses bl.a. utlämnande på ett usb-minne, genom e-post eller annan elektronisk överföring. Lämplighetsprövningen ska ske i varje enskilt fall. Det har vid lämplighetsprövningen betydelse vem mottagaren är. I fråga om utlämnande till en annan domstol eller en myndighet torde utlämnande på annat sätt än genom direktåtkomst som utgångspunkt vara tillåtet enligt bestämmelsen. I fråga om utlämnande av processmaterial till en part eller partens ombud, biträde eller försvarare måste kravet på en rättvis rättegång och andra processrättsliga principer beaktas. Exempelvis bör en part som regel få ta del av processmaterialet i elektronisk form om det behövs för att säkerställa att parterna i en process är likställda. Lämplighetsprövningen blir särskilt viktig när utlämnandet ska ske till enskild och det på grund av personuppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet i förlängningen kan leda till integritetsrisker. Försiktighet är exempelvis påkallad om det är fråga om fotografier eller ljudupptagningar. Samma sak gäller om de uppgifter som den enskildes begäran avser är sammanställda utifrån en sökning som framstår som integritetskänslig. För att uppgifterna ska kunna lämnas ut i elektronisk form måste det även finnas rutiner för datasäkerhet. Särskilda säkerhetsåtgärder kan även behöva vidtas exempelvis när personuppgifterna överförs genom e-post för att minska säkerhetsriskerna vid sådan överföring. I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av möjligheterna att lämna ut personuppgifter elektroniskt.

10 § Paragrafen, som motsvarar 17 § domstolsdatalagen, reglerar direktåtkomst. Övervägandena finns i avsnitt 12.6.1. Med direktåtkomst avses att någon har direkt tillgång till register, databaser eller andra samlingar av uppgifter som behandlas automatiserat eller på egen hand kan söka efter information, dock utan att kunna påverka innehållet i uppgiftssamlingen. I begreppet direktåtkomst ligger också att den som är ansvarig för uppgiftssamlingen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. I första stycket begränsas möjligheterna för en domstol att medge direktåtkomst till vissa mottagare, nämligen dels allmänna domstolar och allmänna förvaltningsdomstolar, dels parter och parters ombud, biträde eller försvarare. Bestämmelsen ger en domstol möjlighet att medge direktåtkomst, men innebär inte någon rätt för mottagarna att få sådan åtkomst. Det är den domstol som innehar uppgifterna som bestämmer om direktåtkomst ska beviljas eller inte. Direktåtkomst får beviljas endast om det i det enskilda fallet bedöms lämpligt. Det har vid lämplighetsprövningen betydelse vem mottagaren är. I fråga om utlämnande till parter eller parters ombud, biträde eller försvarare måste det bl.a. säkerställas att uppgifterna kan överföras säkert och att inloggnings- och identifieringsfunktioner fungerar tillförlitligt. Paragrafen har inte någon sekretessbrytande verkan. För att en domstol ska kunna medge direktåtkomst räcker det därför inte att det är tillåtet enligt lagen. Direktåtkomst till uppgifter som omfattas av sekretess får bara medges om det står klart att mottagaren vid en prövning enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL, med säkerhet skulle ha rätt att ta del av uppgifterna. I 11 kap. 4 och 8 §§ OSL finns särskilda bestämmelser om överföring av sekretess vid direktåtkomst. Av andra stycket följer att direktåtkomsten för en part eller partens ombud, biträde eller försvarare endast får avse personuppgifter i partens eget mål eller ärende. I tredje stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter som ytterligare begränsar möjligheterna att medge direktåtkomst till personuppgifter. Det kan t.ex. röra sig om att begränsa möjligheten till direktåtkomst till domstolar inom samma domstolsslag i vissa fall. Genom sådana föreskrifter kan det också preciseras vilka uppgifter som direktåtkomsten får avse. Det finns också en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om behörighets- och säkerhetsfrågor vid direktåtkomst.

Personuppgifter i avgjorda mål och ärenden

11 § I paragrafen, som motsvarar 18 § domstolsdatalagen, finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Övervägandena finns i avsnitt 12.7. 316

I paragrafen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandlingen av personuppgifter efter tidpunkten för laga kraft. Det kan t.ex. röra sig om att begränsa möjligheterna att söka efter personnummer och namn i avgöranden som har fått laga kraft.

Administrativa sanktionsavgifter

12 § Paragrafen reglerar vid vilka överträdelser sanktionsavgift får tas ut. Övervägandena finns i avsnitt 12.8. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Sanktionsavgift får inte tas ut om behandlingen av personuppgifter utförs inom ramen för den dömande verksamheten (5 kap. 2 § andra stycket brottsdatalagen). Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av lagens bestämmelser om rättsliga grunder och sökförbud. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas när sanktionsavgift tas ut. I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

13 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 12.9.1. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

14 § Paragrafen, som har utformats med 20 § domstolsdatalagen som förebild, innehåller bestämmelser om överklagande av beslut som har meddelats av en personuppgiftsansvarig domstol. Övervägandena finns i avsnitt 12.9.2. Bestämmelser om överklagande finns i 7 kap. brottsdatalagen. Denna paragraf gäller i stället för 7 kap. 2 § brottsdatalagen. I första stycket första meningen anges vilka beslut enligt brottsdatalagen som får överklagas. De beslut som får överklagas är beslut om rättelse eller komplettering enligt 4 kap. 9 § första stycket, beslut om radering enligt 4 kap. 10 § första stycket, beslut om begränsning av be- 317

handlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, beslut att inte lämna information enligt 4 kap. 3 eller 4 §, beslut att ta ut avgift enligt 4 kap. 12 § andra stycket och beslut att inte medge omprövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Av bestämmelsen framgår att de nämnda besluten, som meddelats av en personuppgiftsansvarig hovrätt, tingsrätt eller förvaltningsrätt, får överklagas till kammarrätten. Det krävs inte prövningstillstånd i kammarrätten vid ett sådant överklagande. I sista meningen anges att ett beslut som har meddelats av en kammarrätt i egenskap av personuppgiftsansvarig får överklagas till Högsta förvaltningsdomstolen. Enligt andra stycket får Högsta domstolens och Högsta förvaltningsdomstolens beslut som dessa domstolar meddelat i egenskap av personuppgiftsansvariga inte överklagas.

Ikraftträdande- och övergångsbestämmelser

Övervägandena om ikraftträdande- och övergångsbestämmelserna finns i avsnitt 16. Enligt punkt 1 träder lagen i kraft den 1 januari 2019. Av punkt 2 framgår att domstolsdatalagen i lydelsen före den 25 maj 2018 fortfarande gäller för överklagande av beslut som har meddelats före den 1 januari 2019. I punkt 3 anges att sanktionsavgift endast får beslutas för överträdelse som har skett efter ikraftträdandet.

18.2 Förslaget till lag om ändring i rättegångsbalken

28 kap.

12 a § Paragrafen reglerar kroppsbesiktning i form av salivprov som tas på den som är skäligen misstänkt. En hänvisning till polisdatalagen (2010:361) ersätts med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2. Paragrafen ändras också redaktionellt.

12 b § Paragrafen reglerar kroppsbesiktning i form av salivprov som tas på annan än den som är skäligen misstänkt. I första stycket görs endast en redaktionell ändring. I andra stycket ersätts en hänvisning till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2. Stycket ändras också redaktionellt. Tredje stycket är oförändrat.

18.3 Förslaget till lag om ändring i polislagen (1984:387)

26 § I paragrafen regleras på vilket sätt Polismyndigheten och Säkerhetspolisen får ta del av uppgifter som med stöd av 26 § tillhandahålls av transportföretag. Övervägandena finns i avsnitt 7.4.1. Första stycket är oförändrat. I andra stycket regleras numera endast i vilken omfattning Polismyndigheten och Säkerhetspolisen får ta del av uppgifter genom terminalåtkomst. Polismyndighetens behandling av sådana personuppgifter regleras i lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Motsvarande behandling hos Säkerhetspolisen regleras i polisdatalagen (2010:361) i lydelsen före den 1 januari 2019 enligt en övergångsbestämmelse till samma lag.

18.4 Förslaget till lag om ändring i säkerhetsskyddslagen (1996:627)

12 § I paragrafen anges vad som avses med registerkontroll. I paragrafen ersätts hänvisningen till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Hänvisningen innebär att alla uppgifter som behandlas med stöd av de rättsliga grunderna i den lagen kan hämtas in. Övervägandena finns i avsnitt 7.1.2. Hänvisningen till lagen (2010:362) om polisens allmänna spaningsregister tas bort, eftersom den lagen har upphört att gälla.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att även uppgifter som Säkerhetspolisen behandlar med stöd av polisdatalagen (2010:361) i dess äldre lydelse kan hämtas inom ramen för en registerkontroll. Av en övergångsbestämmelse till lagen om polisens behandling av personuppgifter inom brottsdatalagens område framgår att Säkerhetspolisen övergångsvis ska tillämpa bestämmelserna i polisdatalagen (2010:361) i lydelsen före den 1 januari 2019 vid behandling av personuppgifter i frågor som rör nationell säkerhet. Sådana uppgifter kan alltså hämtas in i samma utsträckning även fortsättningsvis inom ramen för en registerkontroll.

18.5 Förslaget till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen

16 § I paragrafen, som behandlas i avsnitt 8.4, regleras på vilket sätt Tullverket får ta del av uppgifter som lämnas av transportföretag med stöd av 15 §. Första stycket är oförändrat. I andra stycket regleras numera endast i vilken omfattning Tullverket får ta del av uppgifter genom terminalåtkomst. Myndighetens behandling av sådana personuppgifter regleras i lagen (2017:447) om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

18.6 Förslaget till lag om ändring i lagen (2000:344) om Schengens informationssystem

5 § I paragrafen anges övergripande vad registret får innehålla och vem som får behandla personuppgifter i registret. Första stycket är oförändrat. I andra stycket ersätts hänvisningen till personuppgiftslagen (1998:204), polisdatalagen och annan svensk författning med en hänvisning till brottsdatalagen, lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område och annan författning. Med annan författning avses till exempel dataskyddsförordningen. Av lagen (1994:1500) med anledning av Sveriges anslutning till Europeiska unionen följer bl.a. att EU-förordningar är att jämställa med svensk lag. Övervägandena finns i avsnitt 7.1.2.

18.7 Förslaget till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

1 kap.

1 § Paragrafen anger tillämpningsområdet för lagen. Första och andra styckena är oförändrade. I tredje stycket tas en hänvisning bort, eftersom det i fortsättningen får avgöras utifrån syftet med behandlingen vilken reglering som är tillämplig när personuppgifter behandlas i Tullverkets brottsbekämpande verksamhet. Om syftet är att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott tillämpas brottsdatalagen och lagen (2017:447) om Tullverkets behandling av personuppgifter inom brottsdatalagens område, medan dataskyddsförordningen med komplette- 320

rande lagstiftning är tillämplig om syftet ligger utanför dessa lagars tilllämpningsområden.

5 § I paragrafen anges i vilken utsträckning personuppgifter som behandlas med stöd av 4 § får behandlas för att tillhandahållas utanför den verksamhet som lagens tillämpningsområde omfattar. I andra punkten ändras hänvisningen till en lag som byter namn, vilket behandlas i avsnitt 8.1.2

18.8 Förslaget till lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården

Lagen renodlas så att den bara omfattar behandling av personuppgifter inom brottsdatalagens tillämpningsområde. Lagen anpassas också till brottsdatalagen, vilket leder till en kraftig omarbetning av den. Samtliga paragrafer upphävs eller ändras. Vissa särbestämmelser som inte längre fyller någon praktisk funktion upphävs av den anledningen. De grundläggande bestämmelserna om säkerhetsregistret, som hittills har reglerats i förordning, tas in i lagen. Lagen delas in i kapitel på samma sätt som övriga registerförfattningar. Som en anpassning till brottsdatalagen tillkommer ett kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i kapitel 4–6 och övriga ändringar i kapitel 13. Lagen får också ett nytt namn, lag om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Paragrafen anger lagens tillämpningsområde. Övervägandena finns i avsnitt 13.2.1. Lagen gäller för behandling av personuppgifter när en myndighet inom kriminalvården i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter för vissa syften. I kriminalvården ingår dels myndigheten Kriminalvården, dels övervakningsnämnderna. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att 321

ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Tillämpningsområdet omfattar huvudsakligen verkställighet av häktning och straffrättsliga påföljder. Av häktesverksamheten omfattas endast sådan häktning som ligger inom brottsdatalagens tillämpningsområde. Det innebär att verkställighet av häktning enligt konkurslagen (1987:672) inte omfattas och inte heller förvaring i häkte för andra ändamål än brottsutredning, lagföring och verkställighet av straffrättsliga påföljder. Att annan häktesverksamhet ligger utanför tillämpningsområdet beror på att Kriminalvården då inte agerar som behörig myndighet enligt brottsdatalagen. I straffverkställighet ingår verkställighet av fängelsestraff och av de frivårdspåföljder som Kriminalvården har ansvaret för. I verkställigheten ingår också att förhindra eller förebygga brott under häktning och verkställighet av påföljder, att förebygga återfall i brott och att upprätthålla säkerheten. När övervakningsnämnderna behandlar personuppgifter görs det också inom ramen för straffverkställighet. Straffverkställighet omfattar även utländska domar, om verkställigheten har övertagits från den andra staten. Lagen gäller också för sådan personuppgiftsbehandling som utförs inom kriminalvården i syfte att biträda andra behöriga myndigheter när de utför uppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen, dvs. förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, samt upprätthålla allmän ordning och säkerhet. Vad det innebär utvecklas i avsnitt 13.2.1 och i kommentaren till 2 kap. 1 §.

Personuppgiftsansvar

2 § I paragrafen anges vilka myndigheter som är personuppgiftsansvariga. Övervägandena finns i avsnitt 13.2.2. Personuppgiftsansvarig är den myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Den personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen. Den personuppgiftsansvarige ska t.ex. genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas (3 kap. 2 §). Det ankommer också på den personuppgiftsansvarige att se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (3 kap. 6 §). Av första stycket framgår att Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Bestämmelsen motsvarar i den delen hittillsvarande 4 §. Enligt andra stycket är en övervakningsnämnd personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför. Övervakningsnämnderna är självständiga myndigheter och ansvarar alltså för sin 322

egen personuppgiftsbehandling. Det hindrar inte att nämnderna kan samarbeta och t.ex. utse ett gemensamt dataskyddsombud.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 13.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning. Enligt första stycket får personuppgifter behandlas om det är nödvändigt för att kunna utföra vissa uppgifter. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att kunna verkställa häktning eller straffrättsliga påföljder. De påföljder som är aktuella är fängelsestraff, skyddstillsyn och villkorlig dom med föreskrift om samhällstjänst. Med fängelsestraff avses här även sådant fängelsestraff som utgör förvandlingsstraff för böter eller vite. Regleringen omfattar även motsvarande straffrättsliga påföljder som utdömts i en annan stat om påföljden ska verkställas i Sverige. Verkställigheten av häktning omfattar, som framgår av kommentaren till 1 kap. 1 §, endast sådan häktning som ligger inom brottsdatalagens tillämpningsområde. Personuppgifter får, enligt punkt 2 , behandlas om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet. Med verkställighet avses här både verkställighet av häktning och verkställighet av straffrättsliga påföljder. När myndigheten behandlar personuppgifter för att utföra sådana uppgifter, t.ex. för att undvika att placera intagna som tillhör rivaliserande gäng tillsammans eller förhindra att narkotika tas in på ett häkte eller i en kriminalvårdsanstalt, utgör det alltså en tillåten behandling. För att regleringen inte ska tolkas för snävt används här uttrycket ”i samband med verkställighet”. Det kan t.ex. vara osäkert om ett visst handlande som har betydelse ur säkerhetssynpunkt ligger före, under eller efter verkställigheten. Enligt punkt 3 får personuppgifter behandlas om det är nödvändigt för att biträda andra behöriga myndigheter när de fullgör uppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. I det ingår bl.a. Kriminalvårdens personutredningar i brottmål och transporter av häktade under brottsutredningar eller till och från domstolsförhandlingar i brottmål. Vidare omfattas det biträde som består i att Kriminalvården på vissa orter hanterar Polismyndighetens arrestverksamhet. Även biträde åt övervakningsnämnder eller domstolar bl.a. vid omhändertagande enligt 28 kap. 11 § brottsbalken om undanröjande av skyddstillsyn omfattas. Personuppgifter får, enligt punkt 4 , behandlas om det är nödvändigt för att myndigheten ska kunna utföra en suppgift som följer av en internatio- 323

nell förpliktelse. Sådana internationella förpliktelser kan bestå i exempelvis att ta över straffverkställighet från en annan stat för verkställighet i Sverige eller att tillfälligt förvara personer som transporteras genom Sverige för straffverkställighet i ett annat land. Det kan också vara fråga om att hantera någon som har frihetsberövats med stöd av en arresteringsorder. I andra stycket anges att det ska vara fråga om en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att utföra uppgiften. Med lag jämställs bl.a. EU-förordningar.

2 § I paragrafen upplyses om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 6 och 13.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i avsnitt 6.3 och i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Känsliga personuppgifter

3 § I paragrafen regleras när biometriska uppgifter får behandlas. Övervägandena finns i avsnitt 13.3.2. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen som personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Paragrafen möjliggör således användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster får användas för att identifiera en person. Biometriska uppgifter får behandlas enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behandlingen av de biometriska uppgifterna ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att behandla sådana uppgifter måste prövas särskilt noga.

Utlämnande av personuppgifter

4 § I paragrafen anges när personuppgifter får lämnas ut till en utländsk myndighet eller internationell organisation. Övervägandena finns i avsnitt 13.3.2. Bestämmelserna är sekretessbrytande. När personuppgifter överförs till tredjeland ska även bestämmelserna i 8 kap. brottsdatalagen beaktas. Punkt 1 gäller vid överflyttning av straffverkställighet till en annan stat. En liknande bestämmelse finns i hittillsvarande 48 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. En 324

förutsättning är att informationen lämnas till en myndighet i den andra staten som har till uppdrag att pröva om straffverkställigheten ska överflyttas eller att genomföra överflyttningen av verkställigheten till den andra staten. De personuppgifter som det kan vara fråga om rör bl.a. påföljden och den dömdes anknytning till den andra staten. Om verkställighet pågår i Sverige är uppgifter om verkställigheten av stor betydelse. Punkt 2 avser den situationen att Kriminalvården behöver lämna information till en annan stats myndigheter om en person som är frihetsberövad och ska transiteras genom den andra staten. Personuppgifter som kan behöva överföras kan t.ex., utöver direkta personuppgifter, röra säkerhetsfrågor eller frågor som rör den enskildes behov av specialkost eller medicinering. Enligt punkt 3 får personuppgifter lämnas ut till en annan stats myndigheter om det behövs t.ex. för att en person som avtjänar fängelsestraff i Sverige tillfälligt ska kunna överföras till den andra staten för att där vittna i en brottmålsrättegång eller lagföras för brott. De personuppgifter som det kan röra sig om är av samma slag som anges i punkt 2.

Längsta tid som personuppgifter får behandlas

5 § Paragrafen anger den längsta tid under vilken uppgifter om en person får behandlas automatiserat. Övervägandena finns i avsnitt 5.5. Bestämmelsen i första stycket, som motsvarar hittillsvarande 7 §, anger hur länge personuppgifter får behandlas för att myndigheten ska kunna utföra någon av de uppgifter som anges i 2 kap. 1 §. Av stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 6 §). I andra stycket finns en upplysning om att det i 3 kap. 7 § finns bestämmelser om längsta tid för behandling av personuppgifter i säkerhetsregistret.

Rätt att meddela föreskrifter

6 § I paragrafen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka personuppgifter som får behandlas, utlämnande av personuppgifter i andra fall än som anges i lagen, frågor som rör direktåtkomst till personuppgifter och längsta tid som personuppgifter får behandlas. Övervägandena finns i avsnitt 5.7. Regeringen eller den myndighet som regeringen bestämmer kan även meddela föreskrifter om att personuppgifter får behandlas under längre tid än vad som följer av 5 § för arkivändamål av allmänt intresse eller för 325

vetenskapliga, statistiska eller historiska ändamål, vilket motsvarar hittillsvarande 7 § andra stycket.

3 kap. Säkerhetsregistret

Rätten att föra register

1 § I paragrafen regleras rätten att föra ett säkerhetsregister. Övervägandena finns i avsnitt 13.5.1. Bestämmelser om säkerhetsregistret finns i hittillsvarande 39–41 och 43–45 §§ förordningen om behandling av personuppgifter inom kriminalvården. I säkerhetsregistret får personuppgifter behandlas för två syften. Enligt punkt 1 får personuppgifter behandlas i syfte att förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet. Personuppgifter får enligt punkt 2 behandlas för att säkerställa ordning och säkerhet på häkten och i kriminalvårdsanstalter och annan verksamhet som Kriminalvården bedriver. Till det sistnämnda hör bl.a. halvvägshus och utslussningsenheter.

Innehåll i registret

2 § Paragrafen reglerar, tillsammans med 3 och 4 §§, vilka personkategorier som får registreras i säkerhetsregistret. I denna paragraf anges huvudregeln för behandling av personuppgifter i registret. Övervägandena finns i avsnitt 13.5.2. Utgångspunkten för att det ska få finnas uppgifter om en person i registret är att han eller hon bedöms utgöra en säkerhetsrisk. Endast uppgifter om personer som är häktade eller verkställer ett fängelsestraff och som på någon av de särskilt uppräknade grunderna bedöms medföra en säkerhetsrisk för häktesverksamheten eller vid straffverkställigheten får behandlas i registret enligt denna paragraf. Regleringen träffar bara dem som är häktade eller intagna i kriminalvårdsanstalt för sådana syften som omfattas av brottsdatalagens tillämpningsområde. Därför får t.ex. personuppgifter om den som är häktad enligt konkurslagen eller som förvaras i häkte med stöd av utlänningslagstiftningen inte behandlas i registret med stöd av denna bestämmelse. Grunderna för registrering motsvarar i allt väsentligt regleringen i hittillsvarande 39 och 40 §§ förordningen om behandling av personuppgifter inom kriminalvården. Av första stycket framgår att uppgifter om personer som är eller har varit placerade på säkerhetsavdelning får behandlas i registret. Vad som krävs för placering på säkerhetsavdelning framgår av 2 kap. 4 § fängelselagen (2010:610). Registret får enligt andra stycket innehålla uppgifter om en intagen eller häktad, om det finns risk för att han eller hon under häktningen eller verkställigheten av straffet begår brott eller utövar viss brottslig verksamhet eller på annat sätt äventyrar ordning och säkerhet på ett häkte eller i en kriminalvårdsanstalt. Registreringen bygger således på en risk- 326 bedömning.

Enligt punkt 1 får personuppgifter behandlas i registret om det finns risk för att en häktad eller intagen begår brott som inte är ringa. Om ett brott är ringa eller inte får bedömas med utgångspunkt i omständigheterna i det enskilda fallet och brottets straffskala. Redan misstanke om brott kan läggas till grund för registrering, eftersom det är fråga om en riskbedömning. För registrering krävs således inte att det är straffrättsligt prövat att personen har begått brott. Vidare får personuppgifter behandlas om det finns risk för att den häktade eller intagne utövar brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller mer. En sådan risk kan, beroende på omständigheterna i det enskilda fallet, föreligga i fråga om en intagen som har begått mycket allvarlig brottslighet eller som har anknytning till grov organiserad brottslighet. Det är straffskalan för brottet som är avgörande för om uppgifterna får registreras. Regleringen innebär att brott som har ett maximistraff om två års fängelse eller mer omfattas. Genom formuleringen omfattas även livstidsstraff. Det är endast brott eller brottslig verksamhet i häkte eller under verkställighet av fängelsestraff som får beaktas. Punkt 2 innebär att personuppgifter får behandlas beträffande en häktad eller intagen, om det finns risk för att han eller hon förbereder rymning eller försöker rymma. Enligt punkt 3 får uppgifter behandlas om en häktad eller intagen om det finns risk för att han eller hon blir föremål för fritagning. Tidigare försök till rymning eller fritagning kan tyda på att det finns en sådan risk. Enligt punkt 4 får uppgifter om en häktad eller intagen behandlas om det finns risk för att han eller hon bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt. Det behöver inte vara fråga om ett straffbart handlande. Kravet på att ordningsstörningen ska vara allvarlig innebär att inte alla störningar får beaktas. Punkt 5 innebär att uppgifter om en person som riskerar att utsättas för våld eller hot under verkställigheten också får registreras i säkerhetsregistret. Det kan behövas för att förhindra att en intagen placeras tillsammans med personer som kan utgöra ett hot mot honom eller henne under verkställigheten. Av 2 kap. 9 § brottsdatalagen följer att det ska framgå av registret att personen i fråga inte själv utgör en säkerhetsrisk.

3 § Paragrafen reglerar tillsammans med 2 och 4 §§ vilka personkategorier som får registreras i säkerhetsregistret. Övervägandena finns i avsnitt 13.5.3. Gruppen av personer som får registreras med stöd av denna paragraf är bredare än i 2 §. Paragrafen kan tillämpas på alla som verkställer en påföljd inom kriminalvården. Förutom fängelsestraff är det fråga om frivårdspåföljder som kriminalvården ansvarar för. Förutsättningen för att personuppgifter ska få behandlas är att det finns risk för att personen utövar våld eller hot mot eller otillbörlig påverkan på personal inom kriminalvården eller andra personer som uppehåller sig i kriminalvårdens lokaler. Otillbörlig påverkan kan i vissa fall innefatta ett straffbart handlande, t.ex. utpressning, men även andra former av påverkan kan utgöra grund för registrering, t.ex. förtäckta hot. Den som t.ex. genom brev eller 327

telefonsamtal hotar kriminalvårdens personal omfattas av regleringen, eftersom det inte krävs att hotet uttalas i kriminalvårdens lokaler. Regleringen träffar också den som i kriminalvårdens lokaler utövar våld mot andra klienter eller personer som tillfälligt befinner sig i lokalerna.

4 § Paragrafen reglerar möjligheten att i säkerhetsregistret behandla uppgifter om personer som inte är intagna i häkte eller verkställer påföljd. Övervägandena finns i avsnitt 13.5.4. Enligt paragrafen får Kriminalvården även behandla uppgifter om personer som har personlig anknytning till eller annan nära förbindelse med någon som är registrerad i säkerhetsregistret med stöd av 2 §. Det krävs dock att registreringen är absolut nödvändig för ändamålet med behandlingen. Det ställs således väsentligt högre krav för registrering med stöd av nu aktuell paragraf. Med personlig anknytning avses t.ex. anhöriga eller andra närstående till en registrerad. En person som har nära förbindelse med den som är registrerad enligt 2 § kan exempelvis vara en tidigare medbrottsling. Genom kravet på nära förbindelse utesluts professionella aktörer som t.ex. försvarare, kontaktpersoner och tolkar som i den egenskapen har en förbindelse med en registrerad. Uppgifter om sådana personer får alltså inte registreras. Uppgifter om personer som registreras med stöd av paragrafen och som inte själva är häktade eller intagna ska alltid förses med en särskild upplysning om det enligt 2 kap. 9 § brottsdatalagen. Genom sådana upplysningar kan man skilja anknytningspersoner från sådana personer som själva utgör en säkerhetsrisk.

Sökning

5 § Paragrafen reglerar Kriminalvårdens möjlighet att använda känsliga personuppgifter vid sökning i personuppgifter i säkerhetsregistret. Övervägandena finns i avsnitt 13.5.5. Paragrafen motsvarar hittillsvarande 41 § andra stycket förordningen om behandling av personuppgifter inom kriminalvården. I paragrafen görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen. Enligt paragrafen är det tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på vissa känsliga personuppgifter. Därmed tillåts sökningar som görs för att få fram ett urval av personer som t.ex. har visst etniskt ursprung eller viss religiös åskådning. Sökningar av det slaget kan behövas för t.ex. placering av en intagen. Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras, medlemskap i fackförening eller biometriska uppgifter. Sökning som syftar till att få fram ett urval av personer grundat på sådana uppgifter är alltså inte tillåten. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sök- 328

ningar enligt förevarande paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Direktåtkomst

6 § I paragrafen regleras möjligheten att medge direktåtkomst till säkerhetsregistret. Övervägandena finns i avsnitt 13.5.6. Paragrafen motsvarar hittillsvarande 44 § första stycket förordningen om behandling av personuppgifter inom kriminalvården. De myndigheter som räknas upp är Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten. Direktåtkomst får endast medges för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Vilka personuppgifter som får göras tillgängliga genom direktåtkomst regleras i förordning.

Längsta tid som personuppgifter får behandlas

7 § Paragrafen anger den längsta tid som personuppgifter i säkerhetsregistret får behandlas. Övervägandena finns i avsnitt 13.5.7. Paragrafen motsvarar i huvudsak hittillsvarande 45 § förordningen om behandling av personuppgifter inom kriminalvården. Av bestämmelsen framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 2 kap. 6 §).

Rätt att meddela föreskrifter

8 § I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om innehållet i säkerhetsregistret och om utlämnande av personuppgifter ur registret. Övervägandena finns i avsnitt 13.5.8.

4 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Paragrafen reglerar vid vilka överträdelser sanktionsavgift får tas ut. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av for- 329

muleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av bestämmelserna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas även vid överträdelser enligt förevarande lag. Enligt andra stycket får sanktionsavgift även tas ut vid överträdelse av föreskrifter som har meddelats i anslutning till lagen och som rör särskild upplysning eller längsta tid som personuppgifter får behandlas. I tredje stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. Paragrafen motsvarar hittillsvarande 8 §. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen finns en upplysning om att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande och om vilka beslut som får överklagas. Övervägandena finns i avsnitt 5.4.4.

Ikraftträdande- och övergångsbestämmelser

Övervägandena kring ikraftträdande- och övergångsbestämmelserna finns i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet. Bestämmelsen tydliggör att sanktionsavgift inte får beslutas för en överträdelse som har skett före ikraftträdandet, även om sanktionsavgift skulle betraktas som en mildare åtgärd än ett straff. Enligt punkt 3 ska äldre föreskrifter fortsätta att gälla för överträdelser av bestämmelser om personuppgiftsbehandling som skett före ikraftträdandet. Den gäller endast för sådana överträdelser som varit straffbara enligt 49 § personuppgiftslagen. Vid bedömningen av om det varit fråga

om en överträdelse ska de krav som gällde för personuppgiftsbehandling vid tidpunkten för överträdelsen tillämpas. I punkt 4 föreskrivs att äldre föreskrifter också ska gälla för överklagande av beslut om behandling av personuppgifter i sådana syften som anges i 1 kap. 1 § som har meddelats före ikraftträdandet. Punkten tar inte bara sikte på själva överklagandet utan också på vilket regelverk som ska tillämpas när överklagandet prövas. Äldre föreskrifter ska tillämpas även i det fallet.

18.9 Förslaget till lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang

8 a § Paragrafen reglerar rätten att fotografera den som har eller skäligen kan antas få tillträdesförbud. I paragrafen ersätts en hänvisning till lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 14.5.

18.10 Förslaget till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

1 § I paragrafen anges vad Säkerhets- och integritetsskyddsnämnden utövar tillsyn över. Övervägandena finns i avsnitt 15.4. Första stycket är oförändrat. I andra stycket tydliggörs vad tillsynen över Polismyndighetens, Säkerhetspolisens och Ekobrottsmyndighetens personuppgiftsbehandling omfattar. I stycket anges att nämndens tillsyn omfattar dels sådan behandling av personuppgifter som utförs enligt lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område, dels sådan behandling som omfattas av tillämpningsområdet för den lagen men som utförs enligt brottsdatalagen. Det innebär att personuppgiftsbehandling som är undantagen från tillämpningsområdet för lagen om polisens behandling av personuppgifter inom brottsdatalagens område enligt 1 kap. 2 och 3 §§ den lagen inte omfattas. Att polisdatalagen (2010:361) byter namn till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område hindrar inte att nämnden utövar tillsyn över sådan behandling av personuppgifter som ligger i tiden före namnbytet. Det tredje stycket är oförändrat.

3 § Paragrafen reglerar Säkerhets- och integritetsskyddsnämndens skyldighet att på begäran av enskild kontrollera om han eller hon har varit föremål för personuppgiftsbehandling eller användning av hemliga tvångsmedel och om handläggningen har varit författningsenlig. Övervägandena finns i avsnitt 15.4. Ändringarna i första stycket är enbart redaktionella. Någon ändring i sak är inte avsedd. Det andra stycket motsvarar sista meningen i paragrafens nuvarande lydelse. I tredje stycket , som är nytt, föreskrivs att nämnden får vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. Syftet med bestämmelsen är att skapa utrymme för nämnden att underlåta att utföra kontroll i vissa fall. En begäran om kontroll kan vara orimlig om den upprepas med alltför täta intervall. Det är inte heller alltid rimligt att nämnden ska behöva kontrollera personuppgiftsbehandling som ligger långt tillbaka i tiden. Finns det inte längre möjlighet att begära skadestånd för kränkande personuppgiftsbehandling saknas det som regel anledning att utföra kontroll. Någon bestämd gräns för hur gamla förhållanden som bör kontrolleras anges dock inte.

4 § I paragrafen slås fast att nämnden har rätt att få de uppgifter och det biträde för sin tillsyn som den begär. Övervägandena finns i avsnitt 15.4. I paragrafen tydliggörs genom ett tillägg att nämnden har rätt att få tillgång till all den information och de upplysningar som den anser sig behöva för sin tillsyn. Det innebär en rätt att inte bara få tillgång till de personuppgifter som behandlas och dokumentation som rör den behandlingen utan också tillgång till dokumentation som rör it-system, information om säkerhetsåtgärder och liknande. På motsvarande sätt har nämnden rätt att få all information som behövs för tillsynen över handläggningen av hemliga tvångsmedel.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att äldre föreskrifter fortfarande ska gälla för Säkerhets- och integritetsskyddsnämndens tillsyn över Säkerhetspolisens personuppgiftsbehandling i frågor som rör nationell säkerhet med stöd av polisdatalagen (2010:361) i lydelsen före den 1 januari 2019 och enligt polisdatalagen (1998:622). Någon ändring i sak i förhållande till i dag är inte avsedd .

18.11 Förslaget till lag om ändring i offentlighetsoch sekretesslagen (2009:400)

18 kap.

2 § Paragrafen reglerar sekretess till skydd för underrättelseverksamhet. Övervägandena finns i avsnitt 15.1.1. I första stycket ändras hänvisningarna till Polismyndighetens reglering av personuppgiftsbehandling. För Säkerhetspolisens del gäller fortfarande den äldre bestämmelsen, vilket framgår av en övergångsbestämmelse. I andra stycket ändras hänvisningar till lagar som byter namn. Tredje och fjärde styckena är oförändrade.

18 § I paragrafen, som innehåller en sekretessbrytande bestämmelse, ersätts en hänvisning till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 15.1.1.

35 kap.

1 § Paragrafen reglerar sekretess för enskilds personliga och ekonomiska förhållanden i viss brottsbekämpande verksamhet. Övervägandena finns i avsnitt 15.1.1. I första stycket ändras hänvisningarna till lagar som byter namn. För Säkerhetspolisens del gäller fortfarande den äldre bestämmelsen, vilket framgår av en övergångsbestämmelse. Hänvisningen till lagen (2010:362) om polisens allmänna spaningsregister tas bort, eftersom den lagen upphört att gälla. Andra–fjärde styckena är oförändrade.

4 a § Paragrafen reglerar sekretessen för tillträdesförbudsregistret. Övervägandena finns i avsnitt 14.5. I första stycket ändras hänvisningen till lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang till en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område, där registret numera regleras. Andra stycket är oförändrat.

10 § Paragrafen innehåller hänvisningar till sekretessbrytande bestämmelser i ett antal andra lagar. Övervägandena finns i avsnitt 15.1.1. Hänvisningar till lagar som byter namn ändras. För Säkerhetspolisens del gäller fortfarande den äldre bestämmelsen, vilket framgår av en övergångsbestämmelse. Vidare görs redaktionella ändringar.

10 b § Paragrafen innehåller en sekretessbrytande bestämmelse. Övervägandena finns i avsnitt 14.5. Hänvisningen till lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang ändras till en hänvisning till lagen om polisens behandling av personuppgifter inom brottsdatalagens område, där registret numera regleras.

37 kap.

7 § I paragrafen, som innehåller en sekretessbrytande bestämmelse, ändras en hänvisning till en lag som byter namn. Övervägandena finns i avsnitt 15.1.1.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att den äldre bestämmelsen i 18 kap. 2 § fortfarande gäller för sådan verksamhet hos Säkerhetspolisen som avses i 6 kap. 1 § 1 polisdatalagen (2010:361) i lydelsen före 1 januari 2019, dvs. i Säkerhetspolisens underrättelseverksamhet. Punkt 3 innebär att de äldre bestämmelserna i 35 kap. 1 § och 35 kap. 10 § fortfarande gäller för Säkerhetspolisens personuppgiftsbehandling med stöd av polisdatalagen (2010:361) i lydelsen före den 1 januari 2019. Punkt 4 innebär att äldre bestämmelser fortfarande gäller för uppgifter i handlingar som omhändertagits för arkivering före ikraftträdande av lagen.

18.12 Förslaget till lag om ändring i polisdatalagen (2010:361)

Lagen får ett nytt namn, lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område, och anpassas till bestämmelserna i brottsdatalagen. Fyra kapitel upphävs och fem nya införs. Även i de övriga kapitlen upphävs vissa paragrafer, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter, som i dag är utspridda, samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer. Vidare flyttas bestämmelserna om behandling av personuppgifter som transportföretag tillhandahåller enligt bestämmelser i polislagen (1984:387) och bestämmelserna i tillträdesförbudsregistret till den nu aktuella lagen. Flertalet bestämmelser om längsta tid för behandling av personuppgifter samlas i ett särskilt kapitel. Det gäller dock inte de bestämmelser om längsta tid för behandling som är knutna till särskilda register. De återfinns fortfarande i samma kapitel som registret i fråga. 334

Som en anpassning till brottsdatalagen tillkommer ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. Bestämmelserna om Säkerhetspolisens behandling av personuppgifter upphävs. Polisdatalagen (2010:361) i dess äldre lydelse gäller enligt en övergångsbestämmelse för Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet. Säkerhetspolisens behandling som rör nationell säkerhet ska enligt förslag i SOU 2017:74 regleras i en särskild lag. Överväganden gällande de generella ändringarna i lagen finns i kapitel 4, 5 och 6 och gällande övriga ändringar i kapitel 7.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 7.2.1. Av första stycket framgår att lagen gäller utöver brottsdatalagen för Polismyndigheten, Ekobrottsmyndigheten och Säkerhetspolisen när någon av dem i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter för vissa syften. Lagen är tillämplig även när svenska myndigheter behandlar personuppgifter inom ramen för det internationella samarbetet, t.ex. i syfte att gagna utländsk brottsbekämpande verksamhet. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Enligt punkt 1 gäller lagen för Polismyndigheten om personuppgifter behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Vad det närmare innebär utvecklas i kommentaren till 2 kap. 1 §. För Ekobrottsmyndigheten gäller lagen enligt punkt 2 om syftet med personuppgiftsbehandlingen är att utreda brott och det inte är fråga om åklagarverksamhet. I sådan verksamhet gäller i stället lagen om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Vad som avses med åklagarverksamhet utvecklas i avsnitt 7.2.1. Lagen om polisens behandling av personuppgifter inom brottsdatalagens område ska tillämpas i myndighetens övriga verksamhet för att utreda brott. Att lagen även ska tillämpas i den underrättelseverksamhet som före- 335

kommer vid Ekobrottsmyndigheten följer av punkten 1, eftersom det är Polismyndigheten som bedriver den verksamheten. För Säkerhetspolisen gäller lagen enligt punkt 3 enbart när myndigheten agerar som behörig myndighet enligt brottsdatalagen i frågor som inte rör nationell säkerhet och syftet med personuppgiftsbehandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet, eller utreda eller lagföra brott. Det handlar om ett fåtal situationer där Säkerhetspolisen övertar en arbetsuppgift från Polismyndigheten eller där Säkerhetspolisen biträder Polismyndigheten. I andra stycket tydliggörs att det endast är vissa kapitel i lagen som gäller för Ekobrottsmyndigheten och Säkerhetspolisen. Kapitel 5 om särskilda register och kapitel 6 om behandling av personuppgifter vid Polismyndigheten för forensiska ändamål ska bara tillämpas av Polismyndigheten.

2 § I paragrafen, som i huvudsak motsvarar 1 kap. 3 § polisdatalagen, föreskrivs att lagen inte gäller vid behandling av personuppgifter enligt sex uppräknade lagar. Dessa lagar innehåller särregler inom brottsdatalagens tillämpningsområde. Övervägandena finns i avsnitt 7.2.1.

3 § Paragrafen, som delvis motsvarar 1 kap. 4 § polisdatalagen, anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete och lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen.

Personuppgiftsansvar

4 § I paragrafen, som motsvarar 2 kap. 4 § och 6 kap. 5 § första stycket polisdatalagen, regleras personuppgiftsansvaret. Övervägandena finns i avsnitt 7.2.2. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen. Regleringen i första stycket av Polismyndighetens personuppgiftsansvar anpassas till den terminologi som används i lagen i övrigt. Ansvaret omfattar dels all behandling av personuppgifter enligt lagen vid Polismyndigheten, dels den behandling av personuppgifter som myndigheten utför vid Ekobrottsmyndigheten. Det sistnämnda avser behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Av andra stycket framgår att Ekobrottsmyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen i syfte att utreda brott. Säkerhetspolisens personuppgiftsansvar, som regleras i tredje stycket , omfattar behandling av personuppgifter som myndigheten utför enligt lagen. 336

Uttryck i lagen

5 § Paragrafen, som motsvarar 2 kap. 3 § polisdatalagen, innehåller definitioner av vissa uttryck som används i lagen. I paragrafen görs endast språkliga ändringar.

Behandling av uppgifter om juridiska personer

6 § I paragrafen, som motsvarar 1 kap. 6 § polisdatalagen, anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 5.4.1.

Lagens uppbyggnad

7 § Paragrafen, som i huvudsak motsvarar 1 kap. 7 § polisdatalagen, anger hur lagen är uppbyggd. Övervägandena finns i avsnitt 7.2.3. Enligt första stycket gäller 1 kap., som innehåller allmänna bestämmelser, för all behandling enligt lagen. Detsamma gäller 7 kap., som innehåller bestämmelser om administrativa sanktionsavgifter och rättsmedel. I 2 kap. finns det grundläggande bestämmelser om behandling. Det kapitlet gäller också för all behandling enligt lagen, med undantag för behandling enligt 6 kap., som rör Polismyndighetens behandling av personuppgifter för forensiska ändamål. I 4 kap., som reglerar längsta tid för behandling av personuppgifter, finns det också generella regler, men de är inte tillämpliga på behandling i de särskilda register som regleras i 5 kap. De ska inte heller tillämpas vid behandling av personuppgifter i Polismyndighetens forensiska verksamhet, som regleras i 6 kap. Av andra stycket framgår att 3 kap. enbart gäller för uppgifter som görs eller har gjorts gemensamt tillgängliga. I 5 kap. särregleras vissa register. Av tredje stycket framgår att 5 kap. gäller i stället för 3 och 4 kap. I fjärde stycket anges vad som gäller för behandling av personuppgifter i den forensiska verksamheten, som regleras i 6 kap. Då gäller det kapitlet i stället för 2–4 kap.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 7.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning.

Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra vissa uppgifter . Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Eftersom lagen tillämpas av flera myndigheter måste bestämmelsen läsas tillsammans med regleringen i 1 kap. 1 § av tillämpningsområdet för att det ska kunna avgöras vilka punkter som är relevanta för respektive myndighet. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet. Det är framför allt underrättelseverksamhet som regleras i punkten. Med det avses arbete med insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att något konkret brott har begåtts (se prop. 2009/10:85 s. 318). Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott. Personuppgiftsbehandling vid annan brottsförebyggande verksamhet, t.ex. brottsofferarbete, omfattas också. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att utreda eller lagföra brott. Med utreda brott avses framför allt att genomföra förundersökning enligt 23 kap. rättegångsbalken, oavsett om det är Polismyndigheten eller åklagare som leder förundersökningen. Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Är det fråga om undersökning av icke konkretiserad brottslig verksamhet tillämpas punkt 1 (se prop. 2009/10:85 s. 318). Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rättegångsbalken och personuppgiftsbehandling vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas. Punkten omfattar även annan utredning som görs enligt bestämmelserna i 23 kap. rättegångsbalken (se prop. 2009/10:85 s. 319). Med lagföra brott avses här utfärdande av förelägganden av ordningsbot. I tidigare förarbeten utvecklas närmare vad det innebär (se prop. 2009/10:85 s. 318 f.). Enligt punkt 3 får personuppgifter behandlas om det är nödvändigt för att upprätthålla allmän ordning och säkerhet. Det är endast Polismyndigheten som har sådana arbetsuppgifter att personuppgiftsbehandling enligt denna punkt kan bli aktuell. Vilka arbetsuppgifter det kan vara fråga om utvecklas i lagrådsremissen Brottsdatalag, avsnitt 6.4.3. Personuppgifter får enligt punkt 4 också behandlas om det är nödvändigt för att fullgöra förpliktelser som följer av internationella åtaganden. Behandling enligt denna punkt tar sikte på sådana förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2009/10:85 s. 319). I andra stycket anges att det ska vara fråga om en uppgift som framgår av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Motsvarande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Med lag jämställs bl.a. EUförordningar.

Behandling för nya ändamål

2 § I paragrafen finns en upplysning om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 6 och 7.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i avsnitt 6.3 och i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Särskilda upplysningar

3 § I paragrafen begränsas tillämpningen av bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen. Övervägandena finns i avsnitt 5.3.11. Det är endast personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § som i vissa fall ska förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas bara av ett fåtal personer behöver särskilda upplysningar inte lämnas. Personuppgifter som förekommer i de särskilda register som behandlas i 5 kap. behöver inte heller förses med särskilda upplysningar, eftersom dessa personuppgifter inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § I paragrafen regleras när biometriska uppgifter får behandlas. Övervägandena finns i avsnitt 7.3.2. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen. Att biometriska uppgifter också får behandlas i den forensiska verksamheten framgår av 6 kap. 4 §. Paragrafen möjliggör användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster får användas för att identifiera en person. Biometriska uppgifter får behandlas av Polismyndigheten och Säkerhetspolisen om det är absolut nödvändigt för ändamålet med behandlingen. Det innebär att behovet av att behandla sådana uppgifter måste prövas särskilt noga.

5 § I paragrafen, som tillsammans med 6 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 7.3.3. Undantaget gäller både vid sökning i personuppgifter som har gjorts gemensamt tillgängliga och i personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som be- 339

skriver en persons utseende används som sökbegrepp, även om det skulle leda till ett urval av personer grundat på känsliga personuppgifter som t.ex. hälsa eller sexuell läggning Med uppgifter som beskriver en persons utseende avses signalementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (jfr prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett urval av personer grundat på uppgifter som rör hälsa. Sökning på t.ex. vissa sexualbrott eller tillvägagångssätt vid brott kan resultera i ett urval av personer grundat på sexualliv eller sexuell läggning. Ett urval av personer grundat på uppgifter om hälsa kan även bli resultatet vid sökning på exempelvis olika vårdpåföljder. Uppgifter om tatueringar kan t.ex. avslöja viss politisk åsikt eller religiös övertygelse. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

6 § I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 7.3.3. Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §. Det avser dels uppgifter som endast ett fåtal personer har tillgång till och dels uppgifter som finns i de register som behandlas i 5 kap. (t.ex. penningtvättsregistret och internationella registret). Som framgår av 1 kap. 7 § gäller inte 3 kap. för de register som behandlas i 5 kap, varför uppgifter i dessa register inte har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §. Sökning i sådana uppgifter får göras i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Sådana sökningar kan aktualiseras bl.a. vid utredning av brott som kan ha etniska, politiska eller religiösa motiv. Sökning kan också vara motiverad för att kartlägga sambandet mellan personer i kriminella nätverk som hålls samman av etniskt ursprung eller personer som begår vissa brott på grund av sin ideologiska övertygelse. Vid vissa brottstyper, exempelvis sexualbrott, kan återfall i brott vara vanligt och motivera att sökning görs som kan avslöja sexualliv eller sexuell läggning vid brott med okänd gärningsman. Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras. Sökning i genetiska eller biometriska uppgifter är enligt 6 kap. 4 § enbart tillåtet i den forensiska verksamheten. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning 340

enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

7 § Paragrafen innehåller sekretessbrytande bestämmelser om utlämnande av personuppgifter till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar i huvudsak 2 kap. 15 § polisdatalagen. Första stycket ändras endast redaktionellt. Ändringen i andra stycket är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Sekretessen bryts och personuppgifter får lämnas ut om mottagaren behöver dem för något av de syften som räknas upp i 1 §. Det innebär att möjligheterna till utlämnande utökas något, eftersom lagen även gäller vid upprätthållande av allmän ordning och säkerhet. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen också beaktas. I tredje stycket görs en redaktionell ändring.

8 § Genom paragrafen bryts viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 2 kap. 16 § polisdatalagen. I första stycket läggs, i förtydligande syfte, Polismyndigheten till i uppräkningen av myndigheter i förhållande till vilka sekretessen bryts. Det tydliggörs också att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. I andra stycket görs en redaktionell ändring.

9 § Paragrafen innehåller en bestämmelse som i fråga om uppgifter i dnaregister bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 2 kap. 17 § polisdatalagen. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Paragrafen ändras också redaktionellt.

10 § Paragrafen innehåller en bestämmelse som i fråga om uppgifter i fingeravtrycks- och signalementsregister bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 2 kap. 18 § polisdatalagen. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Paragrafen ändras också redaktionellt. 341

11 § Paragrafen innehåller en sekretessbrytande bestämmelse som motsvarar nuvarande 9 § lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Tillträdesförbudsregistret regleras i 5 kap. 23–26 §§. Övervägandena finns i avsnitt 14.3.

12 § Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Övervägandena finns i avsnitt 5.6.4. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Är det fråga om processmaterial som översänds till parter eller ombud bör även principen om parternas likställdhet i processen beaktas. Frågan om elektroniskt utlämnande till enskilda är särskilt svårbedömd när det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personuppgifterna kan komma att behandlas i strid med dataskyddsförordningen eller dataskyddslagen om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.). Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efterforska syftet med begäran, vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. Andra stycket motsvarar 2 kap. 21 § polisdatalagen och innehåller en upplysning om att direktåtkomst endast är tillåten i den utsträckning som anges i lagen.

Personuppgifter från transportföretag

13 § Paragrafen reglerar tillsammans med 14 § hur personuppgifter som ett transportföretag tillhandahåller enligt 25 § polislagen får behandlas. Övervägandena finns i avsnitt 7.4.1 och 7.4.2. Regleringen avser uppgifter om ankommande eller avgående transporter av bl.a. passagerare och fordon som transportföretag befordrar till och från Sverige. Det rör sig alltså om bokningsuppgifter i framför allt flygoch färjetrafik. Transportföretagens skyldighet att tillhandahålla uppgifter regleras fortfarande i polislagen. I lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen regleras personuppgiftsbehandling som avses i den lagen. Om den lagen eller föreskrifter som regeringen har meddelat i anslutning till lagen innehåller avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. Detta följer av 1 kap. 3 §. I första stycket tydliggörs att uppgifter från transportföretag endast får behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Enligt andra stycket får personuppgifter som avses i första stycket bara i enskilda fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brottsdatalagen. Ett exempel kan vara att ett brott upptäcks och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs i ett underrättelseärende. Det framgår av 3 kap. 2 § i vilken utsträckning som personuppgifter från transportföretag får göras gemensamt tillgängliga.

14 § I paragrafen anges hur uppgifter från transportföretag som tillhandahålls genom terminalåtkomst får behandlas. Paragrafen motsvarar delvis nuvarande 26 § andra stycket polislagen. Övervägandena finns i avsnitt 7.4.1. Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 13 § anger vad som gäller i fråga om personuppgifter som förs över till myndighetens it-system eller behandlas strukturerat på annat sätt. Genom terminalåtkomsten till företagens it-system får polisen tillgång till omfattande överskottsinformation om resande. Myndigheten får inte ändra eller på annat sätt bearbeta uppgifter i sådana system. Syftet med regleringen är att myndigheten inte heller ska kunna föra över en hel sådan uppgiftssamling till sina egna it-system för att bearbeta, ändra och lagra personuppgifterna där. Som framgår av 13 § får uppgifter däremot i enskilda fall behandlas för nya ändamål om förutsättningarna för det är uppfyllda.

Rätt att meddela föreskrifter

15 § I paragrafen, där bestämmelser om föreskrifter samlas, finns en upplysning om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut i andra fall än som anges i 7–11 §§ (vilket motsvarar 2 kap. 19 § första stycket polisdatalagen) och om begränsning av möjligheterna 343

att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 5.6.4.

3 kap.

Allmän bestämmelse

1 § Av paragrafen framgår att kapitlet innehåller särskilda bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2009/10:85 s. 334 f. I första stycket anpassas regleringen till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Av andra stycket framgår att kapitlet inte gäller när personuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

2 § I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. I första stycket finns två nya punkter som anger ytterligare uppgifter som får göras gemensamt tillgängliga. Ändringarna behandlas i avsnitt 7.5.1. Enligt punkt 4 får personuppgifter som förekommer i ett ärende om kontaktförbud eller ett ärende om personskydd göras gemensamt tillgängliga. Utöver de uppgifter som registreras i belastningsregistret om den som meddelas kontaktförbud, finns det andra uppgifter som ligger till grund för sådana beslut som kan behöva göras gemensamt tillgängliga. Det kan t.ex. vara fråga om uppgifter om närstående till en person som skyddas av ett kontaktförbud, där det antingen kan vara viktigt att personens adressuppgifter inte röjs i andra sammanhang eller att det finns tillgång till uppgifter om närstående som också kan komma att utsättas för trakasserier eller brott. Genom formuleringen ”berörs av” tydliggörs att om t.ex. en person som skyddas av ett kontaktförbud har barn som bor på samma adress och som inte själva skyddas av kontaktförbud, får uppgifter om barnen också göras gemensamt tillgängliga om det behövs för skyddet. Det kan i vissa fall vara viktigt att göra uppgifter om en person som har begärt kontaktförbud gemensamt tillgängliga trots att frågan om kontaktförbud ännu inte är slutligt avgjord, om det finns en akut risk för att personen utsätts för brott. Även i ärenden där underlaget inte har bedömts räcka till för ett kontaktförbud, kan personuppgifter behöva göras gemensamt tillgängliga för att uppmärksamma risken för brott mot personen i fråga. På motsvarande sätt kan uppgifter som förekommer i ärenden om personskydd och om närstående till den som har personskydd i vissa fall behöva göras gemensamt tillgängliga, för att det inom myndigheten ska

finnas allmän kännedom om att en viss person är i behov av sådant skydd. Enligt punkt 6 får uppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet också göras gemensamt tillgängliga. Det kan t.ex. vara fråga om uppgifter om personer som bedöms kunna utgöra hot mot allmän ordning och säkerhet i samband med ett planerat idrottsarrangemang, en demonstration eller en politisk sammankomst. Sådana uppgifter kan i många fall göras gemensamt tillgängliga med stöd av andra punkter i paragrafen. Denna punkt ger emellertid en generell möjlighet att göra sådana personuppgifter tillgängliga utan någon kontroll av om den som personuppgiften rör är registrerad i underrättelseverksamheten, är misstänkt för brott eller förekommer i något annat sammanhang som ger möjlighet att göra personuppgifterna gemensamt tillgängliga. Punkt 1–3 ändras endast redaktionellt och punkt 5 är oförändrad. Punkt 7 motsvarar nuvarande punkt 4. I andra stycket görs endast redaktionella ändringar. Tredje stycket är oförändrat.

3 § I paragrafen föreskrivs att personuppgifter som har gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2 eller 5 ska förses med en särskild upplysning. Övervägandena finns i avsnitt 5.3.11. Att det ska framgå för vilket närmare ändamål personuppgifterna behandlas följer av 2 kap. 3 § brottsdatalagen. Paragrafen ändras också redaktionellt.

4 § I paragrafen regleras i vilken utsträckning sådana uppgifter i underrättelseverksamhet som har gjorts gemensamt tillgängliga ska förses med särskilda upplysningar. Övervägandena finns i avsnitt 5.3.11. Enligt första stycket ska det framgå av uppgifter i underrättelseverksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för polisens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet eller som övervakas på visst sätt förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verksamhet. Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet 345

i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas. Utrymmet för att underlåta att förse uppgifter med upplysning om trovärdighet och riktighet utökas något genom att det inte längre krävs särskilda omständigheter för att upplysningskravet inte ska gälla. Det är tillräckligt att det på grund av de samlade omständigheterna är onödigt att förse uppgifterna med en upplysning.

5 § Paragrafen innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer, samordningsnummer eller liknande identitetsbeteckningar. Övervägandena finns i avsnitt 7.5.2. Genom ett tillägg begränsas paragrafen till att endast gälla vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i lagrådsremissen Brottsdatalag, avsnitt 9.2.2. Punkt 1–6 i första stycket är oförändrade. Enligt punkt 7 , som är ny, får uppgifter om att en person berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende tas fram vid sökning. I punkt 8–12 görs enbart redaktionella ändringar. Andra stycket flyttas till 9 §.

6 § Paragrafen innehåller undantag från begränsningarna i 5 §. Övervägandena finns i avsnitt 7.5.2. Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller i ett visst ärende. Enligt andra stycket gäller begränsningarna i 5 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkt 1, som motsvarar 6 § i polisdataförordningen (2010:1155), när de utför beredningsuppgifter och arbetet befinner sig i ett inledande skede i underrättelseverksamheten. Syftet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband mellan nya och befintliga underrättelseuppgifter. Det är således bara under en begränsad tid efter det att uppgifterna kom in som punkten är tillämplig. Så snart beredningsarbetet har avslutats upphör möjligheten att göra sökningar med stöd av den nu aktuella punkten. Enligt punkt 2 är sökningar i syfte att bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet eller för övervakningen av en allvarligt kriminellt belastad person tillåtna, om det endast är de tjänstemän som får göra sökningen som också har tillgång till uppgifterna. Punkt 3 ändras endast redaktionellt. Enligt punkt 4 , som är ny, gäller inte begränsningarna i 5 § vid sökning i syfte att samordna utredningar av brott som kan vara systematiska och 346

för vilka det är föreskrivet fängelse i två år eller mer. Sådana sökningar kan krävas för att finna samband mellan brott som kan ha begåtts i organiserad form eller i olika delar av landet eller där det annars finns inslag av systematik. Undantaget i tredje stycket är nytt. Det innebär att begränsningarna i 5 § inte gäller när en tjänsteman i någon av Polismyndighetens ledningscentraler utför sökning på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. Fjärde stycket flyttas till 9 §.

7 § I paragrafen anges vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. I förtydligande syfte läggs Polismyndigheten till i uppräkningen i första stycket . Paragrafen ändras med anledning av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Den ändras också redaktionellt. Andra stycket , som motsvaras av bestämmelsen i 3 kap. 6 § brottsdatalagen, utgår. Tredje stycket flyttas till 9 §.

8 § I paragrafen, som motsvarar 3 kap. 7 § fjärde stycket polisdatalagen, finns en upplysning om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 5 §.

9 § I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om begränsning av tillgången till sådana uppgifter som anges i 5 §, vilket motsvarar 3 kap. 6 § andra stycket polisdatalagen, under vilka förutsättningar sökning får utföras med stöd av 6 §, vilket motsvarar 3 kap. 7 § tredje stycket polisdatalagen, och omfattningen av direktåtkomst och om behörighet och säkerhet vid sådan åtkomst, vilket motsvarar 3 kap. 8 § tredje stycket polisdatalagen.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Flertalet av bestämmelserna som anger hur länge personuppgifter får behandlas samlas i detta kapitel. Övervägandena finns i avsnitt 5.5.1. Bestämmelser om hur länge personuppgifter får behandlas i de register som regleras i 5 kap. och i den forensiska verksamheten som regleras i 6 kap. finns dock fortfarande i de kapitlen. I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller för uppgifter som behandlas automatiserat. Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med 347

hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen. I paragraferna i detta kapitel anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den inte behandlas längre än vad som anges i respektive paragraf. Tredje stycket innehåller en uppräkning av de bestämmelser om hur länge personuppgifter får behandlas som finns i 5 och 6 kap.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § I paragrafen, som motsvarar 2 kap. 13 § polisdatalagen, anges hur länge uppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Någon ändring av hur länge sådana personuppgifter får behandlas görs inte. Övervägandena finns i avsnitt 5.5.2. Av första stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 12 § 1). Andra stycket klargör att paragrafen inte ska tillämpas på ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Paragrafen, som motsvarar 3 kap. 10 § polisdatalagen, reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Övervägandena finns i avsnitt 5.5.3.Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelserna hindrar alltså inte att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen.

4 § Paragrafen, som motsvarar 3 kap. 11 § polisdatalagen, reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får behandlas. Övervägandena finns i avsnitt 5.5.3. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelserna hindrar alltså inte att

uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Terminologin i första stycket anpassas till den som används i lagen i övrigt. Vissa redaktionella ändringar görs också. Terminologin anpassas även i andra stycket . Tredje stycket är oförändrat.

5 § Paragrafen, som motsvarar 3 kap. 13 § polisdatalagen, reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. Paragrafen ändras endast redaktionellt.

Övriga gemensamt tillgängliga uppgifter

6 § I paragrafen anges att det i de följande paragraferna finns bestämmelser om hur länge vissa typer av gemensamt tillgängliga uppgifter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Övervägandena finns i avsnitt 5.5.2. Av paragrafen framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i 7– 10 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 12 §).

7 § Paragrafen, som i huvudsak motsvarar 3 kap. 14 § andra och sjätte styckena polisdatalagen, reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Övervägandena finns i avsnitt 7.6. Enligt första stycket , som är nytt, får personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 och som behandlas i ett ärende inte behandlas längre än ett år efter det att ärendet avslutades. I andra stycket görs ingen ändring i fråga om hur länge personuppgifterna får behandlas men stycket anpassas till den terminologi som används i lagen i övrigt. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Frågan behandlas i avsnitt 5.5.4. Tredje stycket ändras endast redaktionellt.

8 § Paragrafen, som motsvarar 3 kap. 14 § tredje och sjätte styckena polisdatalagen, reglerar hur länge uppgifter om en person som är föremål för övervakning enligt 3 kap. 2 § första stycket 2 får behandlas. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

9 § Paragrafen reglerar hur länge personuppgifter som behandlas i ärenden om kontaktförbud eller personskydd eller som behandlas i syfte att fullgöra internationella åtaganden får behandlas. Första stycket , som inte har någon motsvarighet i polisdatalagen, reglerar hur länge uppgifter i ärenden om kontaktförbud eller personskydd får behandlas. Sådana personuppgifter får inte behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades. Övervägandena finns i avsnitt 7.5.1. I andra stycket , som motsvarar 3 kap. 14 § fjärde stycket polisdatalagen, anges hur länge personuppgifter som behandlas i syfte att fullgöra internationella åtaganden får behandlas. Sådana uppgifter får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

10 § Paragrafen reglerar hur länge personuppgifter som har rapporterats till Polismyndighetens ledningscentraler och uppgifter som har gjorts gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet får behandlas. Den frist som gäller för hur länge uppgifter som har rapporterats till Polismyndighetens ledningscentraler får behandlas, som motsvarar 3 kap. 14 § femte stycket polisdatalagen, ändras inte. Samma frist gäller för personuppgifter som har gjorts gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet, vilket behandlas i avsnitt 7.5.1. Sådana personuppgifter får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Rätt att meddela föreskrifter

11 § I paragrafen, som motsvarar 3 kap. 12 § och 15 § första stycket polisdatalagen, finns en upplysning om att regeringen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i 3, 4 eller 7–10 §. Övervägandena finns i avsnitt 5.5.3.

12 § I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter dels om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får 350

fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, vilket motsvarar 2 kap. 12 § andra stycket och 13 § tredje stycket samt 3 kap. 15 § andra stycket polisdatalagen, dels om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering, vilket motsvarar motsvarande 2 kap. 12 § andra stycket. Övervägandena finns i avsnitt 5.5.2 och 5.5.3.

5 kap.

Register över dna-profiler

Rätten att föra register 1 § Paragrafen, som motsvarar 4 kap. 1 § polisdatalagen, reglerar Polismyndighetens rätt att föra dna-register (dna-registret, utredningsregistret och spårregistret). Övervägandena finns i avsnitt 7.7.1. I första stycket förtydligas i vilka syften dna-registren får föras. Någon ändring i sak är inte avsedd. Stycket ändras också redaktionellt. Andra stycket är oförändrat.

Dna-registret 2 § Paragrafen, som motsvarar 4 kap. 2 § polisdatalagen, är oförändrad frånsett språkliga justeringar.

3 § Paragrafen, som motsvarar 4 kap. 3 § polisdatalagen, är oförändrad frånsett en språklig justering.

Utredningsregistret 4 § Paragrafen, som motsvarar 4 kap. 4 § polisdatalagen, är oförändrad frånsett språkliga justeringar.

Spårregistret 5 § Paragrafen, som motsvarar 4 kap. 5 § polisdatalagen, är oförändrad frånsett en språklig justering.

6 § Paragrafen, som motsvarar 4 kap. 6 § polisdatalagen, är oförändrad frånsett språkliga justeringar.

Längsta tid som personuppgifter får behandlas 7 § I paragrafen, som motsvarar 4 kap. 7 § polisdatalagen, anges den längsta tid under vilken uppgifter om en person får behandlas i dna-registren. Någon ändring i fråga om hur länge uppgifterna får behandlas görs inte. Övervägandena finns i avsnitt 5.5.2. Av första stycket framgår att personuppgifter av nu aktuellt slag, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Behandlingen av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut. Terminologin anpassas till den som används i lagen i övrigt. Andra och tredje styckena anpassas till den terminologi som används i lagen i övrigt. I fjärde stycket ersätts uppräkningen av vissa brott med en hänvisning till 35 kap. 2 § första stycket brottsbalken. Det innebär ingen ändring i sak.

Prover för dna-analys 8 § Paragrafen, som motsvarar 4 kap. 8 § polisdatalagen, är oförändrad frånsett språkliga justeringar.

9 § Paragrafen, som motsvarar 4 kap. 9 § polisdatalagen, är oförändrad frånsett språkliga justeringar.

Direktåtkomst 10 § I paragrafen, som motsvarar 4 kap. 10 § första stycket polisdatalagen, anges förutsättningarna för att medge direktåtkomst till dna-registren. Direktåtkomst får bara medges för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

Fingeravtrycks- och signalementsregister

Rätten att föra register 11 § Paragrafen, som motsvarar 4 kap. 11 § och 12 § tredje stycket polisdatalagen, reglerar Polismyndighetens rätt att föra fingeravtrycks- och signalementsregister. Övervägandena finns i avsnitt 7.7.2. I en uppräkning anges i vilka syften fingeravtrycks- och signalementsregister får föras. Genom ett tillägg, som motsvarar 2 kap. 8 § första stycket punkt 6 polisdatalagen, tydliggörs att registret också får föras för att kontrollera fingeravtryck som Migrationsverket har tagit enligt 9 kap. 8 § utlänningslagen (2005:716). Någon ändring i sak är inte avsedd.

Innehåll i registren 12 § I paragrafen, som motsvarar 4 kap. 12 § polisdatalagen, regleras vilka personer som fingeravtrycks- och signalementsregister får innehålla uppgifter om. Första och andra styckena är oförändrade. I tredje stycket görs en redaktionell ändring.

13 § Paragrafen, som motsvarar 4 kap. 12 a § polisdatalagen, reglerar behandling av fingeravtrycks- och signalementsuppgifter som överförts till Sverige med stöd av det s.k. Ecris-beslutet. Den är oförändrad.

14 § Paragrafen, som motsvarar 4 kap. 13 § polisdatalagen och anger vilka uppgifter fingeravtrycks- och signalementsregister får innehålla, är oförändrad.

Längsta tid som personuppgifter får behandlas 15 § Paragrafen, som motsvarar 4 kap. 14 § polisdatalagen, anger tillsammans med 16 § den längsta tid under vilken uppgifter om en person får behandlas i fingeravtrycks- och signalementsregister. Terminologin anpassas till den som används i lagen i övrigt. Övervägandena finns i avsnitt 5.5.2. Av paragrafen framgår att personuppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i paragrafen (jfr 27 §).

16 § Paragrafen, som motsvarar 4 kap. 15 § polisdatalagen, anger tillsammans med 15 § den längsta tid under vilken uppgifter om en person får behandlas i fingeravtrycks- och signalementsregister. Ändringarna är av samma slag som i 15 §. Övervägandena finns i avsnitt 5.5.2.

Direktåtkomst 17 § I paragrafen, som motsvarar 4 kap. 17 § första stycket polisdatalagen, regleras förutsättningarna för att medge direktåtkomst. Direktåtkomst får bara medges för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

Penningtvättsregister

Rätten att föra register 18 § I paragrafen, som motsvarar 4 kap. 18 § första stycket polisdatalagen, regleras Polismyndighetens rätt att föra penningtvättsregister. Den är oförändrad.

19 § I paragrafen, som motsvarar 4 kap. 19 § polisdatalagen, regleras vilka personuppgifter som får behandlas i penningtvättsregister. Den ändras endast redaktionellt.

Längsta tid som personuppgifter får behandlas 20 § Paragrafen, som motsvarar 4 kap. 20 § första stycket polisdatalagen, anger den längsta tid under vilken uppgifter om en person får behandlas i penningtvättsregister. Övervägandena finns i avsnitt 5.5.2 och 5.5.4. Fristen för hur länge personuppgifter får behandlas ska endast påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Övriga ändringar är av samma slag som i 15 §.

Det internationella registret

Rätten att föra register 21 § I paragrafen, som motsvarar 4 kap. 21 § första och andra styckena polisdatalagen, regleras Polismyndighetens rätt att föra ett internationellt register. Den är oförändrad.

Längsta tid som personuppgifter får behandlas 22 § Paragrafen, som motsvarar 4 kap. 22 § första stycket polisdatalagen, anger den längsta tid under vilken uppgifter om en person får behandlas i det internationella registret. Ändringarna är av samma slag som i 15 §. Övervägandena finns i avsnitt 5.5.2.

Tillträdesförbudsregistret

Rätten att föra register 23 § Paragrafen reglerar Polismyndighetens rätt att föra ett särskilt register över tillträdesförbud vid idrottsarrangemang, tillträdesförbudsregistret. Övervägandena finns i avsnitt 14.3. Paragrafen motsvarar nuvarande 2 § 354

och 6 § första stycket lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang.

Innehåll i registret 24 § Paragrafen, som reglerar vilka uppgifter som tillträdesförbudsregistret får innehålla, motsvarar nuvarande 8 § lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Övervägandena finns i avsnitt 14.3.

25 § Paragrafen ger Polismyndigheten rätt att behandla personuppgifter i syfte att tillgodose idrottsorganisationernas behov av att få tillgång till uppgifter om gällande tillträdesförbud. Övervägandena finns i avsnitt 14.3. Paragrafen motsvarar nuvarande 6 § andra stycket lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang, men anpassas till den terminologi som används i lagen i övrigt. Någon ändring i sak är inte avsedd. I 2 kap. 11 § finns en sekretessbrytande regel som ger idrottsorganisationer rätt att ta del av nu aktuella uppgifter utan hinder av den sekretess som gäller enligt 35 kap. 4 a § offentlighets- och sekretesslagen (2009:400).

Längsta tid som personuppgifter får behandlas 26 § Paragrafen, som anger hur länge uppgifter får behandlas i tillträdesförbudsregistret, motsvarar nuvarande 12 § lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Ändringarna är av samma slag som i 15 §. Övervägandena finns i avsnitt 14.3.

Rätt att meddela föreskrifter

27 § I paragrafen, där bestämmelser om föreskrifter samlas, finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om omfattningen av direktåtkomsten till dnaregister och fingeravtrycks- och signalementsregister och om behörighet och säkerhet vid direktåtkomst, vilket motsvarar 4 kap. 10 § tredje stycket och 17 § tredje stycket polisdatalagen, tillgången till personuppgifter i penningtvättsregister och det internationella registret, vilket motsvarar 4 kap. 18 § andra stycket och 21 § tredje stycket polisdatalagen och att personuppgifter i fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, vilket motsvarar 4 kap. 16 §, 20 § andra stycket och 22 § andra stycket polisdatalagen).

6 kap.

3 § I paragrafen anges vad som gäller när personuppgifter som behandlas för forensiska ändamål ska behandlas för nya ändamål. Övervägandena finns i avsnitt 7.8.3. Förutsättningarna för behandling för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Möjligheten att behandla sådana uppgifter för nya ändamål utanför den forensiska verksamheten begränsas till vissa typer av uppgifter och till behandling i enskilda fall. Paragrafen ändras också till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

4 § Paragrafen, som är ny, anger förutsättningarna för att behandla biometriska och genetiska uppgifter i den forensiska verksamheten. Övervägandena finns i avsnitt 7.8.4. Biometriska respektive genetiska uppgifter definieras i 1 kap. 6 § brottsdatalagen. Sådana uppgifter får behandlas enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Det innebär att de bara får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Om material har samlats in på en brottsplats eller annars tagits om hand inom ramen för en brottsutredning och materialet behöver analyseras forensiskt, får det anses vara absolut nödvändigt att behandla personuppgifterna i fråga.

5 § I paragrafen, som är ny, görs undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 7.8.4. Undantaget innebär att det i forensisk verksamhet är tillåtet att göra sökningar i dna-registren och fingeravtrycks- och signalementsregistren i syfte att få fram ett urval av personer grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter. Dna-registren och fingeravtrycksregistren består till stor del av biometriska uppgifter. Sökning på uppgifter i dessa register leder därmed till urval av personer grundade på biometriska uppgifter. I fingeravtrycksregistren kan det t.ex. behöva göras sökningar för att få fram uppgifter om personer som saknar en eller flera fingrar, vilket förutom att vara en biometrisk uppgift också kan vara en uppgift om hälsa.

6 § Paragrafen anger den längsta tid under vilken uppgifter om en person får behandlas för forensiska uppslag. Någon ändring i fråga om hur länge personuppgifterna får behandlas görs inte. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

7 § Paragrafen innehåller en sekretessbrytande bestämmelse. Första stycket ändras till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. I andra stycket görs endast en redaktionell ändring.

8 § I paragrafen, som är ny, föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Övervägandena finns i avsnitt 5.6.4. Vilka omständigheter som kan påverka den bedömningen framgår av kommentaren till 2 kap. 12 §.

9 § I paragrafen, som är ny, finns en upplysning om att regeringen kan meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 5.6.4.

10 § I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter som begränsar behandlingen av personuppgifter vid digital arkivering.

7 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Paragrafen, som är ny, reglerar vid vilka överträdelser sanktionsavgift får tas ut. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av bestämmelserna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas även vid överträdelser enligt förevarande lag. I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. 357

Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med förevarande lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen finns en upplysning om att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande. Exempelvis kommer bestämmelsen i 7 kap. 3 § brottsdatalagen att tillämpas när tillsynsmyndigheten beslutar om sanktionsavgift enligt 1 §. Övervägandena finns i avsnitt 5.4.4.

Ikraftträdande- och övergångsbestämmelser

Övervägandena angående ikraftträdande- och övergångsbestämmelserna finns i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet. Punkt 3 innebär att 6 kap. polisdatalagen i lydelsen före den 1 januari 2019, med de hänvisningar som görs där till andra bestämmelser i polisdatalagen fortfarande gäller för Säkerhetspolisens behandling av personuppgifter i frågor som rör nationell säkerhet. När dataskyddslagen träder ikraft upphävs personuppgiftslagen (1998:204). Enligt en övergångsbestämmelse gäller personuppgiftslagen fortfarande i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den lagen. Även de hänvisningar till personuppgiftslagen som finns i polisdatalagen i lydelsen före den 1 januari 2019 gäller därför fortsatt för Säkerhetspolisens behandling av uppgifter i aktuellt avseende.

18.13 Förslaget till lag om ändring i kustbevakningsdatalagen (2012:145)

Lagen får ett nytt namn, lagen (2012:145) om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område, och renodlas så att den enbart omfattar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Det innebär bl.a. att ett av kapitlen upphävs. Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till att ytterligare tre kapitel upphävs och fyra nya införs. Bestämmelserna om föreskrifter, som nu är utspridda, samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer. 358

Bestämmelserna om längsta tid för behandling av personuppgifter samlas i ett särskilt kapitel. Som en anpassning till brottsdatalagen tillkommer ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i avsnitt 4, 5 och 6 och övriga ändringar i avsnitt 9.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 9.2. Lagen gäller utöver brottsdatalagen när Kustbevakningen i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter för vissa syften. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Lagen gäller om syftet med personuppgiftsbehandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

Behandling för nya ändamål

2 § Paragrafen, som motsvarar 1 kap. 2 § tredje stycket kustbevakningsdatalagen, anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete. Övervägandena finns i avsnitt 15.2.

Personuppgiftsansvar

3 § Paragrafen, som motsvarar 2 kap. 4 § kustbevakningsdatalagen, reglerar personuppgiftsansvaret. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen. 359

Behandling av uppgifter om juridiska personer

4 § I paragrafen, som motsvarar 1 kap. 3 § kustbevakningsdatalagen, anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 5.4.1. Uppräkningen i paragrafen av bestämmelser som gäller vid behandling av uppgifter om juridiska personer motsvarar nuvarande reglering.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 9.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning. Kustbevakningen får enligt första stycket behandla personuppgifter om det är nödvändigt för att utföra vissa uppgifter. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet. Det är framför allt Kustbevakningens underrättelseverksamhet som avses. Med underrättelseverksamhet avses arbete med insamling, bearbetning och analys av information i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att något konkret brott har begåtts (se prop. 2011/12:45 s. 203). Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott. Personuppgiftsbehandling vid annan brottsförebyggande verksamhet omfattas också. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att utreda eller lagföra brott. Att utreda brott innebär framför allt att genomföra förundersökning enligt 23 kap. rättegångsbalken. Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rättegångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas. Med lagföra brott avses att utfärda förelägganden av ordningsbot. Kustbevakningen får enligt punkt 3 behandla personuppgifter om det är nödvändigt för att upprätthålla allmän ordning och säkerhet. När en kustbevakningstjänsteman ingriper vid en konkret ordningsstörning, eller en potentiell sådan störning vid en specifik händelse, är det fråga om att upprätthålla allmän ordning och säkerhet. Detsamma gäller vid ingripande eller andra åtgärder för att avvärja brott. Det kan t.ex. vara fråga 360

om åtgärder enligt 13 § polislagen (1984:387) eller enligt lagstiftningen om sjöfartsskydd eller hamnskydd. Kustbevakningen får enligt punkt 4 behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna fullgöra förpliktelser som följer av internationella åtaganden. Behandling enligt denna punkt tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2011/12:45 s. 204). I andra stycket anges att det ska vara fråga om en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EUförordningar.

Behandling för nya ändamål

2 § I paragrafen finns en upplysning om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 6 och 7.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i avsnitt 6.3 och i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Särskilda upplysningar

3 § I paragrafen begränsas tillämpningen av bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen. Övervägandena finns i avsnitt 5.3.11. Det är endast personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § som i vissa fall ska förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas av bara ett fåtal personer behöver särskilda upplysningar inte lämnas.

Känsliga personuppgifter

4 § I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 9.3.3. Undantaget gäller både vid sökning i personuppgifter som har gjorts gemensamt tillgängliga och i personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används som sökbegrepp. Att uppgifter om tillvägagångssätt vid brott får användas vid sökning är nytt. Sådan sökning kan aktualiseras bl.a. vid vissa smugglingsbrott. Med uppgifter som beskriver en persons utseende avses signalementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar 361

(se prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett urval av personer grundat på uppgifter som rör hälsa. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

5 § I paragrafen, som tillsammans med 4 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 9.3.3. Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som enbart ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett urval av personer grundat på etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa. Sådana sökningar kan aktualiseras bl.a. vid utredning av brott som kan ha anknytning till etniska grupper eller ha religiösa motiv. Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras, politiska åsikter, medlemskap i fackförening, sexualliv eller sexuell läggning eller sökning i genetiska eller biometriska uppgifter. Sökningar som syftar till att få fram ett urval av personer grundat på sådana uppgifter är alltså inte tillåtna. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

6 § Paragrafen innehåller sekretessbrytande bestämmelser om utlämnande av personuppgifter till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar i huvudsak 3 kap. 6 § kustbevakningsdatalagen. I första stycket görs endast en redaktionell ändring. Av andra stycket framgår att personuppgifter får lämnas ut bara om mottagaren behöver dem för något av de syften som anges i 1 §. Det innebär att möjligheterna till utlämnande utökasnågot, eftersom lagen även gäller vid upprätthållande av allmän ordning och säkerhet. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen också beaktas. I tredje stycket görs en redaktionell ändring.

7 § Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 3 kap. 7 § kustbevakningsdatalagen. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen, som är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, behandlas i avsnitt 4.4.

8 § Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Övervägandena finns i avsnitt 5.6.4. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Frågan om elektroniskt utlämnande till enskilda är särskilt svårbedömd när det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personuppgifterna kan komma att behandlas i strid med dataskyddsförordningen eller dataskyddslagen om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.). Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efterforska syftet med begäran, vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. Andra stycket motsvarar 2 kap. 9 § kustbevakningsdatalagen och innehåller en upplysning om att direktåtkomst endast är tillåten i den utsträckning som anges i lagen.

Rätt att meddela föreskrifter

9 § I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut även i andra fall än som anges i 6 och 7 §§, vilket motsvarar 3 kap. 8 § första stycket kustbevakningsdatalagen, och om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 5.6.4.

3 kap.

Allmän bestämmelse

1 § Av paragrafen framgår att kapitlet innehåller bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. I första stycket anges vad kapitlet innehåller. Vidare anges vad som avses med uttrycket gemensamt tillgängliga uppgifter, vilket motsvarar 1 kap. 4 § kustbevakningsdatalagen. Vad det innebär utvecklas i prop. 2011/12:145 s. 210 f. Av andra stycket framgår att kapitlet inte gäller när personuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

2 § I paragrafen, som i huvudsak motsvarar 4 kap. 1 § kustbevakningsdatalagen, anges vilka personuppgifter som får göras gemensamt tillgängliga. Övervägandena finns i avsnitt 9.4.2. Regleringen anpassas även till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. I punkt 1 görs endast en redaktionell ändring. I punkt 2 anpassas terminologin till den som används i lagen i övrigt. Enligt punkt 3 , som är ny, får personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet göras gemensamt tillgängliga. Det kan t.ex. vara fråga om uppgifter om personer som bedöms kunna utgöra ett hot mot allmän ordning och säkerhet. Inför förväntade ordningsstörningar riktade mot sjötrafiken eller enskilda fartyg kan Kustbevakningen behöva göra uppgifter gemensamt tillgängliga om personer som vid tidigare tillfällen gjort sig skyldiga till ordningsstörningar. Punkt 4 är oförändrad. Punkt 5 motsvarar nuvarande punkt 3.

3 § I paragrafen, som i huvudsak motsvarar 4 kap. 3 § kustbevakningsdatalagen, föreskrivs att uppgifter i underrättelseverksamhet som är gemensamt tillgängliga ska förses med särskilda upplysningar. Övervägandena finns i avsnitt 5.3.11.

Enligt första stycket ska det framgå av uppgifter i underrättelseverksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för myndighetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verksamhet. Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas. Utrymmet för att underlåta att förse uppgifter med upplysning om trovärdighet och riktighet utökas något genom att det inte längre krävs särskilda omständigheter för att upplysningskravet inte ska gälla. Det är tillräckligt att det på grund av de samlade omständigheterna är onödigt att förse uppgifterna med en upplysning.

4 § Paragrafen, som i huvudsak motsvarar 4 kap. 5 § första stycket kustbevakningsdatalagen, innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer, samordningsnummer eller liknande identitetsbeteckningar. Övervägandena finns i avsnitt 9.4.3. Genom ett tillägg begränsas paragrafen till att endast gälla vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i lagrådsremissen Brottsdatalag, avsnitt 9.2.2. Paragrafen ändras i övrigt endast redaktionellt.

5 § Paragrafen, som motsvarar 4 kap. 6 § första stycket kustbevakningsdatalagen, innehåller undantag från begränsningarna i 4 §. Övervägandena finns i avsnitt 9.4.3. Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller i ett visst ärende. Enligt andra stycket gäller begränsningarna i 4 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän i syfte att bearbeta och 365

analysera personuppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet, om det endast är de tjänstemän som får göra sökningen som har tillgång till informationen.

6 § I paragrafen, som motsvarar 4 kap. 7 § första stycket kustbevakningsdatalagen, anges vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Paragrafen ändras som en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Den ändras också redaktionellt.

7 § I paragrafen, som motsvarar 4 kap. 6 § tredje stycket kustbevakningsdatalagen, finns en upplysning om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 4 §.

8 § I paragrafen, där övriga bestämmelser om föreskrifter som rör gemensamt tillgängliga uppgifter samlas, finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i 4 §, vilket motsvarar 4 kap. 5 § andra stycket kustbevakningsdatalagen, under vilka förutsättningar sökning får utföras med stöd av 5 §, vilket motsvarar 4 kap. 6 § andra stycket kustbevakningsdatalagen och omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst, vilket motsvarar 4 kap. 7 § tredje stycket kustbevakningsdatalagen.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § De bestämmelser som anger hur länge personuppgifter får behandlas samlas i detta kapitel. Övervägandena finns i avsnitt 5.5.1. I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller för personuppgifter som behandlas automatiserat. Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen. I övriga paragrafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § I paragrafen, som motsvarar 3 kap. 5 § kustbevakningsdatalagen, anges hur länge personuppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Övervägandena finns i avsnitt 5.5.2. Någon ändring av hur länge sådana personuppgifter får behandlas görs inte. Av första stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i förevarande paragraf (jfr 11 §). Andra stycket klargör att paragrafen inte ska tillämpas på ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Paragrafen, som motsvarar 4 kap. 9 § kustbevakningsdatalagen, reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Övervägandena finns i avsnitt 5.5.3. Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen, vilket innebär att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen.

4 § Paragrafen, som motsvarar 4 kap. 10 § kustbevakningsdatalagen, reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får behandlas. Övervägandena finns i avsnitt 5.5.3. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen, vilket innebär att uppgifterna får fortsätta att behandlas automatiserat bl.a. för arkivändamål efter de tidpunkter som anges i paragrafen. Terminologin i första och andra styckena anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Vissa redaktionella ändringar görs också. Tredje stycket är oförändrat.

5 § Paragrafen, som motsvarar 4 kap. 12 § kustbevakningsdatalagen, reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. I paragrafen görs endast en redaktionell ändring.

Övriga gemensamt tillgängliga uppgifter

6 § I paragrafen anges att det i de följande paragraferna finns bestämmelser om hur länge vissa typer av gemensamt tillgängliga uppgifter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Övervägandena finns i avsnitt 5.5.2. Av paragrafen framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i 7– 9 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 11 §).

7 § Paragrafen, som motsvarar 4 kap. 13 § andra stycket kustbevakningsdatalagen, reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Övervägandena finns i avsnitt 5.5.5 Någon ändring görs inte i fråga om hur länge personuppgifterna får behandlas. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Paragrafen anpassas också till den terminologi som används i lagen i övrigt.

8 § Paragrafen, som motsvarar 4 kap. 13 § fjärde stycket kustbevakningsdatalagen, reglerar hur länge personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet och personuppgifter som har rapporterats till Kustbevakningens ledningscentral får behandlas. Den frist som gäller för hur länge uppgifter som har rapporterats till Kustbevakningens ledningscentral får behandlas, som motsvarar 4 kap. 13 § tredje stycket kustbevakningsdatalagen, ändras inte. Samma frist gäller för personuppgifter som har gjorts gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet, vilket behandlas i avsnitt 9.4.2. Sådana personuppgifter får inte behandlas längre än ett år 368

efter utgången av det kalenderår då de behandlades automatiserat första gången. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

9 § Paragrafen, som motsvarar 4 kap. 13 § tredje stycket kustbevakningsdatalagen, reglerar hur länge personuppgifter som behandlas i syfte att fullgöra internationella åtaganden får behandlas. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Rätt att meddela föreskrifter

10 § I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–9 §§, vilket motsvarar 4 kap. 11 § och 14 § första stycket kustbevakningsdatalagen, och om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering, vilket motsvarar 3 kap. 4 § tredje stycket kustbevakningsdatalagen. Övervägandena finns i avsnitt 5.5.3. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

11 § I paragrafen, som motsvarar 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket kustbevakningsdatalagen, finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål. Övervägandena finns i avsnitt 5.5.2. Paragrafen anpassas till den terminologi som används i lagen i övrigt och ändras också redaktionellt.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Paragrafen, som är ny, reglerar vid vilka överträdelser sanktionsavgift får tas ut. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av bestämmelserna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt förevarande lag. 369

I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas vid behandling av personuppgifter i strid med förevarande lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen finns en upplysning om att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande. Övervägandena finns i avsnitt 5.4.4.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet. Punkt 3 innebär att äldre föreskrifter fortfarande gäller vid Kustbevakningens behandling av personuppgifter som inte utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, dvs. på dataskyddsförordningens område.

18.14 Förslaget till lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas

1 § Paragrafen reglerar Polismyndighetens rätt att föra register över dnaprofiler. I första och andra styckena görs endast redaktionella ändringar. I tredje stycket ersätts en hänvisning till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.2.1. 370

2 § Paragrafen reglerar förhållandet till annan personuppgiftsreglering. I paragrafen föreskrivs att lagen gäller utöver brottsdatalagen. Övervägandena finns i avsnitt 15.3. Vad det innebär att lagen gäller utöver brottsdatalagen utvecklas i kommentaren till 1 kap. 1 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

4 § Av paragrafen framgår vilka jämförelser som får göras med dna-profiler i elimineringsdatabasen. I första och andra styckena ersätts hänvisningar till polisdatalagen med hänvisningar till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.2.1. Vidare görs redaktionella ändringar. I tredje stycket görs endast redaktionella ändringar.

11 § Paragrafen reglerar hur länge uppgifter får behandlas i elimineringsdatabasen. Av första stycket , som är nytt, framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Det innebär att all automatiserad behandling av personuppgifterna ska upphöra när de tider som anges i paragrafen har löpt ut. Ändringarna i andra–femte styckena består enbart i anpassningar till brottsdatalagen och den terminologi som används i den lagen. Övervägandena finns i avsnitt 15.3.

12 § Paragrafen, som behandlas i avsnitt 15.3, hänvisar till bestämmelsen om skadestånd 7 kap. 1 § brottsdatalagen, som ska tillämpas på motsvarande sätt när det har förekommit felaktig behandling av personuppgifter enligt förevarande lag. Vad hänvisningen innebär utvecklas i kommentaren till 7 kap. 2 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område.

18.15 Förslaget till lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

Bestämmelserna om Polismyndighetens behandling av personuppgifter flyttas, av de skäl som anges i avsnitt 14.2, till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Till följd av det upphävs ett flertal paragrafer i lagen och de återstående paragraferna numreras om och ändras redaktionellt. Lagen ges också nytt namn. Dataskyddsförordningen och dataskyddslagen gäller för idrottsorganisationernas behandling av personuppgifter. Lagen anger, tillsammans 371

med regleringen i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang, den rättsliga grunden för att idrottsorganisationer får behandla personuppgifter från tillträdesförbudsregistret.

1 § I paragrafen anges syftet med lagen. Regleringen omfattar numera enbart idrottsorganisationernas behandling av personuppgifter för att upprätthålla gällande tillträdesförbud. Det förtydligas att behandlingen rör tillträdesförbud som avses i 1 § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang. Övervägandena finns i avsnitt 14.3 och 14.4.

2 § Paragrafen, som behandlas i avsnitt 14.3 och 14.4 och motsvarar nuvarande 3 §, anger lagens tillämpningsområde. I första stycket regleras numera endast idrottsorganisationernas behandling av personuppgifter. I andra stycket görs enbart redaktionella ändringar.

3 § Paragrafen, som är ny, anger hur lagen förhåller sig till annan reglering om personuppgiftsbehandling. Övervägandena finns i avsnitt 14.4 Av paragrafen framgår att dataskyddsförordningen gäller vid idrottsorganisationernas behandling av personuppgifter. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den gäller om det inte finns avvikande bestämmelser i denna lag eller föreskrifter som har meddelats i anslutning till den. Det framgår av hänvisningen i paragrafen.

4 § I paragrafen, som motsvarar nuvarande 5 § andra stycket, regleras numera endast idrottsorganisationernas personuppgiftsansvar. Övervägandena finns i avsnitt 14.3 och 14.4

6 § Paragrafen, som motsvarar nuvarande 11 §, reglerar tillgången till personuppgifter. Regleringen i första stycket omfattar numera enbart idrottsorganisationernas behandling av personuppgifter. Övervägandena finns i avsnitt 14.3 och 14.4. Andra stycket ändras inte.

7 § Paragrafen, som motsvarar nuvarande 13 §, reglerar hur länge en idrottsorganisation får behandla personuppgifter som rör tillträdesförbud. I paragrafen tydliggörs när behandlingen av personuppgifter senast måste upphöra. Övervägandena finns i avsnitt 14.4.

18.16 Förslaget till lag om ändring i åklagardatalagen (2015:433)

Lagen får ett nytt namn, lag om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, och renodlas så att den enbart omfattar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Lagen anpassas till bestämmelserna i brottsdatalagen och två kapitel upphävs och ersätts med nya. Även i de övriga kapitlen upphävs vissa paragrafer, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter, som nu är utspridda, samlas i slutet av varje kapitel. Dessa förändringar föranleder bl.a. omnumreringar av vissa paragrafer. Bestämmelserna om längsta tid för behandling av personuppgifter samlas i ett särskilt kapitel. Som en anpassning till brottsdatalagen tillkommer ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i avsnitt 4, 5 och 6 och övriga ändringar i avsnitt 11.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 11.2. Lagen gäller enligt första stycket utöver brottsdatalagen när Åklagarmyndigheten eller Ekobrottsmyndigheten, som tillsammans utgör åklagarväsendet, i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter i åklagarverksamhet för vissa syften. Lagen är tillämplig även när myndigheterna behandlar personuppgifter inom ramen för det internationella samarbetet, t.ex. i syfte att gagna utländsk brottsbekämpande verksamhet. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Lagen gäller när Åklagarmyndigheten eller Ekobrottsmyndigheten behandlar personuppgifter i åklagarverksamhet om syftet med behandlingen är att förebygga eller förhindra brottslig verksamhet, utreda eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Vad det innebär utvecklas i författningskommentaren till 2 kap. 373

1 §. En förutsättning för att lagen ska gälla är att personuppgiftsbehandlingen utförs i åklagarverksamhet. Med det avses behandling av personuppgifter i samband med att åklagare fullgör åklagaruppgifter, t.ex. som förundersökningsledare eller fattar beslut i fråga om lagföring. Lagen gäller inte när åklagaruppgifter utförs för andra syften än de som anges i paragrafen, t.ex. när åklagare fattar beslut enligt lagen (2011:111) om förstörande av vissa hälsofarliga missbrukssubstanser. I andra stycket finns en upplysning om att det även finns bestämmelser om personuppgiftsbehandling vid Ekobrottsmyndigheten i lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Om Ekobrottsmyndigheten behandlar personuppgifter i syfte att utreda brott och det inte är fråga om åklagarverksamhet gäller i stället den lagen.

Personuppgiftsansvar

2 § Paragrafen, som motsvarar nuvarande 2 kap. 3 §, reglerar personuppgiftsansvaret. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Behandling av uppgifter om juridiska personer

3 § I paragrafen anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 5.4.1. Uppräkningen i paragrafen av bestämmelser som gäller vid behandling av uppgifter om juridiska personer motsvarar nuvarande reglering.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den motsvarar delvis hittillsvarande 2 kap. 5 §. Övervägandena finns i avsnitt 11.3.1 Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter är utformade i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Åklagarväsendet får enligt första stycket behandla personuppgifter om det är nödvändigt för att utföra en uppgift i vissa särskilt angivna syften inom lagens tillämpningsområde. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. I 2 kap. 2 § brottsdatalagen ges myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och viss nödvändig handläggning. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för 374 att förebygga eller förhindra brottslig verksamhet. Med förebygga brotts-

lig verksamhet avses Ekobrottsmyndighetens brottsförebyggande arbete. I det ingår att lämna information om ekonomisk brottslighet till andra myndigheter, kommuner, näringsliv, organisationer och allmänheten. Med uttrycket att förhindra brottslig verksamhet avses bl.a. de uppgifter som åklagare vid Åklagarmyndigheten utför enligt lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott, t.ex. att ansöka om tillstånd till hemlig avlyssning av elektronisk kommunikation och hemlig övervakning av elektronisk kommunikation. Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott. Åklagarväsendet får enligt punkt 2 behandla personuppgifter om det är nödvändigt för att utreda eller lagföra brott. Med utreda brott avses framför allt att leda förundersökning och besluta om förundersökningsbegränsning enligt 23 kap. rättegångsbalken. Personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rättegångsbalken omfattas också. Den gäller även för andra utredningar som genomförs enligt bestämmelserna i 23 kap. rättegångsbalken. Termen brott avser konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Med lagföra brott avses främst beslut i fråga om åtal eller annan talan vid domstol, t.ex. särskild förverkandetalan, och att utfärda strafföreläggande. Beslut i fråga om åtalsunderlåtelse och om särskild åtalsprövning är andra exempel. Hit hör också att föra talan om eller vara motpart i fråga om resning och andra extraordinära rättsmedel. Enligt punkt 3 får åklagarväsendet behandla personuppgifter om det är nödvändigt för att handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder. Det rör sig om bl.a. ärenden om ändring eller undanröjande av påföljd. Exempel på handläggning av frågor om verkställighet av straffrättsliga påföljder är yttranden om rättspsykiatrisk vård eller utfärdande av arresteringsorder som rör straffverkställighet. Ytterligare ett exempel på vad som omfattas är de åtgärder som vidtas inom ramen för verkställighet av ett strafföreläggande. Frågor om resning kan, om de inte faller under punkten 2, också omfattas. Personuppgifter får enligt punkt 4 behandlas om det är nödvändigt för att handlägga frågor som rör upprätthållande av allmän ordning och säkerhet. Punkten är tillämplig när åklagare utreder och prövar frågor om tillträdesförbud vid idrottsarrangemang. Åklagarväsendet får enligt punkt 5 behandla personuppgifter om det är nödvändigt för att fullgöra förpliktelser som följer av internationella åtaganden. Den tar sikte på förpliktelser i syfte att gagna utländsk brottsbekämpande verksamhet. Sverige har exempelvis åtaganden enligt ett flertal konventioner där åklagare har vissa uppgifter (se prop. 2014/15:63 s. 140 f.). Handläggning av frågor som rör internationell rättslig hjälp i brottmål omfattas som regel av punkt 2 eller 3 men kan i övrigt omfattas av denna punkt. I andra stycket anges att det ska vara fråga om en uppgift som framgår av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar. 375

2 § I paragrafen anges att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 11.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde måste en prövning enligt någon av paragraferna göras. Vad prövningen innebär utvecklas i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Särskilda upplysningar

3 § I paragrafen begränsas tillämpningen av bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen. Övervägandena finns i avsnitt 5.311. Endast personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § ska i vissa fall förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas av bara ett fåtal personer behöver särskilda upplysningar inte lämnas. Eftersom åklagare normalt biträds av polisen vid förundersökningar och samma reglering gäller för polisen, framgår de upplysningar som ska lämnas enligt paragrafen normalt av sammanhanget och någon särskild upplysning behövs i så fall inte heller när det gäller uppgifter som har gjorts gemensamt tillgängliga.

Känsliga personuppgifter

4 § I paragrafen, som reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 11.3.3. Undantaget gäller vid sökning i alla slags personuppgifter, dvs. både personuppgifter som har gjorts gemensamt tillgängliga och personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp, även om det skulle leda till ett urval av personer grundat på känsliga personuppgifter. Med uppgifter som beskriver en persons utseende avses t.ex. uppgifter om kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

5 § Paragrafen innehåller sekretessbrytande bestämmelser om utlämnande av personuppgifter till utländska myndigheter och mellanfolkliga organisa- 376 tioner. Den motsvarar nuvarande 2 kap. 13 §.

Första stycket ändras endast redaktionellt. Ändringen i andra stycket är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Sekretessen bryts och personuppgifter får lämnas ut om mottagaren behöver dem för något av de syften som räknas upp i 1 §. Det innebär att möjligheterna till utlämnande vidgas något. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen också beaktas. I tredje stycket görs endast en redaktionell ändring.

6 § Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar nuvarande 2 kap. 14 §. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

7 § Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. Övervägandena finns i avsnitt 5.6.4. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Är det fråga om processmaterial som översänds till parter eller ombud bör även principen om parternas likställdhet i processen beaktas. Frågan om elektroniskt utlämnande till enskilda är särskilt svårbedömd när det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer den utlämnande myndigheten att det finns risk för att personuppgifterna kan komma att missbrukas om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.). 377

Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör givetvis även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får myndigheten inte efterforska syftet med begäran, vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. Andra stycket motsvarar nuvarande 2 kap. 17 § och innehåller en upplysning om att direktåtkomst endast är tillåten i den utsträckning som anges i lagen.

Rätt att meddela föreskrifter

8 § I paragrafen anges att regeringen kan meddela föreskrifter om utlämnande av personuppgifter. Det gäller föreskrifter om dels att personuppgifter får lämnas ut även i andra fall än som anges i 5 och 6 §§ (vilket motsvarar nuvarande 2 kap. 15 § första stycket), dels begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 5.6.4.

3 kap. Gemensamt tillgängliga uppgifter

1 § Av paragrafen framgår att kapitlet innehåller särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2014/15:63 s. 151 f. I första stycket ändras regleringen på grund av att lagen endast omfattar åklagarverksamhet inom brottsdatalagens tillämpningsområde. Av andra stycket framgår att kapitlet inte gäller när personuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

2 § I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. Regleringen anpassas till att lagen har ett något annorlunda utformat tillämpningsområde än tidigare.

3 § Paragrafen innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer, samordningsnummer och liknande identitetsbeteckningar. Övervägandena finns i avsnitt 11.4. Paragrafen gäller endast vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i lagrådsremissen Brottsdatalag, avsnitt 9.2.2. Punkt 1 , som är ny, innebär att uppgifter om att någon är anmäld för brott får tas fram vid sökning. 378

Övriga ändringar är endast redaktionella.

4 § I paragrafen görs undantag från begränsningarna i 3 §. Den ändras enbart redaktionellt.

5 § Paragrafen innehåller en uppräkning av vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Den ändras också redaktionellt.

6 § I paragrafen anges att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 3 §.

7 § I paragrafen, där kapitlets övriga bestämmelser om föreskrifter samlas, finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om gemensamt tillgängliga uppgifter (vilket motsvarar nuvarande 3 kap. 2 § andra stycket) och omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande 3 kap. 8 § tredje stycket).

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § De bestämmelser som anger hur länge personuppgifter får behandlas samlas i detta kapitel. Övervägandena finns i avsnitt 5.5.1. I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller personuppgifter som behandlas automatiserat. Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen. I övriga paragrafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

Personuppgifter i ärenden

2 § Paragrafen, som motsvarar nuvarande 2 kap. 10 § andra stycket, reglerar hur länge personuppgifter i ett ärende får behandlas. Någon ändring av hur länge sådana personuppgifter får behandlas görs inte. Terminologin 379

anpassas till den som används i lagen i övrigt. Vidare görs redaktionella ändringar. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen, vilket innebär att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen.

3 § Paragrafen, som motsvarar nuvarande 3 kap. 7 §, reglerar vad som gäller i fråga om personuppgifter när förundersökning inte har inletts eller har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. Terminologin anpassas till den som används i lagen i övrigt. Vidare görs redaktionella ändringar.

Övriga personuppgifter

4 § Paragrafen, som motsvarar nuvarande 2 kap. 10 § tredje stycket, reglerar hur länge personuppgifter som inte kan hänföras till ett ärende får behandlas. Någon ändring av hur länge personuppgifter får behandlas görs inte. Terminologin anpassas till den som används i lagen i övrigt och vissa redaktionella ändringar görs. Övervägandena finns i avsnitt 5.5.2. Paragrafen klargör att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 5 §).

Föreskrifter

5 § I paragrafen, som motsvarar nuvarande 2 kap. 11 §, anges att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att uppgifter i vissa ärendetyper eller vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i 2 §. Vidare anges att föreskrifter får meddelas om att personuppgifter som inte kan hänföras till ett ärende, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål. Dessutom anges att föreskrifter får meddelas om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering. Övervägandena finns i avsnitt 5.5.2 och 5.5.3.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Paragrafen, som är ny, reglerar vid vilka överträdelser sanktionsavgift får tas ut. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av bestämmelserna om tillåtna rättsliga grunder och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt förevarande lag. I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen anges att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande och om vilka beslut som får överklagas. Övervägandena finns i avsnitt 5.4.4.

Övergångsbestämmelser

Övervägandena angående ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet.

18.17 Förslaget till lag om ändring i domstolsdatalagen (2015:728)

2 § Paragrafen anger tillämpningsområdet för domstolsdatalagen (2015:728). Övervägandena finns i avsnitt 12.3.2. I andra stycket , som är nytt, anges att lagen inte gäller vid behandling av personuppgifter som omfattas av lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Tillämpningsområdet för lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område regleras i 1 § den lagen. Se vidare författningskommentaren till den paragrafen. Det hittillsvarande andra stycket flyttas till ett nytt tredje stycke .

16 § Paragrafen reglerar i vilka fall personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 12.6.1. Begreppet medium för automatiserad behandling byts ut mot begreppet elektroniskt på annat sätt än genom direktåtkomst. Någon ändring i sak är inte avsedd.

18.18 Förslaget till lag om ändring i utlänningsdatalagen (2016:27)

14 § Paragrafen reglerar Migrationsverkets rätt att föra register över fingeravtryck och för vilka ändamål registret får användas. En hänvisning i andra stycket till polisdatalagen (2010:361) ersätts med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2. Stycket ändras också redaktionellt. Första och tredje styckena är oförändrade.

18.19 Förslaget till lag om ändring i tullagen (2016:253)

4 kap.

8 § I paragrafen regleras på vilket sätt Tullverket får ta del av uppgifter som lämnas av transportföretag med stöd av 6 §. Övervägandena finns i avsnitt 8.4, Första stycket är oförändrat. I andra stycket regleras numera endast i vilken omfattning Tullverket får ta del av uppgifter genom terminalåtkomst. Myndighetens behandling 382

av sådana personuppgifter regleras i lagen (2017:447) om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

18.20 Förslaget till lag om ändring i tullbrottsdatalagen (2017:447)

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till omarbetning av den och att två kapitel upphävs och ersätts med nya. Vissa paragrafer upphävs, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer. Vidare flyttas bestämmelserna om Tullverkets behandling av personuppgifter som transportföretag tillhandahåller myndigheten enligt bestämmelser i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och tullagen (2016:253) till den nu aktuella lagen. Som en anpassning till brottsdatalagen införs ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i kapitel 4–6 och övriga ändringar i kapitel 8. Lagen får också ett nytt namn, lagen (2017:447) om Tullverkets behandling av personuppgifter inom brottsdatalagens område.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 8.2. Lagen gäller utöver brottsdatalagen när Tullverket i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter för vissa syften. Lagen är tillämplig även när Tullverket behandlar personuppgifter inom ramen för det internationella samarbetet, t.ex. i syfte att gagna utländsk brottsbekämpande verksamhet. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen.

Lagen gäller när Tullverket behandlar personuppgifter om syftet med behandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

2 § Paragrafen, som delvis motsvarar 1 kap. 3 § första och tredje styckena tullbrottsdatalagen (2017:447), anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete samt till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. Sistnämnda hänvisning är en följd av ny lagstiftning. Frågan behandlas i avsnitt 8.2.

Personuppgiftsansvar

3 § I paragrafen, som motsvarar 2 kap. 3 § tullbrottsdatalagen, regleras personuppgiftsansvaret. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Behandling av uppgifter om juridiska personer

4 § I paragrafen, som motsvarar 1 kap. 4 § tullbrottsdatalagen, anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 5.4.1. Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuvarande reglering.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 6.1, 6.3 och 8.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter är utformade i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning. Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra vissa uppgifter. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet. Det är framför allt Tullverkets underrättelseverksamhet som regleras i punkten. Med 384

det avses arbete med insamling, bearbetning och analys av information i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns konkreta misstankar om att ett visst brott har begåtts, se prop. 2016/17:91 s. 198 f. Personuppgiftsbehandling i Tullverkets brottsförebyggande arbete som rör införsel av varor, liksom kartläggning och spaning som inte är hänförlig till en förundersökning men utförs i syfte att upptäcka brottslig verksamhet, omfattas också. Behandling av uppgifter om vilka personer som kommer med en viss transport, t.ex. en viss färja, går i stor utsträckning ut på att förebygga, förhindra och upptäcka smuggling av framför allt narkotika genom att studera resmönster, betalningssätt, vilka som reser i sällskap och liknande. När uppslag om kontrollobjekt som är intressanta ur brottsbekämpningssynpunkt vidarebefordras till myndighetens kontrollverksamhet görs det i syfte att förhindra och upptäcka brottslig verksamhet. Viss personuppgiftsbehandling som är nödvändig för att planera kontroller, välja ut kontrollobjekt och utföra begärda kontroller i Tullverkets brottsbekämpande verksamhet ryms därför under punkten. Huruvida personuppgiftsbehandling i samband med kontroller omfattas av lagen avgörs av om kontrollen görs i syfte att upptäcka, förebygga eller förhindra brottslig verksamhet eller inte. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att utreda eller lagföra brott. Att utreda brott innebär framför allt att genomföra förundersökning enligt 23 kap. rättegångsbalken. Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rättegångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas. Med lagföra brott avses framför allt att utfärda strafförelägganden och förelägganden av ordningsbot. Tullverkets åklagare får även väcka åtal och föra talan vid domstol i vissa typer av mål. Den personuppgiftsbehandling som är nödvändig för dessa åklagaruppgifter har stöd i denna punkt. Personuppgifter får enligt punkt 3 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden. Punkten tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2016/17:91 s. 199). I andra stycket anges att det ska vara fråga om en uppgift som framgår av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar.

Behandling för nya ändamål

2 § I paragrafen finns en upplysning om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 8.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt 385

någon av paragraferna. Vad prövningen innebär utvecklas i avsnitt 6.3 och i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Särskilda upplysningar

3 § I paragrafen begränsas tillämpningen av bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen. Övervägandena finns i avsnitt 5.3.11. Det är endast personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § som i vissa fall ska förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas bara av ett fåtal personer behöver särskilda upplysningar inte lämnas.

Känsliga personuppgifter

4 § I paragrafen regleras när Tullverket får behandla biometriska uppgifter. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen. Övervägandena finns i avsnitt 8.3.2. Bestämmelsen möjliggör användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Regleringen innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Biometriska uppgifter får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Det innebär att behovet av att behandla biometriska uppgifter måste prövas särskilt noga.

5 § I paragrafen, som tillsammans med 6 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 8.3.3. Undantaget gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används som sökbegrepp, även om det skulle leda till ett urval av personer grundat på känsliga personuppgifter, som t.ex. hälsa eller sexuell läggning. Med uppgifter som beskriver en persons utseende avses signalementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (jfr prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett urval av personer grundat på uppgifter som rör hälsa. Med uppgifter om tillvägagångssätt vid brott avses t.ex. uppgifter om smugglingsmetoder eller särskilda föremål som kan användas som brottsverktyg. Vid exempelvis kontroll av förbud mot införsel och utförsel av barnpornografi kan

sökning på brottsrubricering och särskilda föremål avslöja en persons sexualliv eller sexuella läggning. Sökning på tillvägagångssätt vid brott kan t.ex. resultera i ett urval av personer grundat på hälsa. Det gäller exempelvis sökning på s.k. sväljare. Sökning på uppgifter om en persons utseende kan avse exempelvis fysiska skador eller särdrag som kan avslöja uppgifter om hälsa eller uppgifter om tatueringar som kan avslöja viss politisk åsikt eller religiös övertygelse. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten enligt denna paragraf att göra sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna.

6 § I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 8.3.3. Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som enbart ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Sådana sökningar kan aktualiseras bl.a. om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös övertygelse. Drogen kat som endast odlas utomlands är ett exempel på det. Tullverket kan även behöva göra sökningar i syfte att få fram uppgifter om ideologiskt motiverade grupperingar som är kända för att finansiera sin verksamhet genom smuggling av narkotika eller andra otillåtna föremål. Tullverket kan även ha skäl att söka på ordet pedofil eller vissa typer av föremål i syfte att förebygga, förhindra eller upptäcka smuggling av barnpornografi. Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras eller medlemskap i fackförening eller sökning i genetiska eller biometriska uppgifter. Sökning som syftar till att få fram ett urval av personer grundat på sådana uppgifter är alltså inte tillåten. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

7 § Paragrafen innehåller sekretessbrytande bestämmelser om utlämnande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar 2 kap. 12 § tullbrottsdatalagen. 387

I första stycket görs endast en redaktionell ändring. Av andra stycket framgår att personuppgifter får lämnas ut bara om mottagaren behöver dem för något av de syften som räknas upp i 1 §. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen också beaktas. Tredje stycket ändras endast redaktionellt.

8 § Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 2 kap. 13 § tullbrottsdatalagen. I paragrafen tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

9 § Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Övervägandena finns i avsnitt 5.6.4. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Är det fråga om processmaterial som översänds till parter eller ombud bör även parternas likställdhet i processen beaktas. Frågan är särskilt svårbedömd när uppgifter ska lämnas ut till enskilda och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personuppgifterna kan komma att behandlas i strid med dataskyddsförordningen eller dataskyddslagen om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.). Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör givetvis även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efter- 388

forska syftet med begäran vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. Andra stycket motsvarar 2 kap. 17 § tullbrottsdatalagen och innehåller en upplysning om att direktåtkomst endast är tillåten i den utsträckning som anges i lagen.

Personuppgifter från transportföretag

10 § Paragrafen, som delvis motsvarar 2 kap. 8 § tullbrottsdatalagen, reglerar hur personuppgifter som transportföretag tillhandahåller Tullverket får behandlas. Övervägandena finns i avsnitt 8.4. Det är fråga om uppgifter om ankommande eller avgående transporter av varor, passagerare eller fordon som företagen befordrar till och från Sverige. Transportföretagens skyldighet att tillhandahålla uppgifter regleras alltjämt i lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och tullagen. I lagen om flygpassageraruppgifter i brottsbekämpningen regleras personuppgiftsbehandling som avses i den lagen. Om den lagen eller föreskrifter som regeringen har meddelat i anslutning till lagen innehåller avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. Detta följer av 1 kap. 2 §. Personuppgifter från transportföretag får enligt första stycket behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Det innebär att arbetet inriktas på att få fram kontrollobjekt för vilka det råder förhöjd risk för smuggling eller andra brott. Sådana uppgifter får också behandlas i syfte att utreda eller lagföra brott. Vid s.k. kontrollerade leveranser av narkotika kan bokningsuppgifter vara av stor praktisk betydelse. Vid utredning av smugglingsbrott är det viktigt att kunna kontrollera uppgifter om resväg, ressällskap och liknande. Möjligheten att söka i sådana personuppgifter med hjälp av personnummer och andra identitetsbeteckningar regleras i 12 §. Om det vid den behandling som görs, eller vid kontroll vid ankomsten till Sverige, uppkommer skäl att behandla personuppgifterna för ett nytt ändamål inom lagens tillämpningsområde får det enligt andra stycket bara göras om förutsättningarna för behandling för nya ändamål i 2 kap. 4 eller 22 § brottsdatalagen är uppfyllda i det enskilda fallet. Ett typiskt exempel är att ett brott upptäcks när någon har tagits ut för en kontroll och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs i ett underrättelseärende, t.ex. för kartläggning av nya smugglingsmetoder. Av 3 kap. 2 § andra stycket framgår i vilken utsträckning personuppgifter som transportföretag tillhandahåller får göras gemensamt tillgängliga.

11 § I paragrafen anges hur personuppgifter som Tullverket får del av genom terminalåtkomst får behandlas. Bestämmelsen motsvarar delvis 16 § andra stycket lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och 4 kap. 8 § andra stycket tullagen. Övervägandena finns i avsnitt 8.4. Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 10 och 12 §§ anger vad som gäller i fråga om personuppgifter som förs över till myndighetens it-system eller behandlas strukturerat på annat sätt. Genom terminalåtkomsten till företagens it-system får Tullverket tillgång till omfattande överskottsinformation om resande. Myndigheten får inte ändra eller på annat sätt bearbeta uppgifter i sådana system. Syftet med regleringen är att myndigheten inte heller ska kunna föra över en hel sådan uppgiftssamling till sina egna it-system för att bearbeta, ändra och lagra personuppgifterna där. Som framgår av 10 § får däremot uppgifter i enskilda fall behandlas för nya ändamål om förutsättningarna för det är uppfyllda.

12 § I paragrafen, som motsvarar 2 kap. 9 § första stycket tullbrottsdatalagen, regleras i vilken utsträckning direkta personuppgifter får användas vid sökning i uppgifter som transportföretag tillhandahåller. Paragrafen ändras endast redaktionellt.

Rätt att meddela föreskrifter

13 § Paragrafen upplyser om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§ (vilket motsvarar 2 kap. 14 § första stycket tullbrottsdatalagen) och om att begränsa möjligheten att lämna ut uppgifter elektroniskt på annat sätt än genom direktåtkomst, vilket behandlas i avsnitt 5.6.4.

3 kap. Allmän bestämmelse

1 § Av paragrafen framgår att kapitlet innehåller bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2016/17:91 s. 208 f. I första stycket anpassas regleringen till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen. Övervägandena finns i avsnitt 4.4. Av andra stycket framgår att kapitlet inte gäller när personuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

2 § I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. I första stycket anpassas terminologin till den som används i lagen i övrigt och redaktionella ändringar görs. Av andra stycket , som är nytt och i huvudsak motsvarar 2 kap. 8 § andra stycket tullbrottsdatalagen, framgår att personuppgifter från transportföretag endast får göras gemensamt tillgängliga om det behövs i ett enskilt fall. Övervägandena finns i avsnitt 8.5.2. Regleringen gör det möjligt för Tullverket att göra personuppgifter om utvalda kontrollobjekt gemensamt tillgängliga t.ex. för att kontrollverksamheten ska få kännedom om att det för vissa resande eller varusändningar kan finnas en förhöjd risk för smuggling. Uppgifterna kan också göras gemensamt tillgängliga i underrättelseverksamheten eller för att utreda eller lagföra brott. Tredje stycket är oförändrat.

3 § I paragrafen föreskrivs att det ska framgå om personuppgifter har gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2. Övervägandena finns i avsnitt 5.3.11. Att det ska framgå för vilket närmare ändamål personuppgifterna behandlas följer av 2 kap. 3 § brottsdatalagen. Paragrafen ändras också redaktionellt.

4 § I paragrafen ställs det krav på att uppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet i vissa fall ska förses med särskilda upplysningar. Övervägandena finns i avsnitt 5.3.11. Enligt första stycket ska det framgå av uppgifter i underrättelse-verksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för myndighetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet eller som övervakas på visst sätt förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verksamhet. Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket 391

sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas. Utrymmet för att underlåta att förse uppgifter med upplysning om trovärdighet och riktighet vidgas något genom att det inte längre krävs särskilda omständigheter för att upplysningskravet inte ska gälla. Det är tillräckligt att det på grund av de samlade omständigheterna är onödigt att förse uppgifterna med en upplysning.

5 § Paragrafen innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer eller liknande identitetsbeteckningar. Övervägandena finns i avsnitt 8.5.1. Genom ett tillägg begränsas bestämmelsen till att endast gälla vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i lagrådsremissen Brottsdatalag, avsnitt 9.2.2.

6 § Paragrafen innehåller undantag från begränsningarna i 5 §. Övervägandena finns i avsnitt 8.5.1. Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller ett visst ärende. Enligt andra stycket gäller begränsningarna i 5 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkt 1 , som är ny, när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede. Syftet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband med befintliga underrättelseuppgifter. Det kan t.ex. vara fråga om tips från allmänheten om smuggling. Det är bara under en begränsad tid efter det att uppgifterna kom in som punkten är tillämplig. Så snart beredningsarbetet har avslutats upphör möjligheten att göra sökningar med stöd av den nu aktuella punkten. I punkt 2 undantas sökning som utförs i syfte att bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet eller för övervakningen av en allvarligt kriminellt belastad person, om endast vissa tjänstemän har tillgång till uppgifterna. Punkt 3 ändras endast redaktionellt. Enligt punkt 4 , som är ny, gäller inte begränsningarna i 5 § vid sökningar i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller mer. Undantaget i tredje stycket är nytt och innebär att begränsningarna i 5 § inte gäller när en tjänsteman vid någon av Tullverkets ledningscentraler utför sökningar på begäran av en tulltjänsteman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild.

7 § I paragrafen anges vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Paragrafen ändras också redaktionellt.

Rätt att meddela föreskrifter

8 § I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 5 §.

9 § I paragrafen, där övriga bestämmelser om föreskrifter som rör gemensamt tillgängliga uppgifter samlas, finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om begränsning av tillgången till sådana personuppgifter som avses i 5 §, under vilka förutsättningar sökning får utföras med stöd av 6 § och omfattningen av direktåtkomst och behörighet och säkerhet vid sådan åtkomst.

4 kap. Allmän bestämmelse

1 § Regleringen av hur länge personuppgifter får behandlas är samlad i detta kapitel. Övervägandena finns i avsnitt 5.5.1. I första stycket , som är nytt, föreskrivs att kapitlet endast gäller för uppgifter som behandlas automatiserat, om inget annat sägs. I 3 § finns en bestämmelse som även är tillämplig på viss annan behandling. Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen. I övriga paragrafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

2 § I paragrafen anges hur länge uppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Någon ändring av hur länge personuppgifterna får behandlas görs inte. Övervägandena finns i avsnitt 5.5.2. Av första stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att 393

uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (se 12 §). Stycket ändras även redaktionellt. Andra stycket ändras endast redaktionellt.

3 § Paragrafen reglerar när personuppgifter från transportföretag ska förstöras. Den motsvarar delvis 16 § tredje stycket lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och 4 kap. 8 § tredje stycket tullagen. Övervägandena finns i avsnitt 8.4. Transportföretagens uppgiftsskyldighet kan fullgöras på det sätt som transportföretagen finner lämpligt. Av 15 § lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och 4 kap. 6 § tullagen framgår vidare att terminalåtkomst bara tillåts i den omfattning och under den tid som behövs för att kontrollera aktuella transporter, se prop. 1995/96:166 s. 81 f. Personuppgifter som Tullverket får tillgång till på annat sätt än genom terminalåtkomst ska enligt första stycket förstöras omedelbart om de saknar betydelse för att förebygga, förhindra, upptäcka brottslig verksamhet eller utreda eller lagföra brott. Eftersom flertalet uppgifter rör personer som varken är misstänkta för brott eller för att utöva brottslig verksamhet, ska personuppgifterna omedelbart tas bort när Tullverket har gjort profilsökning och riskanalys och inte längre behöver dem. Enligt 2 kap. 10 § andra stycket får uppgifter från transportföretag i ett enskilt fall behandlas för nya ändamål om förutsättningarna för det är uppfyllda. Det kan t.ex. vara fallet om uppgifterna är nödvändiga för att Tullverket ska kunna utreda eller lagföra ett visst brott i samband med ineller utförsel av varor (jfr prop. 1995/96:166 s. 99 f.). Sådana personuppgifter behöver då inte förstöras. För dem gäller i stället bestämmelserna i 4–6 §§. I andra stycket föreskrivs att bestämmelsen i första stycket även gäller för behandling som inte är automatiserad när uppgifter från transportföretag ingår i en strukturerad samling personuppgifter. Det innebär att paragrafen är tillämplig t.ex. på personuppgifter som lämnas i pappersform.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

4 § Paragrafen reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelsen hindrar alltså inte att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

5 § Paragrafen reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får behandlas. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelserna hindrar alltså inte att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3. Terminologin i första och andra styckena anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Tredje stycket är oförändrat.

7 § Av paragrafen framgår att det i de följande paragraferna finns bestämmelser om hur länge vissa typer av gemensamt tillgängliga uppgifter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Av paragrafen framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i 8–11 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 12 §). Övervägandena finns i avsnitt 5.5.2.

8 § Paragrafen reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Paragrafen anpassas till den terminologi som används i lagen i övrigt. Enligt första stycket , som är nytt och behandlas i avsnitt 8.6, får personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 och som behandlas i ett ärende inte behandlas längre än ett år efter det att ärendet avslutades. I andra stycket görs ingen ändring i fråga om hur länge personuppgifterna får behandlas men stycket anpassas till den terminologi som används i lagen i övrigt. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Frågan behandlas i avsnitt 5.5.4. Tredje stycket ändras på så sätt att bestämmelsen nu endast gäller frister för misstänkta personer. Bestämmelsen i den del den avser övervakade personer flyttas till 9 § andra stycket. 395

9 § Paragrafen reglerar hur länge uppgifter om en person som är föremål för övervakning enligt 3 kap. 2 § första stycket 2 får behandlas. I första stycket anpassas regleringen till den terminologi som används i lagen i övrigt. Frågan behandlas i avsnitt 5.5.2. Andra stycket är oförändrat i sak när det gäller övervakade personer.

10 § I paragrafen regleras hur länge uppgifter som har rapporterats till Tullverkets ledningscentraler får behandlas. Regleringen, som behandlas i avsnitt 5.5.2, anpassas till den terminologi som används i lagen i övrigt.

11 § Paragrafen reglerar hur länge uppgifter som behandlas för att fullgöra internationella åtaganden får behandlas. Regleringen, som behandlas i avsnitt 5.5.2, anpassas till den terminologi som används i lagen i övrigt.

Rätt att meddela föreskrifter

12 § I paragrafen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att vissa kategorier av personuppgifter får behandlas längre än vad som anges i 4, 5 eller 8–11 §§, om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 2 § första stycket och 8–11 §§ och om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering.

5 kap.

Administrativa sanktionsavgifter

1 § Paragrafen reglerar vilka överträdelser som kan föranleda sanktionsavgift. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut för överträdelse av bestämmelserna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt förevarande lag. I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet har kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen finns en upplysning om att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande och om vilka beslut som får överklagas. Övervägandena finns i avsnitt 5.4.4.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet.

18.21 Förslaget till lag om ändring i skattebrottsdatalagen (2017:452)

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till omarbetning av den och att två kapitel upphävs och ersätts med nya. Vissa paragrafer i de övriga kapitlen upphävs, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer. Som en anpassning till brottsdatalagen tillkommer ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i kapitel 4–6 och övriga ändringar i kapitel 10. Lagen får också ett nytt namn, lagen (2017:452) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 10.2. Lagen gäller utöver brottsdatalagen när Skatteverket i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter för vissa syften. Lagen är tillämplig även när Skatteverket behandlar personuppgifter inom ramen för det internationella samarbetet, t.ex. i syfte att gagna utländsk brottsbekämpande verksamhet. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdatalagen. Den nu aktuella lagen innehåller preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Uttrycken behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Lagen gäller när Skatteverket behandlar personuppgifter om syftet med behandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

Personuppgiftsansvar

2 § Paragrafen, som motsvarar 2 kap. 3 § skattebrottsdatalagen (2017:452), reglerar personuppgiftsansvaret. Personuppgiftsansvarig är den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Behandling av uppgifter om juridiska personer

3 § I paragrafen, som motsvarar 1 kap. 4 § skattebrottsdatalagen, anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 5.4.1. Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuvarande reglering.

2 kap. Grundläggande bestämmelser om behandling

Rättsliga grunder

1 § Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Övervägandena finns i avsnitt 6.1, 6.3 och 10.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen, gäller i stället för den bestämmelsen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning. Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra vissa uppgifter. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkt 1 får Skatteverket behandla personuppgifter om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet. Det är framför allt myndighetens underrättelseverksamhet som avses, se prop. 2016/17:89 s. 139. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att utreda brott. Vad det innebär utvecklas i prop. 2016/17:89 s. 139. Personuppgifter får enligt punkt 3 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden, vilket tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2016/17:89 s. 139). I andra stycket anges att det ska vara fråga om en uppgift som framgår av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för uppgiften. Med lag jämställs bl.a. EU-förordningar.

Behandling för nya ändamål

2 § I paragrafen, som behandlas i avsnitt 10.3.1, finns en upplysning om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i lagrådsremissen Brottsdatalag, avsnitt 7.6.

Särskilda upplysningar

3 § I paragrafen begränsas tillämpningen av bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen. Övervägandena finns i avsnitt 5.3.10. Det är endast personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § som i vissa fall ska förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas bara av ett fåtal personer behöver särskilda upplysningar inte lämnas. 399

Sökning

Känsliga personuppgifter 4 § I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 10.3.3. Undantaget gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Sökförbudet hindrar inte att uppgifter som beskriver en persons utseende får användas som sökbegrepp, även om det skulle leda till ett urval av personer grundat på känsliga personuppgifter. Med uppgifter som beskriver en persons utseende avses bl.a. uppgifter om hudfärg eller tatueringar. Sökning på sådana uppgifter kan t.ex. ge ett urval av personer grundat på uppgifter om etniskt ursprung, politisk åskådning eller religiös övertygelse. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

5 § I paragrafen, som tillsammans med 4 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen. Övervägandena finns i avsnitt 10.3.3. Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som enbart ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett urval av personer grundat på etniskt ursprung. Sökning av det slaget kan behövas för att förebygga, förhindra eller upptäcka brottslig verksamhet som begås av flera som förenas av sitt etniska ursprung. I t.ex. ärenden där fråga uppkommer om falska identitetshandlingar eller gränsöverskridande ekonomisk brottslighet kan etniskt ursprung vara en gemensam faktor som knyter samman personerna i ett nätverk. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Beskattningsdatabasen 6 § I paragrafen, som motsvarar 2 kap. 9 § skattebrottsdatalagen, regleras vilka uppgifter som Skatteverket får använda vid sökning i beskattningsdatabasen i syfte att förebygga, förhindra eller upptäcka brottslig verk- 400

samhet, utreda brott eller fullgöra förpliktelser som följer av internationella åtaganden. Ändringen innebär att terminologin i paragrafen anpassas till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.

Utlämnande av personuppgifter

7 § Paragrafen innehåller en sekretessbrytande bestämmelse om utlämnande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar 2 kap. 11 § skattebrottsdatalagen.

8 § Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar 2 kap. 12 § skattebrottsdatalagen. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen, som är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, behandlas i avsnitt 4.4.

9 § Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Övervägandena finns i avsnitt 5.6.4. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113, jfr SOU 2015:39 s. 447 f.). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Frågan är särskilt svårbedömd när uppgifter ska lämnas ut till enskilda och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personuppgifterna kan komma att behandlas i strid med dataskyddsförordningen eller dataskyddslagen om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör givetvis även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efterforska syftet med begäran, vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. Andra stycket motsvarar 2 kap. 16 § skattebrottsdatalagen och innehåller en upplysning om att direktåtkomst endast är tillåten i den utsträckning som anges i lagen.

Rätt att meddela föreskrifter

10 § I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut även i andra fall än som anges i 7 och 8 §§ (vilket motsvarar 2 kap. 13 § första stycket skattebrottsdatalagen) och om begränsning av möjligheterna att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Övervägandena finns i avsnitt 5.6.4.

3 kap.

Allmän bestämmelse

1 § Av paragrafen framgår att kapitlet innehåller bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2016/17:89 s. 147 f. I första stycket anpassas regleringen till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Av andra styck et framgår att kapitlet inte gäller när personuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

2 § I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. Regleringen anpassas till den terminologi som används i lagen i övrigt.

3 § I paragrafen ställs det krav på att uppgifter som är gemensamt tillgängliga i underrättelseverksamhet ska förses med särskilda upplysningar. Övervägandena finns i avsnitt 5.3.11. Enligt första stycket ska det framgå av uppgifter i underrättelseverksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för myndig- 402

hetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verksamhet. Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas. Utrymmet för att underlåta att förse uppgifter med upplysning om trovärdighet och riktighet vidgas något genom att det inte längre krävs särskilda omständigheter för att upplysningskravet inte ska gälla. Det är tillräckligt att det på grund av de samlade omständigheterna är onödigt att förse uppgifterna med en upplysning.

4 § Paragrafen innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer eller liknande identitetsbeteckningar. Övervägandena finns i avsnitt 10.4. Genom ett tillägg begränsas bestämmelsen till att endast gälla vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem utvecklas i lagrådsremissen Brottsdatalag, avsnitt 9.2.2. I övrigt ändras paragrafen endast redaktionellt.

5 § Paragrafen, som behandlas i avsnitt 10.4, innehåller undantag från begränsningarna i 4 §. Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller ett visst ärende. Enligt andra stycket gäller begränsningarna i 4 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkt 1 , som är ny, när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede. Syftet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband med befintliga underrättelseuppgifter. Det är således bara under en begränsad tid från det att 403

uppgifterna kommit in som punkten är tillämplig. Så snart beredningsarbetet har avslutats upphör möjligheten att göra sökningar med stöd av den nu aktuella punkten. I punkt 2 undantas sökningar som utförs i syfte att bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet, om det endast är de tjänstemän som får göra sökningen som också har tillgång till uppgifterna. Punkt 3 ändras endast redaktionellt.

6 § I paragrafen anges vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Ändringen är en följd av att uttrycket brottslig verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4. Vidare görs redaktionella ändringar.

Rätt att meddela föreskrifter

7 § I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 4 §.

8 § I paragrafen, där övriga bestämmelser om föreskrifter som rör gemensamt tillgängliga uppgifter samlas, finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsning av tillgången till sådana personuppgifter som avses i 4 §, under vilka förutsättningar sökning får utföras med stöd av 5 § och omfattningen av direktåtkomst och behörighet och säkerhet vid sådan åtkomst.

4 kap.

Allmän bestämmelse

1 § De bestämmelser som anger hur länge personuppgifter som behandlas enligt lagen får behandlas är samlade i detta kapitel. I första stycket , som är nytt, föreskrivs att bestämmelserna i kapitlet endast gäller för uppgifter som behandlas automatiserat. Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen. I övriga paragrafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

2 § I paragrafen anges hur länge uppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Övervägandena finns i avsnitt 5.5.2. Någon ändring av hur länge personuppgifterna får behandlas görs inte. Av första stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 9 §). Andra stycket är oförändrat.

3 § I paragrafen anges hur länge personuppgifter i en anmälan om brott får behandlas. Paragrafen ändras till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen. Övervägandena finns i avsnitt 4.4. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen, vilket innebär att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

4 § Paragrafen reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken får behandlas. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen, vilket innebär att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Övervägandena finns i avsnitt 5.5.3. Första och andra styckena ändras till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen. Vidare anpassas terminologin till den som används i lagen i övrigt och vissa redaktionella ändringar görs. Frågorna behandlas i avsnitt 4.4 och 5.5.2. Tredje stycket är oförändrat.

6 § Av paragrafen framgår att det i de följande paragraferna finns bestämmelser om hur länge vissa typer av gemensamt tillgängliga uppgifter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Av paragrafen framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i 7 och 8 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse 405

eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 9 §). Övervägandena finns i avsnitt 5.5.2.

7 § Paragrafen reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Någon ändring i fråga om hur länge personuppgifterna får behandlas görs inte. Paragrafen anpassas till den terminologi som används i lagen i övrigt. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Övervägandena finns i avsnitt 5.5.4.

8 § Paragrafen reglerar hur länge uppgifter som behövs för att fullgöra internationella åtaganden får behandlas. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Rätt att meddela föreskrifter

9 § I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att vissa kategorier av personuppgifter får behandlas längre än vad som anges i 3, 4, 7 och 8 §§, om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Paragrafen reglerar vilka överträdelser som kan föranleda sanktionsavgift. Övervägandena finns i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttömmande. Sanktionsavgift kan tas ut vid överträdelse av bestämmelserna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt förevarande lag. 406

I andra stycket anges att sanktionsavgiften ska bestämmas till högst 10 000 000 kronor.

Skadestånd

2 § I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (lagrådsremissen Brottsdatalag s. 487 f.).

Överklagande

3 § I paragrafen, som behandlas i avsnitt 5.4.4, finns en upplysning om att det i 7 kap. brottsdatalagen finns bestämmelser om överklagande och om vilka beslut som får överklagas.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkt 2 beslutas endast för överträdelser som har skett efter ikraftträdandet.

18.22 Förslaget till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete

6 kap.

1 § I paragrafen regleras hur bestämmelserna i lagen förhåller sig till andra bestämmelser om behandling av personuppgifter. Övervägandena finns i avsnitt 15.2. Av paragrafen framgår att brottsdatalagen och de registerförfattningar som gäller för Polismyndigheten, Kustbevakningen respektive Tullverket gäller vid behandling av personuppgifter i internationellt polisiärt samarbete, om det inte finns avvikande bestämmelser i förevarande lag eller föreskrifter som regeringen har meddelat i anslutning till den. För Säkerhetspolisens personuppgiftsbehandling gäller fortfarande den äldre bestämmelsen enligt en övergångsbestämmelse. Vidare ändras hänvisning- 407

arna till de lagar som byter namn. Övervägandena finns i avsnitt 7.1.2, 8.1.2 och 9.1.2.

7 kap.

1 § Paragrafen reglerar direktåtkomst till och sökning i referensuppgifter i dna-register. I tredje stycket ersätts en hänvisning till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2. I övrigt är paragrafen oförändrad.

3 § Paragrafen reglerar direktåtkomst till referensuppgifter i fingeravtrycksregister. Ändringen är av samma slag som i 1 §.

4 § Paragrafen reglerar sökning i fingeravtrycksregister. Ändringen är av samma slag som i 1 §.

7 § Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 1 § brottsdatalagen. Övervägandena finns i avsnitt 15.2. Vad hänvisningen innebär utvecklas i kommentaren till 7 kap. 2 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Vidare görs en redaktionell ändring.

8 kap.

3 § Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 1 § brottsdatalagen. Ändringen är av samma slag som i 7 kap. 7 §.

9 kap.

4 § Paragrafen, som behandlas i avsnitt 15.2, reglerar överföring av personuppgifter som hämtats från VIS till tredjeland eller en internationell organisation. Första stycket är oförändrat. Av andra stycket punkt 4 framgår att bestämmelserna i 8 kap. 1 § brottsdatalagen om överföring av personuppgifter till tredjeland eller internationella organisationer ska vara uppfyllda.

5 § Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 2 § brottsdatalagen. Ändringen är av samma slag som i 7 kap. 7 §. 408

10 kap.

1 § Paragrafen reglerar direktåtkomst till referensuppgifter i fingeravtrycksregistret. Hänvisningen till personuppgiftslagen (1998:204) tas bort och hänvisningen till polisdatalagen ersätts med en hänvisning till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2.

2 § Paragrafen reglerar det svenska kontaktställets sökning i amerikanska fingeravtrycksregister och i vilken utsträckning behandling är tillåten. Hänvisningen till polisdatalagen ersätts med en hänvisning till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2.

3 § Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 2 § brottsdatalagen. Ändringen är av samma slag som i 7 kap. 7 §.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att äldre bestämmelser fortfarande ska gälla för Säkerhetspolisens personuppgiftsbehandling vid internationellt polisiärt samarbete.

18.23 Förslaget till lag om ändring i säkerhetsskyddslagen (2018:000)

3 kap.

13 § I paragrafen anges vad som avses med registerkontroll. I paragrafen ersätts hänvisningen till polisdatalagen (2010:361) med en hänvisning till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 7.1.2.

14 § I paragrafen anges när registerkontroll ska göras. I paragrafen ändras hänvisningen till en lag som byter namn. Övervägandena finns i avsnitt 7.1.2.

Ikraftträdande- och övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 16. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att äldre föreskrifter fortfarande ska gälla för uppgifter som behandlas av Säkerhetspolisen med stöd av polisdatalagen (2010:361) i dess äldre lydelse. Av en övergångsbestämmelse till lagen (2010:361) om polisens behandling av personuppgifter inom brottsdatalagens område framgår att Säkerhetspolisen övergångsvis ska tillämpa bestämmelserna i polisdatalagen (2010:361) i lydelsen före den 1 januari 2019 vid behandling av personuppgifter i frågor som rör nationell säkerhet. Sådana uppgifter kan alltså hämtas in i samma utsträckning även fortsättningsvis inom ramen för en registerkontroll.

Bilaga 1

Sammanfattning SOU 2017:74

Uppdraget

Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd under våren 2018. Reformen omfattar dels en allmän dataskyddsförordning, dels ett dataskyddsdirektiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. En konsekvens av reformen är att personuppgiftslagen kommer att upphävas och att all lagstiftning om personuppgiftsbehandling behöver ses över och anpassas. Utredningens uppdrag är att föreslå hur det nya direktivet ska genomföras i svensk rätt genom en ny ramlagstiftning och att anpassa registerförfattningarna för myndigheterna i rättskedjan till de nya förutsättningarna. Utredningen ska också överväga om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat.

Brottsdatalagen förutsätter en ny struktur

I delbetänkandet Brottsdatalag (SOU 2017:29) föreslår utredningen en ny lag, brottsdatalagen, som kommer att fylla ungefär samma funktion som personuppgiftslagen gör i dag i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet. I brottsdatalagen finns de grundläggande bestämmelserna om hur personuppgifter får behandlas. Där regleras även personuppgiftsansvarigas skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare bestämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel. Registerförfattningarna för myndigheterna i rättskedjan utgår i dag från personuppgiftslagen, antingen genom att registerförfattningen gäller i stället för personuppgiftslagen men hänvisar till bestämmelser i den eller genom att registerförfattningen gäller utöver personuppgiftslagen. Utredningen föreslår att registerförfattningarna ska gälla utöver brottsdatalagen och innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i den lagen. Bestämmelser i registerförfattningarna om bl.a. syfte, automatiserad behandling, personuppgiftsombud, behandling av känsliga personuppgifter och tillgången till personuppgifter ska därför upphävas. Det föranleder omfattande redaktionella ändringar i registerförfattningarna. De registerförfattningar som reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde renodlas så att de bara gäller vid personuppgiftsbehandling inom tillämpningsområdet. Det gäller lagen om behandling av personuppgifter inom kriminalvården, kustbevakningsdatalagen och åklagardatalagen. För domstolarna skapas i stället en ny lag för den personuppgiftsbehandling som ligger inom tillämpningsområdet. För att det ska vara tydligt att registerförfattningarna gäller utöver brottsdatalagen ges de nya namn.

Bilaga 1 Anpassningar och andra ändringar i de brottsbekämpande myndigheternas registerförfattningar

Tillämpningsområdet I dag utgår tillämpningsområdet i de brottsbekämpande myndigheternas registerförfattningar från i vilken verksamhet personuppgiftsbehandlingen utförs. Det som kommer att bli avgörande för tillämpningen är i stället dels om myndigheten agerar i egenskap av behörig myndighet enligt brottsdatalagen, dels i vilket syfte personuppgifterna behandlas. Tillämpningsområdet blir därmed smalare än i dag, eftersom inte all personuppgiftsbehandling som utförs inom ramen för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet omfattas, t.ex. utlämnande av allmänna handlingar enligt tryckfrihetsförordningen eller för ändamål utanför brottsdatalagens tillämpningsområde.

Tillåtna rättsliga grunder och behandling för nya ändamål Regleringen av för vilka ändamål de brottsbekämpande myndigheterna får behandla personuppgifter är i dag uppdelad i primära och sekundära ändamål. Regleringen föreslås i stort sett vara oförändrad när det gäller de primära ändamålen men det tydliggörs att det är fråga om bestämmelser om rättslig grund. Innan personuppgifter behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt brottsdatalagen alltid prövas om det finns en tillåten rättslig grund för den nya behandlingen och om den är nödvändig och proportionerlig för det nya ändamålet. Det behöver däremot inte prövas om det nya ändamålet är förenligt med det ursprungliga. När personuppgifter behandlas för ändamål utanför tillämpningsområdet ska dataskyddsförordningen tillämpas. Utredningen föreslår att en prövning av nödvändighet och proportionalitet ska göras även innan personuppgifter behandlas för ändamål utanför brottsdatalagens tillämpningsområde. Någon prövning behöver dock inte göras om skyldighet att lämna uppgifter följer av lag eller förordning. Uppräkningen i de sekundära ändamålsbestämmelserna av i vilka situationer personuppgifter får tillhandahållas ersätts alltså av en särskild prövning både vid behandling för ändamål inom och utanför brottsdatalagens tillämpningsområde.

Behandling av känsliga personuppgifter Brottsdatalagen förbjuder sökningar i personuppgifter i syfte att få fram ett personurval grundat på känsliga personuppgifter. I registerförfattningarna ska det göras undantag från förbudet som är anpassade till respektive myndighets behov av att kunna behandla känsliga personuppgifter. Brottsbekämpande myndigheter ska få använda t.ex. uppgifter som beskriver en persons utseende eller brottsrubriceringar ska vara tillåtet vid sökning i alla slags personuppgifter. Vid sökning i uppgifter som inte är gemensamt tillgängliga, dvs. som bara ett fåtal personer har tillgång till, ska sökning i syfte att ta fram personurval grundade på vissa känsliga personuppgifter få göras.

Längsta tid för behandling Bilaga 1 I registerförfattningarna finns det bestämmelser om bevarande och gallring. De syftar till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. De ska därför formuleras om så att det framgår att det är fråga om dataskyddsbestämmelser. Regleringen ska utgå från hur länge personuppgifter får behandlas. Någon ändring av hur länge olika typer av personuppgifter får behandlas görs i princip inte.

Utökade möjligheter till elektroniskt utlämnande Regleringen av i vilken utsträckning personuppgifter får lämnas ut på medium för automatiserad behandling moderniseras för att möta de ökade behoven av att kunna kommunicera elektroniskt. Det blir tillåtet att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Viss reglering flyttas till registerförfattningarna Bestämmelserna om Polismyndighetens behandling av personuppgifter i registret över tillträdesförbud vid idrottsarrangemang flyttas till polisens brottsdatalag. Lagen om register över tillträdesförbud vid idrottsarrangemang renodlas så att den bara reglerar idrottsorganisationernas personuppgiftsbehandling. Regleringen av Polismyndighetens, Säkerhetspolisens och Tullverkets behandling av personuppgifter som tillhandahålls av transportföretag flyttas till respektive myndighets registerförfattning.

En ny lag för domstolarna

Domstolsdatalagen reglerar i dag personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde i domstolarnas rättskipande och rättsvårdande verksamhet. Den del av domstolarnas personuppgiftsbehandling som ligger inom tillämpningsområdet ska regleras i en ny lag, domstolarnas brottsdatalag. Den nya lagen utformas med domstolsdatalagen som mönster men anpassas till den systematik och terminologi som finns i övriga registerförfattningar inom brottsdatalagens tillämpningsområde. Vissa frågor som hittills reglerats i förordning lyfts upp i lagen. Allmän domstol ska tillämpa lagen när personuppgifter behandlas i syfte att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol ska tillämpa lagen när personuppgifter behandlas i syfte att handlägga mål och ärenden om verkställighet av häktning eller straffrättsliga påföljder. Till skillnad från i dag omfattar tillämpningsområdet inte personuppgiftsbehandling i den administrativa verksamheten som avser att på begäran lämna ut uppgifter ur mål eller ärenden. Innan domstolar behandlar personuppgifter för nya ändamål inom brottsdatalagens tillämpningsområde ska de pröva om behandlingen är nödvändig och proportionerlig för det nya ändamålet. Vid behandling för 413

Bilaga 1 nya ändamål utanför brottsdatalagens tillämpningsområde gäller dataskyddsförordningen. Någon prövning av om behandlingen är nödvändig och proportionerlig behöver inte göras om domstolsdatalagen ska tillämpas. En sådan prövning krävs däremot i andra fall, om inte skyldighet att lämna uppgifter följer av lag eller förordning. Domstolarna ska inte tillämpa sökförbudet i brottsdatalagen. I stället ska motsvarande sökförbud som i domstolsdatalagen, som förbjuder användningen av uppgifter som avslöjar känsliga personuppgifter och uppgifter om brott eller misstanke om brott och nationell anknytning som sökbegrepp, gälla. Samma undantag från förbudet som finns i domstolsdatalagen ska gälla.

Regleringen av Kriminalvårdens personuppgiftsbehandling

Kriminalvårdens reglering har en annan struktur än övriga registerförfattningar, eftersom större delen finns i förordning. Regleringen anpassas till brottsdatalagen och blir mer lik övriga registerförfattningar. Utredningens uppdrag har dock inte omfattat att göra en total översyn av regleringen och någon ny lag föreslås därför inte, trots att alla bestämmelser ändras och lagen får en helt ny struktur. Lagen ska tillämpas när kriminalvården behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda andra behöriga myndigheter när de utför arbetsuppgifter som omfattas av brottsdatalagens tillämpningsområde eller för att fullgöra internationella åtaganden. På samma sätt som för de brottsbekämpande myndigheterna ska behandling för nya ändamål föregås av en prövning av om behandlingen är nödvändig och proportionerlig för det nya ändamålet, oavsett om ändamålet ligger inom eller utanför brottsdatalagens tillämpningsområde. Regleringen av säkerhetsregistret flyttas till lagen, moderniseras och görs mer generell. Uppgifter om den som är häktad eller verkställer fängelsestraff ska få registreras om personen utgör en säkerhetsrisk. Även uppgifter om personer som en registrerad har viss anknytning till ska få behandlas om det är absolut nödvändigt. Om det finns risk för att någon som verkställer en påföljd inom kriminalvården utövar våld eller hot mot personer i kriminalvårdens lokaler ska uppgifter om honom eller henne också få behandlas i säkerhetsregistret. Det görs undantag från sökförbudet i brottsdatalagen för sökningar i säkerhetsregistret i syfte att få fram personurval grundat på vissa känsliga personuppgifter. Bestämmelserna om Kriminalvårdens underrättelseskyldighet bryts ut ur registerförordningen och placeras i en ny förordning.

En ny lag för Säkerhetspolisen

Regleringen utgår från dagens reglering och brottsdatalagen Utredningen föreslår att det ska införas en ny lag om Säkerhetspolisens behandling av personuppgifter, Säkerhetspolisens datalag, som ersätter regleringen i polisdatalagen. Den regleringen ska bilda mönster för den nya lagen, som ska vara heltäckande och därför blir betydligt mer omfat- 414

tande än dagens reglering. Den nya lagen följer i princip brottsdatalagens Bilaga 1 systematik och innehåll. Det innebär att bestämmelserna om grundläggande krav på behandling, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, skadestånd, rättsmedel och överföring av personuppgifter till tredjeland i stort sett överensstämmer med brottsdatalagens bestämmelser. Lagen ska gälla vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. När Säkerhetspolisen behandlar personuppgifter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott ska myndigheten tilllämpa brottsdatalagen och polisens brottsdatalag.

Rättslig grund för behandling av personuppgifter Regleringen av för vilka ändamål Säkerhetspolisen får behandla personuppgifter är i dag uppdelad i primära och sekundära ändamål. Regleringen behålls i stort sett oförändrad men det tydliggörs att det är fråga om bestämmelser om rättslig grund – rättslig grund för behandling och rättslig grund för utlämnande.

Behandling av känsliga personuppgifter Huvudregeln är att Säkerhetspolisen på samma sätt som i dag inte ska få behandla känsliga personuppgifter. Om uppgifter om en person redan behandlas ska de dock få kompletteras med känsliga personuppgifter om det är absolut nödvändigt. Säkerhetspolisen får i dag använda uppgifter som avslöjar känsliga personuppgifter som sökbegrepp om det är absolut nödvändigt. Utredningen föreslår att samma sökförbud som i brottsdatalagen ska gälla för Säkerhetspolisen, dvs. att det ska vara förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Från förbudet görs det undantag. Det ska vara tillåtet att använda brottsrubriceringar, uppgifter om tillvägagångssätt vid brott och uppgifter som beskriver en persons utseende vid sökning. Även sökningar i syfte att få fram personurval grundat på flertalet känsliga personuppgifter ska tillåtas, om sökningen är absolut nödvändig.

Elektroniskt utlämnande Säkerhetspolisen ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Säkerhetspolisen ska få medge Polismyndigheten, Försvarsmakten och Försvarets radioanstalt direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar för vissa syften. Även underrättelse- och säkerhetstjänster inom EU och EES ska få medges direktåtkomst till uppgifter som Säkerhetspolisen behandlar för vissa syften om det behövs för samarbetet mot terrorism. Sådan direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och regeringen ska underrättas innan direktåtkomst medges.

Bilaga 1 Längsta tid för behandling Personuppgifter ska inte få behandlas under längre tid än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Huvudregeln ska på samma sätt som i dag vara att personuppgifter som har gjorts gemensamt tillgängliga inte får behandlas längre än tio år efter det år då den senaste registreringen avseende personen gjordes. Uppgifter om personer som ännu inte fyllt 18 år ska dock inte få behandlas längre än fem år från den senaste registreringen. Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken ska inte få behandlas längre än 40 år efter det år då den senaste registreringen gjordes. På samma sätt som i dag ska Säkerhetspolisen kunna besluta att personuppgifter får behandlas under längre tid om det finns särskilda skäl.

Tillsyn över Säkerhetspolisens personuppgiftsbehandling Både Datainspektionen och Säkerhets- och integritetsskyddsnämnden ska på i huvudsak samma sätt som i dag utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Datainspektionen ska utöva allmän tillsyn över personuppgiftsbehandling enligt den nya lagen och ge råd och stöd till Säkerhetspolisen. Inspektionen ska i huvudsak ha samma befogenheter som enligt brottsdatalagen. Säkerhetspolisen ska dock inte kunna påföras administrativ sanktionsavgift. Säkerhets- och integritetsskyddsnämnden ska utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling och på begäran av enskild kontrollera om behandlingen av personuppgifter är författningsenlig.

Ikraftträdande och övergångsbestämmelser

De nya registerförfattningarna och ändringarna i de befintliga registerförfattningarna föreslås träda i kraft den 1 maj 2018. Det krävs särskilda övergångsbestämmelser för det nya sanktionssystemet och för ersättning för skador som har vållats före ikraftträdandet. Till de nya lagarna krävs det övergångsbestämmelser dels för mål och ärenden som rör behandlingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras, dels för mål som har överklagats men som inte har hunnit slutföras inom den tiden.

Bilaga 2

Lagförslag i SOU 2017:74

Förslag till domstolarnas brottsdatalag (2018:000)

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när följande domstolar i egenskap av behöriga myndigheter behandlar personuppgifter. 1. Allmän domstol, om uppgifterna behandlas i syfte att handlägga mål eller ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. 2. Allmän förvaltningsdomstol, om uppgifterna behandlas i syfte att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder.

Personuppgiftsansvar

2 § En domstol är personuppgiftsansvarig för den behandling av personuppgifter som den utför.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt och syftet är att handlägga mål eller ärenden om 1. utredning av eller lagföring för brott, 2. verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder, eller 3. upprätthållande av allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstol att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål inom denna lags tillämpningsområde regleras i 2 kap. 4 § brottsdatalagen (2018:000). Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål utanför denna lags tillämpningsområde regleras i 2 kap. 22 § brottsdatalagen. Någon prövning enligt 2 kap. 22 § andra stycket brottsdatalagen krävs inte när domstolsdatalagen (2015:728) ska tillämpas.

Bilaga 2 Behandling av personnummer

3 § Personnummer, samordningsnummer och liknande identitetsbeteckningar får endast behandlas när det är motiverat med hänsyn till vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelser om användning av sådana personuppgifter som anges i första stycket vid sökning finns i 8 §.

Sökning

Undantag från brottsdatalagens sökförbud

4 § Bestämmelserna i 5–10 §§ denna lag och föreskrifter som meddelats i anslutning till den gäller i stället för sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000).

Känsliga personuppgifter och nationell anknytning

5 § Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar sådana personuppgifter som anges i 2 kap. 11 och 12 §§ brottsdatalagen (2018:000) eller nationell anknytning.

Brott eller misstanke om brott

6 § I allmän domstol får sökbegrepp som avslöjar brott eller misstanke om brott inte användas vid sökning i personuppgifter 1. i mål eller ärenden som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft, eller 2. i tvistemål.

7 § I allmän förvaltningsdomstol får sökbegrepp som avslöjar brott eller misstanke om brott inte användas vid sökning i personuppgifter i mål som 1. har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft, eller 2. handläggs av Migrationsöverdomstolen eller en migrationsdomstol.

Direkta personuppgifter

8 § Personnamn, personnummer, samordningsnummer och andra uppgifter som direkt kan hänföras till en fysisk person som är i livet får inte användas som sökbegrepp vid sökning i personuppgifter i brottmål som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft.

Tillåtna sökningar

9 § Sökförbuden i 5–8 §§ hindrar inte sökning 1. i en viss handling eller i ett visst mål eller ärende, eller 2. med användande av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp.

10 § Sökförbudet i 5 § hindrar inte att allmän förvaltningsdomstol Bilaga 2 använder uppgifter som avslöjar hälsa som sökbegrepp. Sådana uppgifter får dock inte användas vid sökning i personuppgifter i mål som 1. har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft, eller 2. handläggs av Migrationsöverdomstolen eller en migrationsdomstol.

Utlämnande av personuppgifter

11 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 12 § och föreskrifter som har meddelats i anslutning till denna lag.

12 § Direktåtkomst får endast medges 1. en allmän domstol, 2. en allmän förvaltningsdomstol, eller 3. en part eller partens ombud, biträde eller försvarare. Direktåtkomst enligt första stycket 3 får endast avse personuppgifter i partens mål eller ärende.

Föreskrifter

13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare begränsning av 1. möjligheten att använda de sökbegrepp som anges i 6, 7 och 10 §§, 2. direktåtkomst enligt 12 § första stycket och om behörighet och säkerhet vid sådan åtkomst, 3. möjligheten att lämna ut personuppgifter elektroniskt enligt 11 §, och 4. behandling av personuppgifter som hänför sig till mål eller ärenden som har avgjorts genom dom eller beslut som har fått laga kraft.

3 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, eller 2. 2 kap. 5–8 §§ om sökning. Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt. 419

Bilaga 2 Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

4 § En hovrätts, en tingsrätts eller en förvaltningsrätts beslut som överklagas enligt 7 kap. 2 § första stycket brottsdatalagen (2018:000) överklagas till kammarrätt. En kammarrätts beslut i sådana frågor överklagas till Högsta förvaltningsdomstolen. Har Högsta domstolen eller Högsta förvaltningsdomstolen meddelat beslut som avses i 7 kap. 2 § första stycket brottsdatalagen får beslutet inte överklagas. Kravet på prövningstillstånd i 7 kap. 2 § andra stycket brottsdatalagen gäller inte vid överklagande enligt första stycket.

1. Denna lag träder i kraft den 1 maj 2018. 2. Bestämmelserna i 2 kap. 6 § 1, 7 § 1, 8 § och 10 § 1 om begränsning av sökning i fråga om slutligt avgjorda mål och ärenden behöver inte tillämpas förrän den 1 januari 2019. 3. Ärenden om tillsyn över personuppgiftsbehandling, som rör behandling av personuppgifter vid handläggningen av mål och ärenden som avses i 2 kap. 1 § första stycket, som Datainspektionen inte har avgjort före ikraftträdandet handläggs enligt äldre föreskrifter. 4. Äldre föreskrifter gäller fortfarande för överklagande av beslut som meddelats före ikraftträdandet och som rör behandling av personuppgifter vid handläggningen av mål och ärenden som avses i 2 kap. 1 § första stycket. 5. Sanktionsavgift enligt 3 kap. 1 § får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 6. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter vid handläggningen av mål och ärenden som avses i 2 kap. 1 § första stycket.

Förslag till lag om ändring i rättegångsbalken Bilaga 2

Härigenom föreskrivs att 28 kap. 12 a och b §§ rättegångsbalken ska ha följande lydelse.

28 kap.

12 a §

12 b §

Kroppsbesiktning genom tagande av salivprov får göras på annan än den som skäligen kan misstänkas för ett brott, om 1. syftet är att genom en DNA- 1. syftet är att genom en dnaanalys av provet underlätta analys av provet underlätta idenidentifiering vid utredning av ett tifiering vid utredning av ett brott brott på vilket fängelse kan följa, på vilket fängelse kan följa, och och 2. det finns synnerlig anledning att anta att det är av betydelse för utredningen av brottet. Analysresultatet får inte jäm- Analysresultatet får inte jämföras med de DNA-profiler som föras med de dna-profiler som finns registrerade i register över finns registrerade i register över DNA-profiler som förs enligt dna-profiler som förs enligt polisdatalagen (2010:361) eller i polisens brottsdatalag (2010:361) övrigt användas för annat ändamål eller i övrigt användas för annat än det för vilket provet har tagits. ändamål än det för vilket provet har tagits. Första stycket gäller inte den som är under 15 år.

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 2010:363. 2 Senaste lydelse 2010:363. 421

Bilaga 2

Förslag till lag om ändring i polislagen (1984:387)

Härigenom föreskrivs att 26 § polislagen (1984:387) ska ha följande lydelse.

26 §

Transportföretag får lämna uppgifter enligt 25 § på så sätt att de görs

Denna lag träder i kraft den 1 maj 2018.

Senaste lydelse 2014:588.

Förslag till lag om ändring i säkerhetsskyddslagen Bilaga 2 (1996:627) Härigenom föreskrivs att 12 § säkerhetsskyddslagen (1996:627) ska ha följande lydelse.

12 §

Denna lag träder i kraft den 1 maj 2018.

4 Senaste lydelse 2010:365. 423

Bilaga 2

Förslag till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen

Härigenom föreskrivs att 16 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen ska ha följande lydelse.

16 §

Transportföretag får lämna uppgifter enligt 15 § på så sätt att de görs

läsbara för Tullverket genom terminalåtkomst.

Denna lag träder i kraft den 1 maj 2018.

Senaste lydelse 1999:434.

Förslag till lag om ändring i lagen (2000:344) Bilaga 2 om Schengens informationssystem Härigenom föreskrivs att 5 § lagen (2000:344) om Schengens informationssystem ska ha följande lydelse.

5 §

Registret ska endast innehålla uppgifter som har behandlats av behöriga myndigheter i Schengenstaterna, i enlighet med respektive stats nationella lagstiftning. Polismyndigheten får föra in Polismyndigheten får föra in uppgifter i registret endast om uppgifter i registret endast om behandling av motsvarande slag av behandling av motsvarande slag av uppgifter är tillåten enligt uppgifter är tillåten enligt personuppgiftslagen (1998:204), brottsdatalagen (2018:000) , polipolisdatalagen (2010:361) eller sens brottsdatalag (2010:361) eller annan svensk författning. annan svensk författning.

Denna lag träder i kraft den 1 maj 2018.

6 Senaste lydelse 2014:595. 425

Bilaga 2

Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskrivs att 1 kap. 1 och 4 §§ lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet ska ha följande lydelse.

1 kap.

1 §

Denna lag tillämpas vid behandling av personuppgifter i Tullverkets

verksamhet, om behandlingen är helt eller delvis automatiserad eller om

uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av

personuppgifter som är tillgängliga för sökning eller sammanställning

Bestämmelserna i 4–6 och 8 §§ samt 2 kap. gäller även vid behandling

4 §

Uppgifter får behandlas för tillhandahållande av information som

1. bestämmande, redovisning, betalning och återbetalning av tull,

2. övervakning, revision och annan analys- eller kontrollverksamhet,

3. fullgörande av ett åliggande som följer av ett för Sverige bindande

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Denna lag träder i kraft den 1 maj 2018.

Senaste lydelse 2017:449. 8 Senaste lydelse 2017:449.

Förslag till lag om ändring i lagen (2001:617) Bilaga 2 om behandling av personuppgifter inom kriminalvården

Härigenom föreskrivs i fråga om lagen (2001:617) om behandling av personuppgifter inom kriminalvården dels att 1–16 §§ ska upphöra att gälla, dels att rubrikerna före 1–10 §§ och 12 § ska utgå, dels att det ska införas fyra nya kapitel, 1–4 kap., av följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av myndigheterna inom kriminalvården i egenskap av behörig myndighet behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen.

Personuppgiftsansvar

2 § Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. En övervakningsnämnd är personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. verkställa häktning eller straffrättsliga påföljder, 2. förebygga, förhindra eller upptäcka brottslig verksamhet i samband med sådan verkställighet som anges i 1, 3. biträda andra myndigheter när de fullgör arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000), eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

Bilaga 2 2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Känsliga personuppgifter

3 § Kriminalvården får behandla biometriska uppgifter enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

Utlämnande av personuppgifter

4 § Kriminalvården får till en utländsk myndighet eller internationell organisation lämna ut de personuppgifter som behövs för 1. prövning och genomförande av överflyttning av straffverkställighet, 2. transitering och förvaring av en person som är frihetsberövad för brottsbekämpning, lagföring eller verkställighet av straff, eller 3. tillfällig överflyttning av en frihetsberövad person för brottsbekämpning, lagföring eller straffverkställighet.

Längsta tid som personuppgifter får behandlas

5 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som behandlas automatiserat inte behandlas längre än tio år efter det att den senaste påföljden eller åtgärden avseende den registrerade helt har verkställts eller upphört. I 3 kap. 7 § finns bestämmelser om hur länge personuppgifter i säkerhetsregistret får behandlas.

Föreskrifter

6 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. vilka personuppgifter som får behandlas enligt 1 §, 2. utlämnande av personuppgifter i andra fall än som anges i 4 §, 3. frågor som rör elektroniskt utlämnande genom direktåtkomst, 4. längsta tid som personuppgifter får behandlas, och 5. att personuppgifter, med avvikelse från 5 §, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

3 kap. Säkerhetsregistret

Rätten att föra register

1 § Kriminalvården får föra ett säkerhetsregister. I säkerhetsregistret får personuppgifter behandlas i syfte att 1. förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet, och 2. säkerställa ordning och säkerhet på häkten, i kriminalvårdsanstalter och annan verksamhet som Kriminalvården bedriver.

Innehåll Bilaga 2

2 § I säkerhetsregistret får uppgifter behandlas om en person som är häktad eller verkställer fängelsestraff och som är eller har varit placerad på säkerhetsavdelning. I registret får även uppgifter behandlas om en person som är häktad eller verkställer fängelsestraff, om det finns risk för att han eller hon 1. under häktning eller verkställighet av fängelsestraff begår brott som inte är ringa eller deltar i brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver, 2. förbereder rymning eller försöker rymma, 3. blir föremål för fritagning, 4. medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt, eller 5. utsätts för våld eller hot under verkställigheten.

3 § I säkerhetsregistret får även uppgifter behandlas om en person som verkställer en påföljd inom kriminalvården, om det finns risk för att han eller hon utövar våld eller hot mot eller otillbörlig påverkan på personal eller andra personer som uppehåller sig i kriminalvårdens lokaler.

4 § Om det är absolut nödvändigt för ändamålet med behandlingen enligt 1 §, får Kriminalvården i säkerhetsregistret behandla uppgifter om en person som har personlig anknytning till eller annan nära förbindelse med en person som anges i 2 §. Om den förstnämnde inte är häktad eller verkställer fängelsestraff ska det framgå genom en särskild upplysning.

Sökning

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning.

Direktåtkomst

6 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten får medges direktåtkomst till personuppgifter i säkerhetsregistret för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i säkerhetsregistret inte behandlas längre än fem år efter det att den registrerade blivit villkorligt frigiven från ett fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte.

Bilaga 2 Föreskrifter

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om innehållet i säkerhetsregistret och om utlämnande av personuppgifter ur registret.

4 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 4 § om särskild upplysning, eller 3. 2 kap. 5 § eller 3 kap. 7 § om längsta tid som personuppgifter får behandlas. Sanktionsavgift får också tas ut vid överträdelse av föreskrifter som har meddelats i anslutning till denna lag om särskild upplysning eller om längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 maj 2018. 2. Sanktionsavgift enligt 4 kap. 1 § får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 3. Äldre bestämmelser ska gälla för överträdelser som har begåtts före ikraftträdandet. 4. Äldre föreskrifter gäller fortfarande för överklagande av beslut som meddelats före ikraftträdandet och som rör behandling av personuppgifter vid verkställighet av häktning eller straffrättsliga påföljder eller biträde till andra behöriga myndigheter. 5. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Förslag till lag om ändring i lagen (2005:321) om Bilaga 2 tillträdesförbud vid idrottsarrangemang Härigenom föreskrivs att 8 a § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang ska ha följande lydelse.

8 a §

Denna lag träder i kraft den 1 maj 2018.

9 Senaste lydelse 2015:55. 431

Bilaga 2

Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

Härigenom föreskrivs att 1, 3 och 4 §§ lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ska ha följande lydelse.

1 §

Säkerhets- och integritetsskyddsnämnden (nämnden) ska utöva tillsyn

över brottsbekämpande myndigheters användning av hemliga

3 §

eller uppenbart ogrundad. Bilaga 2

4 § Nämnden har rätt att av för- Nämnden har rätt att av förvaltningsmyndigheter som om- valtningsmyndigheter som omfattas av tillsynen få de uppgifter fattas av tillsynen få de uppgifter och det biträde som nämnden och upplysningar, den information begär. Även domstolar samt de och det biträde som nämnden förvaltningsmyndigheter som inte begär. Även domstolar och de omfattas av tillsynen är skyldiga förvaltningsmyndigheter som inte att lämna nämnden de uppgifter omfattas av tillsynen är skyldiga som den begär. att lämna nämnden de uppgifter som den begär.

Denna lag träder i kraft den 1 maj 2018.

Bilaga 2

Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 18 kap. 2 och 18 §§, 35 kap. 1, 4 a, 4 b §, 10 och 10 b §§ och 37 kap. 7 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse.

18 kap.

2 §

Sekretess enligt första stycket gäller inte för uppgift som hänför sig till

verksamhet hos Säkerhetspolisen och som har förts in i en allmän

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

18 §

Senaste lydelse 2017:456. 11 Senaste lydelse 2010:369.

Schengens informationssystem och Schengens informationssystem och Bilaga 2 polisdatalagen (2010:361). polisens brottsdatalag (2010:361).

35 kap.

1 §

Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i 1. utredning enligt bestämmelserna om förundersökning i brottmål, 2. angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott, 3. angelägenhet som avser registerkontroll och särskild personutredning enligt säkerhetsskyddslagen (1996:627), 4. annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen, 5. register som förs av Polis- 5. register som förs av Polismyndigheten enligt 4 kap. polis- myndigheten enligt 5 kap. polisens datalagen (2010:361) eller som brottsdatalag (2010:361) eller som annars behandlas med stöd av de annars behandlas med stöd av de bestämmelserna eller uppgifter bestämmelserna, eller uppgifter som som behandlas av Säkerhetspolisen behandlas av Säkerhetspolisen med med stöd av 6 kap. samma lag , stöd av Säkerhetspolisens datalag (2018:000) , 6. register som förs enligt lagen (1998:621) om misstankeregister, 7. register som förs av Skat- 7. register som förs av Skatteverket enligt skattebrottsdata- teverket enligt Skatteverkets lagen (2017:452) eller som annars brottsdatalag (2017:452) eller som behandlas där med stöd av samma annars behandlas där med stöd av lag, samma lag, 8. särskilt ärenderegister över 8. särskilt ärenderegister över brottmål som förs av åklagar- brottmål som förs av åklagarmyndighet, om uppgiften inte myndighet, om uppgiften inte hänför sig till registrering som hänför sig till registrering som avses i 5 kap. 1 §, avses i 5 kap. 1 §, eller 9. register som förs av Tullverket 9. register som förs av Tullverket enligt tullbrottsdatalagen enligt Tullverkets brottsdatalag (2017:447) eller som annars be- (2017:447) eller som annars handlas där med stöd av samma behandlas där med stöd av samma lag , eller lag. 10. register som förs enligt lagen (2010:362) om polisens allmänna spaningsregister. Sekretessen enligt första stycket 2 gäller hos domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel 435

Bilaga 2 gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs. Första stycket gäller inte om annat följer av 2, 6 eller 7 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

4 a §

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

4 b §

10 §

Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut

1. till en enskild enligt vad som föreskrivs i lagen (1964:167) med

särskilda bestämmelser om unga lagöverträdare,

Senaste lydelse 2015:53. 13 Senaste lydelse 2017:456.

(1996:627) samt i förordning som (1996:627) och i förordning som Bilaga 2 har meddelats med stöd i den lagen, har meddelats med stöd i den lagen, 3. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken, 3. enligt vad som föreskrivs i 4. enligt vad som föreskrivs i – lagen (1998:621) om misstankeregister, – polisdatalagen (2010:361), – polisens brottsdatalag (2010:361), – skattebrottsdatalagen – Kustbevakningens brottsdata- (2017:452), lag (2012:145), – tullbrottsdatalagen – åklagarväsendets brottsdata- (2017:447), lag (2015:433), – kustbevakningsdatalagen – Tullverkets brottsdatalag ( 2012:145), (2017:447) , – åklagardatalagen (2015:433), – Skatteverkets brottsdatalag (2017:452), – Säkerhetspolisens datalag (2018:000), eller – förordningar som har stöd i – förordningar som har stöd i dessa lagar , eller dessa lagar . 4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken.

14 10 b § Sekretessen enligt 4 a § hindrar Sekretessen enligt 4 a § hindrar inte att en uppgift lämnas ut enligt inte att en uppgift lämnas ut till en vad som föreskrivs i lagen idrottsorganisation enligt vad som (2015:51) om register över till- föreskrivs i 2 kap. 14 § polisens trädesförbud vid idrottsarrange- brottsdatalag (2010:361) . mang .

37 kap.

15 7 § Sekretessen enligt 6 § hindrar Sekretessen enligt 6 § hindrar inte att uppgift lämnas ut enligt inte att uppgift lämnas ut enligt vad som föreskrivs i lagen vad som föreskrivs i lagen (2000:344) om Schengens infor- (2000:344) om Schengens informationssystem och polisdata- mationssystem och polisens brottslagen (2010:361). datalag (2010:361).

1. Denna lag träder i kraft den 1 maj 2018.

14 Senaste lydelse 2015:53. 15 Senaste lydelse 2010:369. 437

Bilaga 2 2. Äldre bestämmelser gäller fortfarande för uppgifter i handlingar som har omhändertagits för arkivering före ikraftträdandet av denna lag. 438

Förslag till lag om ändring i polisdatalagen (2010:361) Bilaga 2

Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 1, 2, 4 och 6 kap. ska upphöra att gälla, dels att 3 kap. 5 och 9–15 §§ och 5 kap. 4–6 §§, ska upphöra att gälla, dels att rubrikerna före 3 kap. 8, 9 och 14 §§ och 5 kap. 4 och 5 §§ ska utgå, dels att nuvarande 4 kap. ska betecknas 5 kap. och nuvarande 5 kap. ska betecknas 6 kap., dels att nuvarande 3 kap. 6 § ska betecknas 3 kap. 5 §, att nuvarande 3 kap. 7 § ska betecknas 3 kap. 6 §, att nuvarande 3 kap. 8 § ska betecknas 3 kap. 7 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 7 §, att nuvarande 5 kap. 7 § ska betecknas 6 kap. 6 § och att rubriken före nuvarande 5 kap. 6 § ska placeras före nya 6 kap. 6 §, att nuvarande 5 kap. 8 § ska betecknas 6 kap. 7 § och att rubriken före nuvarande 5 kap. 8 § ska placeras före nya 6 kap. 7 § och att nuvarande 5 kap. 9 § ska betecknas 6 kap. 9 §, dels att 3 kap. 1–4 §§ och nya 3 kap. 5–7 §§ och 6 kap. 3 och 6–8 §§ ska ha följande lydelse, dels att det ska införas sex nya paragrafer, 3 kap. 8 och 9 §§ och 6 kap. 4, 5, 8 och 10 §§, och nya rubriker före 3 kap. 1 § och före nya 3 kap. 8 §, 6 kap. 4 och 9 §§ av följande lydelse, dels att det ska införas fem nya kapitel i lagen, 1, 2, 4, 5 och 7 kap., av följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av följande myndigheter i egenskap av behörig myndighet behandlar personuppgifter. 1. Polismyndigheten, om uppgifterna behandlas i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet. 2. Ekobrottsmyndigheten, om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet. 3. Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att bekämpa och lagföra brott. För Ekobrottsmyndigheten och Säkerhetspolisen gäller endast 1–4 och 7 kap.

2 § Denna lag gäller inte vid behandling av personuppgifter enligt 1. lagen (1998:620) om belastningsregister, 2. lagen (1998:621) om misstankeregister, 3. lagen (2000:344) om Schengens informationssystem, 4. lagen (2006:444) om passagerarregister, eller 5. lagen (2014:400) om Polismyndighetens elimineringsdatabas. 439

Bilaga 2

3 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

4 § Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten utför vid Ekobrottsmyndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Ekobrottsmyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i syfte att utreda brott. Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Uttryck i lagen

5 § I denna lag avses med dna-analys : varje förfarande som kan användas för analys av deoxyribonukleinsyra i humant material, dna-profil : resultatet av en dna-analys som presenteras i form av siffror eller bokstäver, och fingeravtryck : avtryck av finger eller hand.

Lagens tillämpning på uppgifter om juridiska personer

6 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 4 § om personuppgiftsansvar, 2. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, 4. 4 kap. 1–4 och 6–10 §§ om längsta tid som personuppgifter får behandlas, 5. 5 kap. 18–20 §§ om behandling av personuppgifter i penningtvättsregister, och 6. 5 kap. 21 och 22 §§ om behandling av personuppgifter i det internationella registret. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

Lagens uppbyggnad Bilaga 2

7 § I detta kapitel och i 2 kap. finns allmänna bestämmelser om behandling av personuppgifter och i 4 kap. bestämmelser om längsta tid för behandling av personuppgifter. I 7 kap. finns bestämmelser om administrativa sanktionsavgifter och rättsmedel. För personuppgifter som görs eller har gjorts gemensamt tillgängliga gäller även 3 kap. För personuppgifter som behandlas i register över dna-profiler, fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret, gäller 5 kap. i stället för 3 och 4 kap. I 6 kap. finns bestämmelser om Polismyndighetens behandling av personuppgifter för forensiska ändamål. Vid sådan behandling gäller 6 kap. i stället för 2–4 kap.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) om särskild upplysning gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Polismyndigheten och Säkerhetspolisen får behandla biometriska uppgifter enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används vid sökning.

Bilaga 2 6 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Utlämnande av personuppgifter

7 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1. Interpol, 2. Europol, eller 3. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol. Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Första stycket gäller inte uppgifter som behandlas i särskilda register enligt 5 kap.

9 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Kustbevakningen har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av uppgifter om huruvida personer förekommer i register över dna-profiler som regleras i 5 kap., om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister enligt 5 kap., om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Migrationsverket har motsvarande rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister, om verket behöver uppgifterna för att kontrollera fingeravtryck som verket tagit.

11 § Trots sekretess enligt 35 kap. 4 a § offentlighets- och sekre- Bilaga 2 tesslagen (2009:400) har en idrottsorganisation rätt att ta del av personuppgifter som behandlas i tillträdesförbudsregistret enligt 5 kap., om organsationen behöver uppgifterna för de syften som anges i 5 § lagen (2015:51) om idrottsorganisationers behandling av uppgifter om tillträdesförbud.

12 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 7 § och 5 kap. 10 och 17 §§.

Personuppgifter från transportföretag

13 § Personuppgifter som tillhandahålls av transportföretag enligt 25 § polislagen (1984:387) får behandlas för något av de syften som anges i 1 § första stycket 1 och 2. Personuppgifter som avses i första stycket får endast i ett enskilt fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brottsdatalagen (2018:000).

14 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får personuppgifterna inte ändras eller på annat sätt bearbetas.

15 § Vid sökning i personuppgifter som avses i 13 § första stycket får namn, personnummer, samordningsnummer och andra liknande identitetsbeteckningar användas som sökbegrepp endast om uppgifterna avser en person som 1. är eller har varit misstänkt för brott, 2. är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 3 kap. 2 § första stycket 1, eller 3. övervakas under de förutsättningar som anges i 3 kap. 2 § första stycket 2.

Föreskrifter

16 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 7–11 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 12 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller särskilda Detta kapitel innehåller särskilda bestämmelser för behandling av bestämmelser för behandling av personuppgifter som görs eller har personuppgifter som görs eller har gjorts gemensamt tillgängliga i gjorts gemensamt tillgängliga med 443

Bilaga 2 polisens brottsbekämpande stöd av 2 §. Uppgifter som endast verksamhet. Uppgifter som endast ett fåtal personer har rätt att ta del ett fåtal personer har rätt att ta del av anses inte som gemensamt tillav anses inte som gemensamt gängliga. tillgängliga. Detta kapitel gäller inte när Detta kapitel gäller inte när personuppgifter behandlas med personuppgifter behandlas med stöd av 2 kap. 9 §. stöd av 2 kap. 2 § brottsdatalagen (2018:000) .

16 2 § Följande personuppgifter får göras gemensamt tillgängliga: 1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten a) innefattar brott för vilket är a) innefattar brott för vilket det föreskrivet fängelse i ett år eller är föreskrivet fängelse i ett år eller däröver, eller däröver, eller b) sker systematiskt. 2. Uppgifter som behövs för 2. Uppgifter som behövs för övervakningen av en person, om övervakningen av en person som han eller hon a) kan antas komma att begå a) kan antas komma att begå brott för vilket är föreskrivet brott för vilket det är föreskrivet fängelse i två år eller däröver, och fängelse i två år eller däröver och b) är allvarligt kriminellt belastad eller kan antas utgöra ett hot mot andras personliga säkerhet. 3. Uppgifter som förekommer i 3. Uppgifter som förekommer i ett ärende om utredning eller ett ärende om utredning av eller beivrande av brott. lagföring för brott. 4. Uppgifter som behövs för att 4. Uppgifter som förekommer i fullgöra vad som följer av ett ärende om kontaktförbud eller internationella åtaganden, om det om personskydd. krävs för att den aktuella förpliktelsen ska kunna fullgöras. 5. Uppgifter som har rapporterats till Polismyndighetens ledningscentraler. 6. Uppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet. 7. Uppgifter som behandlas i syfte att fullgöra internationella åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras. DNA -profiler får inte göras Dna -profiler får inte göras gemensamt tillgängliga. Att sådana gemensamt tillgängliga. Att sådana uppgifter får behandlas i särskilda uppgifter får behandlas i särskilda

16 Senaste lydelse 2014:597. 444

register följer av 4 kap. register följer av 5 kap. Bilaga 2 Tillgången till uppgifter som görs gemensamt tillgängliga med stöd av första stycket 2 ska begränsas till särskilt angivna tjänstemän som har till uppgift att arbeta med övervakningen. Information om att en person är föremål för övervakning får dock göras tillgänglig för andra.

3 § Vid behandling enligt 1 § ska det Det ska framgå genom en genom en särskild upplysning eller särskild upplysning eller på något på något annat sätt framgå för annat sätt om personuppgifter har vilket närmare ändamål per- gjorts gemensamt tillgängliga med sonuppgifterna behandlas. Har stöd av 2 § första stycket 2 eller 5. uppgifterna gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2 eller 5, ska detta särskilt framgå .

4 § Om uppgifter , som behandlas Om uppgifter som är gemensamt enligt 1 §, direkt kan hänföras till tillgängliga direkt kan hänföras till en person som inte är misstänkt för en person som inte är misstänkt för brott eller för att ha utövat eller att ha utövat eller komma att utöva komma att utöva sådan brottslig sådan brottslig verksamhet som verksamhet som avses i 2 § första avses i 2 § första stycket 1, ska det stycket 1, ska det genom en särskild genom en särskild upplysning eller upplysning eller på något annat sätt på något annat sätt framgå att framgå att personen inte är personen inte är misstänkt. misstänkt. Uppgifter om en person som kan Uppgifter om en person som kan antas ha samband med misstänkt antas ha direkt samband med brottslig verksamhet ska förses sådan brottslig verksamhet som med en upplysning om avses i 2 § första stycket 1 eller uppgiftslämnarens trovärdighet som övervakas med stöd av 2 § och uppgifternas riktighet i sak, första stycket 2 ska förses med en om inte detta på grund av särskilda upplysning om uppgiftslämnarens omständigheter är onödigt. trovärdighet och uppgifternas Detsamma gäller uppgifter om riktighet i sak, om det inte på personer som avses i 2 § första grund av omständigheterna är stycket 2 . onödigt.

5 § Vid sökning på namn, per- Vid sökning i automatiserade sonnummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identi- sonnummer, samordningsnummer tetsbeteckningar i uppgifter som eller andra liknande identihar gjorts gemensamt tillgängliga tetsbeteckningar i uppgifter som får sådana uppgifter tas fram som har gjorts gemensamt tillgängliga anger att den sökta personen får endast sådana uppgifter tas fram som anger att den sökta personen 445

Bilaga 2 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1, 4. övervakas enligt 2 § första stycket 2, 5. har anmält ett brott, 6. är målsägande i ett ärende som rör ansvar för brott, 7. berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende, 7. förekommer i ett ärende som 8 . förekommer i ett ärende som vittne eller annan som lämnar eller vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande, har lämnat uppgifter eller yttrande, 8 . har gett in eller tillhandahållits 9 . har gett in eller tillhandahållits en handling, en handling, 9 . är anmäld såsom försvunnen, 10 . är anmäld som försvunnen, 10 . har bedömts kunna komma 11 . har bedömts kunna komma att möta ett polisingripande med att möta ett polisingripande med grovt våld, eller grovt våld, eller 11 . är efterlyst. 12 . är efterlyst. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

6 § Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende, eller 2. sökning i en uppgiftssamling som har skapats för att undersöka viss brottslighet eller vissa kriminella grupperingar och som enbart de som arbetar i undersökningen har åtkomst till. Bestämmelserna i 6 § gäller inte Bestämmelserna i 5 § gäller inte heller vid sökning som utförs av heller vid sökning som görs av särskilt angivna tjänstemän och särskilt angivna tjänstemän som görs 1. när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 1. för att förebygga, förhindra 2. i syfte att i underrättelseeller upptäcka brottslig verksamhet verksamhet bearbeta och analysom innefattar brott för vilket är sera personuppgifter som har föreskrivet fängelse i fyra år eller gjorts gemensamt tillgängliga med däröver eller för sådant ändamål stöd av 2 § första stycket 1 eller 2 446

som avses i 2 § första stycket 2, och som enbart dessa tjänstemän Bilaga 2 eller har tillgång till, 2. för att utreda brott för vilket är 3. i syfte att utreda brott för föreskrivet fängelse i fyra år eller vilket det är föreskrivet fängelse i däröver. fyra år eller däröver, eller 4. i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver. Bestämmelserna i 5 § gäller inte heller vid sökning som en tjänsteman vid någon av Polismyndighetens ledningscentraler utför på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första och andra styckena. Regeringen meddelar föreskrifter om ytterligare undantag från 6 §.

17 7 § Säkerhetspolisen, Ekobrotts- Polismyndigheten , Säkerhetsmyndigheten, Åklagarmyndig- polisen, Ekobrottsmyndigheten, heten, Tullverket, Kustbevak- Åklagarmyndigheten, Tullverket, ningen och Skatteverket får Kustbevakningen och Skatteverket medges direktåtkomst till per- får för något av de syften som sonuppgifter i polisens brotts- anges i 1 kap. 2 § brottsdatabekämpande verksamhet . Direkt- lagen (2018:000) medges direktåtkomsten får endast avse per- åtkomst till personuppgifter som sonuppgifter som har gjorts har gjorts gemensamt tillgängliga gemensamt tillgängliga. med stöd av 2 § . En myndighet som medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om

17 Senaste lydelse 2014:597. 447

Bilaga 2 omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 5 §.

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsning av tillgången till sådana personuppgifter som avses i 5 §, 2. under vilka förutsättningar sökning får utföras med stöd av 6 §, och 3. omfattningen av direktåtkomst enligt 7 § och om behörighet och säkerhet vid sådan åtkomst .

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I följande bestämmelser anges hur länge uppgifter som behandlas i särskilda register och i forensisk verksamhet får behandlas: 1. 5 kap. 7 § om uppgifter i register över dna-profiler, 2. 5 kap. 15 och 16 §§ om uppgifter i fingeravtrycks- och signalementsregister, 3. 5 kap. 20 § om uppgifter i penningtvättsregister, 4. 5 kap. 22 § om uppgifter i det internationella registret, 5. 5 kap. 26 § om uppgifter i tillträdesförbudsregistret, och 6. 6 kap. 6 § om uppgifter om sådana uppslag som anges i 6 kap. 1 § första stycket 5.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som varken har gjorts gemensamt tillgängliga eller behandlas med stöd av 5 kap. inte behandlas längre än

1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, Bilaga 2 eller 2. ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett till åtal eller annan domstolsprövning, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § första stycket 1, 2 eller 4–7 som längst behandlas under den tid som anges i 7–10 §§.

7 § Personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 får, om de behandlas i ett ärende, inte behandlas längre än ett år efter det att ärendet avslutades. Om personuppgifterna inte behandlas i ett ärende får de inte behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver får inte behandlas längre än fem år efter utgången av det kalenderår då registreringen gjordes. Om en ny 449

Bilaga 2 registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tiderna, får de personuppgifter som finns om personen fortsätta att behandlas så länge någon av uppgifterna om honom eller henne får behandlas. Den tid då en misstänkt person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av de tider som anges i andra stycket.

8 § Personuppgifter som behandlas i samband med sådan övervakning som avses i 3 kap. 2 § första stycket 2 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Den tid då en övervakad person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av den tid som anges i första stycket.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 4 får inte behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades. Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 7 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

10 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 5 eller 6 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Föreskrifter

11 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–10 §§.

12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter, med avvikelse från 2 § första stycket och 7– 10 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, och 2. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Register

Register över dna-profiler

Rätten att föra register

1 § Polismyndigheten får föra register över dna-profiler (dna-registret, utredningsregistret och spårregistret) i syfte att 450

1. förebygga, förhindra eller upptäcka brottslig verksamhet, Bilaga 2 2. utreda eller lagföra brott, 3. fullgöra förpliktelser som följer av internationella åtaganden, och 4. underlätta identifiering av avlidna personer. I lagen (2014:400) om Polismyndighetens elimineringsdatabas finns bestämmelser om elimineringsdatabasen.

Dna-registret

2 § Dna-registret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser personer som 1. genom dom som fått laga kraft har dömts till annan påföljd än böter, eller 2. har godkänt strafföreläggande som avser villkorlig dom.

3 § En dna-profil som registreras får endast ge information om identitet och inte om personliga egenskaper. Utöver dna-profiler får dna-registret innehålla uppgifter om vem analysen avser, i vilket ärende profilen har tagits fram och brottskod.

Utredningsregistret

4 § Utredningsregistret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser personer som är skäligen misstänkta för brott på vilket det kan följa fängelse. Bestämmelserna i 3 § gäller också vid registrering i utredningsregistret.

Spårregistret

5 § Spårregistret får innehålla dna-profiler som har tagits fram under utredning av brott och som inte kan hänföras till en identifierbar person. Utöver dna-profiler får spårregistret innehålla upplysningar som visar i vilket ärende profilen har tagits fram och brottskod.

6 § Dna-profiler i spårregistret får jämföras med dna-profiler 1. som inte kan hänföras till en identifierbar person, 2. som finns i dna-registret, eller 3. som kan hänföras till en person som är skäligen misstänkt för brott. Dna-profiler i spårregistret får också jämföras i andra fall om det är nödvändigt för att fullgöra en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande eller om det följer av en unionsrättsakt.

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i dna-registren som längst behandlas under den tid som anges i andra–fjärde styckena. Uppgifter får inte längre behandlas i dna-registret när uppgifterna om den registrerade tagits bort ur belastningsregistret enligt lagen (1998:620) om belastningsregister. Uppgifter får inte längre behandlas i utredningsregistret när uppgifterna om den registrerade får föras in i dna-registret eller när 451

Bilaga 2 förundersökning eller åtal läggs ner, åtal ogillas, åtal bifalls men påföljden bestäms till enbart böter eller när den registrerade har godkänt ett strafföreläggande som avser enbart böter. Uppgifter får inte behandlas i spårregistret längre än trettio år efter registreringen. Sådana uppgifter får dock behandlas sjuttio år efter registreringen om uppgifterna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

Prover för dna-analys

8 § Om det i samband med utredning av ett brott har tagits ett prov för dna-analys, får provet inte användas för något annat ändamål än det som provet togs för.

9 § Ett prov för dna-analys som har tagits med stöd av 28 kap. rättegångsbalken, eller på begäran av en annan stat, ska förstöras senast sex månader efter det att provet togs.

Direktåtkomst

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Kustbevakningen får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till register över dna-profiler som regleras i detta kapitel.

Fingeravtrycks- och signalementsregister

Rätten att föra register

11 § Polismyndigheten får föra fingeravtrycks- och signalementsregister i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. fullgöra förpliktelser som följer av internationella åtaganden, 4. underlätta identifiering av okända personer, och 5. kontrollera fingeravtryck som Migrationsverket har tagit enligt 9 kap. 8 § utlänningslagen (2005:716).

Innehåll

12 § I fingeravtrycks- och signalementsregister får uppgifter behandlas om en person som 1. är misstänkt eller dömd för brott och som har varit föremål för åtgärd enligt 28 kap. 14 § rättegångsbalken, eller 2. har lämnat fingeravtryck enligt 19 § lagen (1991:572) om särskild utlänningskontroll. Uppgifter om fingeravtryck som inte kan hänföras till en identifierbar person får behandlas om uppgiften kommit fram i en utredning om brott. I fingeravtrycks- och signalementsregister får inte personuppgifter behandlas som har inhämtats med stöd av 36 § första stycket 2 lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare.

13 § Utöver vad som anges i 12 § får i fingeravtrycks- och signa- 452 lementsregister uppgifter behandlas om en person som har dömts för

brott i en annan medlemsstat inom Europeiska unionen och vars Bilaga 2 fingeravtrycks- eller signalementsuppgifter har överförts hit med stöd av artikel 4.2 i rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organisationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll. Sådana uppgifter får dock endast behandlas om det för motsvarande gärning i Sverige är föreskrivet fängelse i ett år eller däröver och den som uppgifterna avser vid tidpunkten för gärningen hade fyllt femton år.

14 § Fingeravtrycks- och signalementsregister får innehålla uppgifter om 1. fingeravtryck, 2. signalement, 3. fotografi, 4. videoupptagning, 5. identifieringsuppgifter, 6. ärendenummer, och 7. brottskod.

Längsta tid som personuppgifter får behandlas

15 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i fingeravtrycks- och signalementsregister om en misstänkt person inte behandlas längre än tre månader efter det att uppgifterna om den registrerade tagits bort ur misstankeregistret som förs enligt lagen (1998:621) om misstankeregister och ur belastningsregistret som förs enligt lagen (1998:620) om belastningsregister. Uppgifter som inte kan hänföras till en identifierbar person får inte behandlas längre än trettio år efter registreringen. Sådana uppgifter får dock behandlas sjuttio år efter registreringen om uppgifterna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

16 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i fingeravtrycks- och signalementsregister som behandlas för att fullgöra ett internationellt åtagande inte behandlas när de inte längre behövs för det ändamålet. Uppgifter om personer som har lämnat fingeravtryck med stöd av lagen (1991:572) om särskild utlänningskontroll får inte behandlas längre än tio år efter registreringen.

Direktåtkomst

17 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kustbevakningen och Skatteverket får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till personuppgifter i fingeravtrycks- och signalementsregister.

Bilaga 2 Penningtvättsregister Rätten att föra register

18 § Polismyndigheten får föra penningtvättsregister. Personuppgifter får behandlas i penningtvättsregister om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet 1. där penningtvätt är ett led för att dölja vinning av brott eller brottslig verksamhet, eller 2. som innefattar finansiering av terrorism.

19 § I penningtvättsregister får personuppgifter behandlas som 1. kan antas ha samband med sådan brottslig verksamhet som avses i 18 §, 2. har rapporterats till Polismyndigheten med stöd av lag eller annan författning, eller 3. har lämnats av en utländsk myndighet som i sin stat ansvarar för arbetet med att förebygga, förhindra eller upptäcka sådan brottslig verksamhet som avses i 18 §.

Längsta tid som personuppgifter får behandlas

20 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i penningtvättsregister inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen avseende personens anknytning till brottslig verksamhet gjordes.

Det internationella registret

Rätten att föra register

21 § Polismyndigheten får föra ett internationellt register. Personuppgifter i det internationella registret får behandlas om det behövs för handläggningen av ärenden som rör internationellt polisiärt samarbete eller internationellt straffrättsligt samarbete. Uppgifter om dödsfall, olyckshändelser eller andra liknande händelser i utlandet får också behandlas i det internationella registret, om ärendet rör en fråga som ska handläggas av Polismyndigheten.

Längsta tid som personuppgifter får behandlas

22 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i det internationella registret inte behandlas längre än tre år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Tillträdesförbudsregistret

Rätten att föra register

23 § Polismyndigheten får föra ett register med uppgifter om personer som meddelats tillträdesförbud enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang (tillträdesförbudsregistret) i syfte att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud. 454

Innehåll Bilaga 2

24 § Tillträdesförbudsregistret får innehålla följande uppgifter om en person som har meddelats tillträdesförbud. 1. Namn. 2. Personnummer eller samordningsnummer. 3. Folkbokföringsadress och annan stadigvarande adress. 4. Alias. 5. Fotografi. 6. Anknytning till idrott och idrottsorganisation. 7. Omfattningen och giltighetstiden av beslut om tillträdesförbud. 8. Överträdelse av gällande tillträdesförbud.

25 § Polismyndigheten får behandla uppgifter i tillträdesförbudsregistret i syfte att tillhandahålla idrottsorganisationer den information som behövs för att upprätthålla gällande beslut om tillträdesförbud.

Längsta tid som personuppgifter får behandlas

26 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får uppgifter i tillträdesförbudsregistret endast behandlas så länge tillträdesförbudet gäller.

Föreskrifter

27 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. omfattningen av direktåtkomst till dna-register och fingeravtrycksoch signalementsregister och om behörighet och säkerhet vid sådan åtkomst, 2. tillgången till personuppgifter i penningtvättsregister och det internationella registret, 3. att personuppgifter i fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret, med avvikelse från det som sägs i 15, 16, 20, 22 och 26 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

6 kap.

18 3 § Personuppgifter som behandlas Förutsättningarna för att beenligt 1 § första stycket 2 eller 5 handla personuppgifter, som beeller andra stycket 2 eller 2 § andra handlas med stöd av 1 eller 2 §, för stycket får även behandlas när det nya ändamål regleras i 2 kap. 4 är nödvändigt för att tillhandahålla och 22 §§ brottsdatalagen information som behövs i annan (2018:000). Enbart personuppgifbrottsbekämpande verksamhet hos ter som behandlas enligt 1 § första Polismyndigheten eller i stycket 2 eller 5 eller andra brottsbekämpande verksamhet hos stycket 2 eller 2 § andra stycket får

18 Senaste lydelse 2015:436. 455

Bilaga 2 Säkerhetspolisen, Ekobrotts- i ett enskilt fall behandlas för nya myndigheten, Åklagarmyndigheten, ändamål utanför den forensiska Tullverket, Kustbevakningen eller verksamheten. Skatteverket. I ett enskilt fall får personuppgifter som behandlas enligt 1 eller 2 § även behandlas för att tillhandahålla information för något annat ändamål än det som anges i första stycket, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för.

Känsliga personuppgifter

4 § Biometriska och genetiska uppgifter får behandlas enligt 1 § under de förutsättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i personuppgifter som behandlas i register enligt 5 kap. i syfte att få fram ett personurval grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter.

Bevarande Längsta tid som personuppgifter får behandlas

19 6 § Nationellt forensiskt centrum får Nationellt forensiskt centrum får inte behandla personuppgifter för inte behandla personuppgifter för det ändamål som anges i 1 § första det ändamål som anges i 1 § första stycket 5 när det har förflutit fem stycket 5 längre än fem år efter år efter utgången av det kalenderår utgången av det kalenderår då då ärendet där uppgifterna före- ärendet där uppgifterna kommer registrerades. förekommer registrerades.

20 7 §

19 Senaste lydelse 2015:436. 20 Senaste lydelse 2015:436. 456

Säkerhetspolisen, Ekobrotts- Säkerhetspolisen, Ekobrotts- Bilaga 2 myndigheten, Åklagarmyndig- myndigheten, Åklagarmyndigheten, Tullverket, Kustbevak- heten, Tullverket, Kustbevakningen och Skatteverket har, trots ningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § stycket och 35 kap. 1 § offentlighets- och sekretess- offentlighets- och sekretesslagen (2009:400), rätt att ta del av lagen (2009:400), rätt att ta del av personuppgifter som behandlas personuppgifter som behandlas enligt 1 § första stycket 5, om den enligt 1 § första stycket 5, om den mottagande myndigheten behöver mottagande myndigheten behöver uppgifterna i sin brottsbekämpande uppgifterna för något av de syften verksamhet. som anges i 1 kap. 2 § brottsdatalagen (2018:000). Första stycket gäller inte Första stycket gäller inte uppgifter som behandlas i särskilda uppgifter som behandlas i särskilda register enligt 4 kap. register enligt 5 kap.

8 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Föreskrifter

21 9 § Regeringen kan med stöd av Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- 8 kap. 7 § regeringsformen meddela föreskrifter om att person- dela föreskrifter om begränsning uppgifter får lämnas ut i andra fall av möjligheten att lämna ut perän som anges i 8 §. sonuppgifter elektroniskt enligt 8 §. Bestämmelser om att uppgifter får lämnas ut finns även i offentlighets- och sekretesslagen (2009:400). 10 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av behandlingen av personuppgifter enligt detta kapitel vid digital arkivering.

21 Senaste lydelse 2015:436. 457

Bilaga 2 7 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 och 4 §§ om särskilda upplysningar, eller 3. 4 kap. 2–4 eller 7–10 §, 5 kap. 7, 15, 16, 20, 22 eller 26 § eller 6 kap. 6 § om längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 maj 2018. 2. Sanktionsavgift enligt 7 kap. 1 § får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 3. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Förslag till lag om ändring i kustbevakningsdatalagen Bilaga 2 (2012:145)

Härigenom föreskrivs i fråga om kustbevakningsdatalagen (2012:145) dels att 1–3 och 5 kap. ska upphöra att gälla, dels att 4 kap. 2, 4 och 8–14 §§ ska upphöra att gälla, dels att rubrikerna före 4 kap. 8 och 13 §§ ska utgå, dels att nuvarande 4 kap. ska betecknas 3 kap., dels att nuvarande 4 kap. 1 § ska betecknas 3 kap. 2 § och att rubriken före nuvarande 4 kap. 1 § ska placeras före nya 3 kap. 2 §, att nuvarande 4 kap. 3 § ska betecknas 3 kap. 3 § och att rubriken före nuvarande 4 kap. 2 § ska placeras före nya 3 kap. 3 §, att nuvarande 4 kap. 5 § ska betecknas 3 kap. 4 § och att rubriken före nuvarande 4 kap. 4 § ska placeras före nya 3 kap. 4 §, att nuvarande 4 kap. 6 § ska betecknas 3 kap. 5 §, att nuvarande 4 kap. 7 § ska betecknas 3 kap. 6 § och att rubriken före nuvarande 4 kap. 7 § ska placeras före nya 3 kap. 6 §, dels att nya 3 kap. 2–6 §§ ska ha följande lydelse, dels att det ska införas tre nya paragrafer, 3 kap. 1, 7 och 8 §§, och nya rubriker före nya 3 kap. 1 och 7 §§ av följande lydelse, dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., av följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Kustbevakningen i egenskap av behörig myndighet behandlar personuppgifter i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

3 § Kustbevakningen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Bilaga 2 Lagens tillämpning på uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 3 § om personuppgiftsansvar, 2. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1–4 och 6–9 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Kustbevakningen får behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. upprätthålla allmän ordning och säkerhet, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) om särskild upplysning gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett personurval grundat på etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, om 460

sökningen görs i personuppgifter som inte har gjorts gemensamt Bilaga 2 tillgängliga.

Utlämnande av personuppgifter

6 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1. Interpol, 2. Europol, 3. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol, eller 4. en kustbevakningsmyndighet eller tullmyndighet inom Europeiska ekonomiska samarbetsområdet (EES). Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

7 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

8 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 6 §.

Föreskrifter

9 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 6 och 7 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 8 § första stycket.

Bilaga 2 3 kap.

Allmän bestämmelse

1 § Detta kapitel innehåller särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga med stöd av 2 §. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som

gemensamt tillgängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 2 § brottsdatalagen (2018:000).

2 § Följande personuppgifter får Följande personuppgifter får göras gemensamt tillgängliga i göras gemensamt tillgängliga: Kustbevakningens brottsbekämpande verksamhet : 1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten a) innefattar brott för vilket det är föreskrivet fängelse i ett år eller däröver, eller b) sker systematiskt. 2. Uppgifter som förekommer i 2. Uppgifter som förekommer i ett ärende om utredning eller ett ärende om utredning av eller beivrande av brott. lagföring för brott. 3. Uppgifter som behövs för att 3. Uppgifter som behandlas i fullgöra internationella åtaganden, syfte att upprätthålla allmän ordom det krävs för att den aktuella ning och säkerhet . förpliktelsen ska kunna fullgöras. 4. Uppgifter som har rapporterats till Kustbevakningens ledningscentraler. 5. Uppgifter som behandlas i syfte att fullgöra internationella åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3 § Om uppgifter som behandlas Om uppgifter som är gemensamt enligt 1 § direkt kan hänföras till tillgängliga direkt kan hänföras till en person som inte är misstänkt för en person som inte är misstänkt för brott eller för att ha utövat eller att ha utövat eller komma att utöva komma att utöva sådan brottslig sådan brottslig verksamhet som verksamhet som avses i 1 § första avses i 2 § 1 , ska det genom en stycket 1 , ska det genom en särskild upplysning eller på något 462

särskild upplysning eller på annat annat sätt framgå att personen inte Bilaga 2 sätt framgå att personen inte är är misstänkt. misstänkt. Uppgifter om en person som kan Uppgifter om en person som kan antas ha samband med misstänkt antas ha direkt samband med brottslig verksamhet ska förses sådan brottslig verksamhet som med en upplysning om avses i 2 § 1 ska förses med en uppgiftslämnarens trovärdighet upplysning om uppgiftslämnarens och uppgifternas riktighet i sak, trovärdighet och uppgifternas om inte detta är onödigt på grund riktighet i sak, om det inte på av särskilda omständigheter . grund av omständigheterna är onödigt.

4 § Vid sökning på namn, per- Vid sökning i automatiserade sonnummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identi- sonnummer, samordningsnummer tetsbeteckningar i uppgifter som eller andra liknande identihar gjorts gemensamt tillgängliga tetsbeteckningar i uppgifter som får endast sådana uppgifter tas har gjorts gemensamt tillgängliga fram som anger att den sökta får endast sådana uppgifter tas personen fram som anger att den sökta personen 1. är anmäld för brott, 2. är eller har varit misstänkt för brott, 3. är misstänkt för att ha utövat 3. är misstänkt för att ha utövat eller komma att utöva sådan eller komma att utöva sådan brottslig verksamhet som avses i brottslig verksamhet som avses i 1 § första stycket 1 , 2 § 1 , 4. har anmält ett brott, 5. är målsägande i ett ärende som rör ansvar för brott, 6. förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande, 7. har gett in eller tillhandahållits en handling, 8. är anmäld försvunnen, 8. är anmäld som försvunnen, 9. har bedömts kunna komma att möta ett ingripande med grovt våld, eller 10. är efterlyst. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

5 § Begränsningarna i 5 § gäller inte Bestämmelserna i 4 § gäller inte vid vid sökning i en viss handling eller 1. sökning i en viss handling i ett visst ärende. eller i ett visst ärende , eller 2. sökning i en uppgiftssamling Bestämmelserna i 4 § gäller inte 463

Bilaga 2 som har skapats för att undersöka heller vid sökning som utförs av viss brottslighet och som enbart de särskilt angivna tjänstemän i syfte som arbetar i undersökningen har att i underrättelseverksamhet åtkomst till. bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga med stöd av 2 § 1 och som enbart dessa tjänstemän har tillgång till. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första stycket. Regeringen meddelar ytterligare föreskrifter om begränsningarna i 5 §.

22 6 § Polismyndigheten, Säkerhets- Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, polisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket Åklagarmyndigheten, Tullverket och Skatteverket får medges och Skatteverket får för något av direktåtkomst till personuppgifter i de syften som anges i 1 kap. 2 § Kustbevakningens brotts- brottsdatalagen (2018:000) medbekämpande verksamhet . Direkt- ges direktåtkomst till personuppåtkomsten får endast avse gifter som har gjorts gemensamt personuppgifter som har gjorts tillgängliga med stöd av 2 § . gemensamt tillgängliga. En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter . Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Föreskrifter

7 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 4 §.

22 Senaste lydelse 2014:693. 464

Bilaga 2 8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsning av tillgången till sådana personuppgifter som avses i 4 §, 2. under vilka förutsättningar sökning får utföras med stöd av 5 §, och 3. omfattningen av direktåtkomst enligt 6 § och om behörighet och säkerhet vid sådan åtkomst .

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte har gjorts gemensamt tillgängliga inte behandlas längre än 1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller 2. ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett till åtal eller annan domstolsprövning, får personuppgifterna i förundersökningen inte behandlas för 465

Bilaga 2 ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § 1 eller 3–5 som längst behandlas under den tid som anges i 7–9 §§.

7 § Personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § 1 får inte behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver får inte behandlas längre än fem år efter utgången av det kalenderår då registreringen gjordes. Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tiderna, får de personuppgifter som finns om personen fortsätta att behandlas så länge någon av uppgifterna om honom eller henne får behandlas.

8 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 3 eller 4 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 5 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Föreskrifter

10 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att vissa kategorier av personuppgifter får fortsätta behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–9 §§, och

2. begränsning av behandlingen av personuppgifter för ändamål inom Bilaga 2 denna lags tillämpningsområde vid digital arkivering.

11 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter, med avvikelse från 2 § första stycket och 7–9 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 2. 3 kap. 3 § om särskild upplysning, eller 3. 4 kap. 2–4 eller 7–9 § om längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 maj 2018. 2. Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 3. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Bilaga 2

Förslag till lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas

Härigenom föreskrivs i fråga om lagen (2014:400) om Polismyndighetens elimineringsdatabas 23 dels att 6 och 7 §§ och rubriken före 7 § ska upphävas, dels att i 3, 8–10, 13 och 14 §§ ”DNA” ska bytas ut mot ”dna”, dels att 1, 2, 4, 11 och 12 §§ och rubrikerna före 2, 11 och 12 §§ ska ha följande lydelse.

1 §

2 §

4 §

Senaste lydelse av 6 § 2014:600. 24 Senaste lydelse 2014:600.

jämförelse görs med andra DNA- jämförelse görs med andra dna- Bilaga 2 profiler i de DNA-register som profiler i de dna-register som regleras i 4 kap. polisdata- regleras i 5 kap. polisens brottslagen (2010:361). datalag (2010:361). En DNA-profil från prov som har En dna-profil från prov som har tagits med stöd av 28 kap. tagits med stöd av 28 kap. rättegångsbalken får vid ett tillfälle rättegångsbalken får vid ett tillfälle jämföras med DNA-profiler i jämföras med dna-profiler i elimineringsdatabasen. Avser elimineringsdatabasen. Avser dna- DNA-profilen en misstänkt ska profilen en misstänkt ska jämförelsen göras innan profilen jämförelsen göras innan profilen läggs in i det utredningsregister läggs in i det utredningsregister eller det DNA-register som eller det dna-register som regleras regleras i 4 kap. polisdatalagen . i 5 kap. polisens brottsdatalag . En DNA-profil som har tagits En dna-profil som har tagits fram för att kvalitetssäkra den fram för att kvalitetssäkra den forensiska verksamheten med forensiska verksamheten med dna- DNA-analyser och som inte hänför analyser och som inte hänför sig sig till brottsutredande verksamhet till brottsutredande verksamhet får får jämföras med DNA-profiler i jämföras med dna-profiler i elimineringsdatabasen. elimineringsdatabasen.

Gallring Längsta tid för behandling

25 11 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som längst behandlas under den tid som anges i andra–femte styckena. Uppgifter i elimineringsda- Uppgifter i elimineringsdatabasen ska gallras när de inte tabasen får inte behandlas när de längre behövs för att utreda om en inte längre behövs för att utreda persons DNA kan ha kontaminerat om en persons dna kan ha konmaterial, prover eller lokaler. taminerat material, prover eller lokaler. Uppgifter som rör anställda vid Uppgifter som rör anställda vid Polismyndigheten ska gallras Polismyndigheten får inte senast två år efter det att det behandlas längre än två år efter förhållande som grundade skyl- det att det förhållande som digheten att lämna prov upphörde. grundade skyldigheten att lämna prov upphörde. Uppgifter som har registrerats Uppgifter som har registrerats med stöd av 9 § ska gallras senast med stöd av 9 § får inte behandlas ett år efter det att uppgifterna längre än ett år efter det att registrerades. uppgifterna registrerades.

25 Senaste lydelse 2014:600. 469

Bilaga 2 Uppgifter som rör andra än de Uppgifter som rör andra än de som anges i andra och tredje som anges i andra och tredje styckena ska gallras senast ett år styckena får inte behandlas längre efter det att det förhållande som än ett år efter det att det förgrundade skyldigheten upphörde. hållande som grundade skyldigheten upphörde.

Rättelse och skadestånd Skadestånd

12 § Bestämmelserna i personupp- Vid behandling av persongiftslagen (1998:204) om rättelse uppgifter enligt denna lag eller och skadestånd tillämpas på enligt föreskrifter som avses i 13 motsvarande sätt vid behandling eller 14 § ska bestämmelsen i av personuppgifter enligt denna lag 7 kap. 1 § brottsdatalagen eller enligt föreskrifter som avses i (2018:000) om skadestånd 13 eller 14 §. tillämpas på motsvarande sätt.

1. Denna lag träder i kraft den 1 maj 2018. 2. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som före ikraftträdandet har orsakats vid behandling av personuppgifter enligt denna lag.

Förslag till lag om ändring i lagen (2015:51) om register Bilaga 2 över tillträdesförbud vid idrottsarrangemang

Härigenom föreskrivs i fråga om lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang dels att 2, 4, 6, 8–10, 12 och 15 §§ ska upphöra att gälla, dels att rubrikerna före 2, 4, 8–10, 12 och 15 §§ ska utgå, dels att nuvarande 3 § ska betecknas 2 § och att rubriken före nuvarande 3 § ska placeras före nya 2 §, att nuvarande 5 § ska betecknas 4 §, att nuvarande 7 § ska betecknas 5 § och att rubriken före nuvarande 6 § ska placeras före nya 5 §, att nuvarande 11 § ska betecknas 6 § och att rubriken före nuvarande 11 § ska placeras före nya 6 §, att nuvarande 13 § ska betecknas 7 §, att nuvarande 14 § ska betecknas 8 § och att rubriken före nuvarande 14 § ska placeras före nya 8 §, dels att rubriken före nya 4 § ska lyda Rätten att behandla personuppgifter, dels att 1 och nya 2, 4, 6 och 7 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 3 §, och före nya 3 och 7 §§ nya rubriker med följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 §

2 §

Bilaga 2 handling av personuppgifter från tillträdesförbudsregistret. Lagen gäller behandling som är Lagen gäller för behandling som helt eller delvis automatiserad eller är helt eller delvis automatiserad om personuppgifterna ingår i eller eller om personuppgifterna ingår i är avsedda att ingå i en eller är avsedda att ingå i en strukturerad samling av person- strukturerad samling av uppgifter som är tillgängliga för personuppgifter som är tillgängliga sökning eller sammanställning för sökning eller sammanställning enligt särskilda kriterier. Lagen enligt särskilda kriterier. Lagen gäller även för annan behandling i gäller även för annan behandling i fall som avses i 14 §. fall som avses i 8 §.

Förhållandet till annan reglering om personuppgiftsbehandling

3 § Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) gäller vid behandling av personuppgifter enligt denna lag. Lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den.

4 § Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. Varje idrottsorganisation är personuppgiftsansvarig för den behandling av personuppgifter som organisationen utför.

6 § Tillgången till personuppgifter Tillgången till personuppgifter ska begränsas till vad den som ska begränsas till vad den som arbetar vid Polismyndigheten eller arbetar eller utför uppdrag åt en som arbetar eller utför uppdrag åt idrottsorganisation behöver för att en idrottsorganisation behöver för kunna fullgöra arbetsuppgifterna att kunna fullgöra arbetsuppgifterna eller uppdraget. 472

eller uppdraget. Bilaga 2 Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om tillgången till personuppgifter.

7 § Längsta tid som personuppgifter får behandlas

En uppgift som en idrottsor- Behandlingen av personuppganisation har fått tillgång till från gifter som en idrottsorganisation tillträdesförbudsregistret ska tas har fått tillgång till från tillträbort om uppgiften inte längre desförbudsregistret ska upphöra behövs för de ändamål som anges i senast när tillträdesförbudets 7 §, dock senast när till- giltighetstid löper ut eller om trädesförbudets giltighetstid löper tillträdesförbudet dessförinnan ut eller om tillträdesförbudet upphävs. dessförinnan upphävs.

1. Denna lag träder i kraft den 1 maj 2018. 2. Bestämmelserna i 4 och 15 §§ i deras nuvarande lydelse ska fortsätta att gälla för idrottsorganisationers personuppgiftsbehandling till den 25 maj 2018. 3. Bestämmelsen i 3 § ska inte tillämpas förrän den 25 maj 2018.

Bilaga 2

Förslag till lag om ändring i åklagardatalagen (2015:433)

Härigenom föreskrivs i fråga om åklagardatalagen (2015:433) dels att 1 och 2 kap. ska upphöra att gälla, dels att 3 kap. 3, 4 och 7 §§ ska upphöra att gälla, dels att rubriken före 3 kap. 3 § ska utgå, dels att nuvarande 3 kap. 5 § ska betecknas 3 kap. 3 § och att rubriken före nuvarande 3 kap. 4 § ska placeras före nya 3 kap. 3 §, att nuvarande 3 kap. 6 § ska betecknas 3 kap. 4 §, att nuvarande 3 kap. 8 § ska betecknas 3 kap. 5 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 5 §, dels att 3 kap. 1 och 2 §§ och nya 3–5 §§ ska ha följande lydelse, dels att det ska införas två nya paragrafer, 3 kap. 6 och 7 §§, och nya rubriker före 3 kap. 1 § och nya 3 kap. 6 § av följande lydelse, dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., av följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 kap. Allmänna bestämmelser

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Åkla-

garmyndigheten eller Ekobrottsmyndigheten i egenskap av behörig

myndighet behandlar personuppgifter i åklagarverksamhet i syfte att

bekämpa eller lagföra brott eller handlägga frågor om ändring eller

verkställighet av straffrättsliga påföljder eller upprätthållande av allmän

Bestämmelser om personuppgiftsbehandling vid Ekobrottsmyn-

digheten finns också i polisens brottsdatalag (2010:361).

2 § Åklagarmyndigheten och Ekobrottsmyndigheten är var och en

personuppgiftsansvarig för den behandling av personuppgifter som

Lagens tillämpning på uppgifter om juridiska personer

3 § Bestämmelserna om personuppgifter i följande paragrafer gäller

också vid behandling av uppgifter om juridiska personer:

2. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av per-

3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och

4. 4 kap. 1, 2 och 4 §§ om längsta tid som personuppgifter får Bilaga 2 behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. förebygga eller förhindra brottslig verksamhet, 2. utreda eller lagföra brott, 3. handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder, 4. handlägga frågor som rör upprätthållande av allmän ordning och säkerhet, eller 5. fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) om särskild upplysning gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar eller uppgifter som beskriver en persons utseende används vid sökning.

Utlämnande av personuppgifter

5 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1. Eurojust, 2. Interpol, 3. Europol, eller 475

Bilaga 2 4. en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol. Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

6 § Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndigheten, Säkerhetspolisen, Tullverket, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

7 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 5 §.

Föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att personuppgifter får lämnas ut i andra fall än som anges i 5 och 6 §§, och 2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 7 § första stycket.

3 kap. Allmän bestämmelse

1 § Detta kapitel innehåller särskilda Detta kapitel innehåller särskilda bestämmelser för behandling av bestämmelser för behandling av personuppgifter som görs eller har personuppgifter som görs eller har gjorts gemensamt tillgängliga i gjorts gemensamt tillgängliga med åklagarväsendets operativa stöd av 2 § . Uppgifter som endast verksamhet . Uppgifter som endast ett fåtal personer har rätt att ta del ett fåtal personer har rätt att ta del av anses inte som gemensamt tillav anses inte som gemensamt gängliga. tillgängliga. Detta kapitel gäller inte när Detta kapitel gäller inte när personuppgifter behandlas med personuppgifter behandlas med stöd av 2 kap. 7 §. stöd av 2 kap. 2 § brottsdatalagen (2018:000) .

2 § Personuppgifter i åklagarvä- Alla personuppgifter som besendets operativa verksamhet får handlas för syften som omfattas av 476

göras gemensamt tillgängliga. denna lags tillämpningsområde får Bilaga 2 göras gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om sådana uppgifter.

3 § Vid sökning på namn, per- Vid sökning i automatiserade sonnummer, samordningsnummer behandlingssystem på namn, pereller andra liknande identi- sonnummer, samordningsnummer tetsbeteckningar i uppgifter som eller andra liknande identihar gjorts gemensamt tillgängliga tetsbeteckningar i uppgifter som får sådana uppgifter tas fram som har gjorts gemensamt tillgängliga anger att den sökta personen får endast sådana uppgifter tas fram som anger att den sökta personen 1. är anmäld för brott, 1. är eller har varit misstänkt för 2. är eller har varit misstänkt för brott, brott, 2. är misstänkt för att ha utövat 3. är misstänkt för att ha utövat eller komma att utöva brottslig eller komma att utöva brottslig verksamhet, verksamhet, 3. har anmält ett brott, 4. har anmält ett brott, 4. är målsägande i ett ärende 5. är målsägande i ett ärende som rör ansvar för brott, som rör ansvar för brott, 5. är sökande, motpart eller 6. är sökande, motpart eller annan part eller kan jämställas med annan part eller kan jämställas med part i ett ärende, part i ett ärende, 6. förekommer i ett ärende som 7. förekommer i ett ärende som vittne eller någon annan som vittne eller annan som lämnar eller lämnar eller har lämnat uppgifter har lämnat uppgifter eller yttrande, eller yttrande, 7. är eller har varit åklagare i ett 8. är eller har varit åklagare i ett ärende, eller är eller har varit ärende, eller är eller har varit offentlig försvarare eller måls- offentlig försvarare eller målsägandebiträde eller kan jämställas ägandebiträde eller kan jämställas med sådana, eller med sådana, eller 8. har gett in eller tillhandahållits 9. har gett in eller tillhandahållits en handling. en handling.

4 § Bestämmelserna i 5 § gäller inte Bestämmelserna i 3 § gäller inte vid sökning i en viss handling eller vid sökning i en viss handling eller i ett visst ärende. i ett visst ärende. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 5 §. 477

Bilaga 2 5 § Åklagarmyndigheten, Eko- Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyn- brottsmyndigheten, Polismyndigheten, Säkerhetspolisen, Tull- digheten, Säkerhetspolisen, Tullverket, Kustbevakningen och verket, Kustbevakningen och Skatteverket får i den brotts- Skatteverket får för något av de bekämpande verksamheten medges syften som anges i 1 kap. 2 § direktåtkomst till personuppgifter i brottsdatalagen (2018:000) medåklagarväsendets operativa ges direktåtkomst till personverksamhet. Direktåtkomsten får uppgifter som har gjorts gemenendast avse personuppgifter som samt tillgängliga med stöd av 2 § . har gjorts gemensamt tillgängliga. En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet.

Föreskrifter

6 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare undantag från 3 §.

7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. gemensamt tillgängliga uppgifter, och 2. omfattningen av direktåtkomst enligt 5 § och om behörighet och säkerhet vid sådan åtkomst.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling. 478

Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår att Bilaga 2 personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

Personuppgifter i ärenden

2 § Personuppgifter i ett ärende får inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då ärendet avslutades av åklagaren, eller, om frågan prövats av domstol, från utgången av det kalenderår då domstolens avgörande fick laga kraft.

3 § Om en förundersökning mot en person inte har inletts eller har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga personuppgifter

4 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte kan hänföras till ett ärende inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Föreskrifter

5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. att uppgifter i vissa ärendetyper eller vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 2 §, 2. att personuppgifter, med avvikelse från 4 §, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, och 3. begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i 1. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, eller 2. 4 kap. 2 eller 4 § om längsta tid som personuppgifter får behandlas. Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 479

Bilaga 2 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 maj 2018. 2. Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 3. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Förslag till lag om ändring i utlänningsdatalagen Bilaga 2 (2016:27) Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse.

14 §

Migrationsverket får föra separata register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716). Med begränsning av de ändamål som annars gäller enligt 11 och 13 §§ får uppgifter om fingeravtryck eller fotografier i registren användas endast 1. vid prövning av ansökningar om uppehållstillstånd där skäl som anges i 4 kap. 1–2 a §§ utlänningslagen åberopas, 2. i ärenden om avvisning och utvisning, 3. i testverksamhet, 4. om det behövs för att kontrollera identiteten av en person på ett fotografi som kommit in till Migrationsverket, eller 5. om det behövs för att Mig- 5. om det behövs för att Migrationsverket ska kunna kontrollera rationsverket ska kunna kontrollera ett fingeravtryck mot det ett fingeravtryck mot fingeravtrycks- och signale- fingeravtrycks- och signalementsmentsregister som Polismyndig- register som Polismyndigheten för heten för enligt 4 kap. 11 § polis- enligt 5 kap. 11 § polisens datalagen (2010:361). brottsdatalag (2010:361). Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1. ytterligare föreskrifter om vilka uppgifter som får behandlas i registren över fingeravtryck och fotografier, och 2. föreskrifter om gallring.

Denna lag träder i kraft den 1 maj 2018.

Bilaga 2

Förslag till lag om ändring i tullagen (2016:253)

Härigenom föreskrivs att 4 kap. 8 § tullagen (2016:253) ska ha följande lydelse.

4 kap.

8 §

Ett transportföretag får lämna uppgifter enligt 6 § på så sätt att de görs

läsbara för Tullverket genom terminalåtkomst.

Denna lag träder i kraft den 1 maj 2018.

Förslag till lag om ändring i tullbrottsdatalagen Bilaga 2 (2017:447)

Härigenom föreskrivs i fråga om tullbrottsdatalagen (2017:447) dels att 1 och 2 kap. ska upphöra att gälla, dels att 3 kap. 5 § och 4 kap. 5 § ska upphöra att gälla, dels att nuvarande 3 kap. 6 § ska betecknas 3 kap. 5 §, att nuvarande 3 kap. 7 § ska betecknas 3 kap. 6 §, att nuvarande 3 kap. 8 § ska betecknas 3 kap. 7 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 7 §, att nuvarande 4 kap. 2 § ska betecknas 4 kap. 12 §, att nuvarande 4 kap. 3 § ska betecknas 4 kap. 2 § och att rubriken före nuvarande 4 kap. 3 § ska placeras före nya 4 kap. 2 §, att nuvarande 4 kap. 4 § ska betecknas 4 kap. 3 §, att nuvarande 4 kap. 6 § ska betecknas 4 kap. 4 § och att rubriken före nuvarande 4 kap. 5 § ska placeras före nya 4 kap. 4 §, att nuvarande 4 kap. 7 § ska betecknas 4 kap. 5 §, att nuvarande 4 kap. 8 § ska betecknas 4 kap. 6 §, att nuvarande 4 kap. 9 § ska betecknas 4 kap. 8 § och att rubriken före nuvarande 4 kap. 9 § ska placeras före nya 4 kap. 7 §, dels att 3 kap. 1–4 §§ och nya 3 kap. 5–7 §§, 4 kap. 1 § och nya 4 kap. 2–5, 8, 10 och 13 §§, rubriken till 4 kap. och rubriken före 4 kap. 1 § och nya 4 kap. 4 § ska ha följande lydelse, dels att det ska införas sex nya paragrafer, 3 kap. 8 och 9 §§ och 4 kap. 7, 9, 11 och 12 §§ och nya rubriker före 3 kap. 1 §, nya 3 kap. 8 § och nya 4 kap. 12 §§ av följande lydelse, dels att det ska införas tre nya kapitel, 1, 2 och 5 kap., av följande lydelse, dels att rubriken till lagen ska ha följande lydelse.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Tullverket i egenskap av behörig myndighet behandlar personuppgifter i syfte att bekämpa eller lagföra brott.

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser om polisiärt samarbete. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

3 § Tullverket är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. 483

Bilaga 2 Lagens tillämpning på uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1. 3 § om personuppgiftsansvar, 2. 2 kap. 1 § om tillåtna rättsliga grunder för behandling av personuppgifter, 3. 3 kap. 2 § om gemensamt tillgängliga uppgifter, och 4. 4 kap. 1–5 och 8–11 §§ om längsta tid som personuppgifter får behandlas. Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling: 1. 2 kap. 2 § om diarieföring och handläggning i vissa fall, 2. 2 kap. 3 § andra stycket om ändamålet med behandlingen, 3. 2 kap. 17 § om längsta tid som personuppgifter får behandlas, 4. 2 kap. 4 och 22 §§ om behandling för nya ändamål, och 5. 3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Tullverket får behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000) om särskild upplysning gäller endast vid behandling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.