Skydd av personuppgifter som används av polis- och åklagarmyndigheterna (från och med 2018)

 

SAMMANFATTNING AV FÖLJANDE DOKUMENT:

Direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på polis- och åklagarmyndigheternas behandling av deras personuppgifter och om det fria flödet av sådana uppgifter

VILKET SYFTE HAR DIREKTIVET?

• Direktiv (EU) 2016/680, dataskyddsdirektivet för brottsbekämpning (LED), säkerställer skyddet av personuppgifter för fysiska personer som är involverade i straffrättsliga förfaranden, och omfattar såväl vittnen, som brottsoffer och brottsmisstänkta.
• I direktivet fastställs en omfattande ram för att säkerställa en hög nivå av dataskydd, och hänsyn tas till det särskilda polis- och straffrättsområdet.
• Direktivet bidrar till ökat förtroende och underlättar samarbetet i brottsbekämpningen i Europa, genom att harmonisera skyddet av personuppgifter inom brottsbekämpande myndigheter i Europeiska unionen (EU) medlemsstaterna och Schengenländerna.
• Direktivet är en del av EU:s reform för dataskydd, tillsammans med dataskyddsförordningen (GDPR) (se sammanfattning samt förordning (EU) 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer (se sammanfattning).

VIKTIGA PUNKTER

Enligt direktivet ska de uppgifter som samlats in av brottsbekämpande myndigheter:

• behandlas lagligt och korrekt,
• samlas in för särskilda, uttryckligt angivna och berättigade ändamål och behandlas endast för sådana ändamål,
• vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas,
• vara korrekta och uppdateras om så är nödvändigt,
• inte förvaras i en form som möjliggör identifiering av den enskilda under en längre tid än vad som är nödvändigt för behandlingens ändamål,
• vara skyddade på lämpligt sätt, bland annat mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder.

Tidsgränser

Medlemsstaterna måste fastställa tidsgränser för radering av personuppgifter eller för regelbunden översyn av behovet av att lagra personuppgifter.

Berörda personer (”registrerade”))

Enligt direktivet måste de brottsbekämpande myndigheterna klart skilja mellan personuppgifter som rör olika kategorier av personer, såsom:

• personer för vilka det finns tungt vägande skäl att anta att de har begått eller är på väg att begå ett brott,
• personer som har dömts för brott,
• brottsoffer eller personer för vilka det finns rimlig anledning att anta att de kan vara brottsoffer, och
• personer som berörs av ett brott, såsom potentiella vittnen.

Uppgifter om de registrerade och tillgång till uppgifter

Enskilda personer har rätt till att särskilda uppgifter görs tillgängliga – och i vissa fall även få uppgifterna av behöriga brottsbekämpande myndigheter, exempelvis:

• namn och kontaktuppgifter för den behöriga myndighet som bestämmer ändamålen med och medlen för uppgiftsbehandlingen,
• Syftena för behandlingen av deras uppgifter,
• rätten att lämna in klagomål till en tillsynsmyndighet samt myndighetens kontaktuppgifter,
• rätten att begära tillgång till och rättelse eller radering av personuppgifter och begränsning av behandlingen av deras personuppgifter.

Enskilda personer har rätt till att få bekräftelse av behöriga myndigheter om huruvida deras personuppgifter behandlas, samt få tillgång till dessa uppgifter och information som berör behandlingen.

Säkerhet och loggning

De nationella myndigheterna måste vidta tekniska och organisatoriska åtgärder för att säkerställa att säkerhetsnivån för personuppgifterna är lämplig i förhållande till riskerna. Vid automatiserad databehandling måste ett antal åtgärder vidtas, bland annat att

• vägra varje obehörig person åtkomst till utrustning som används för behandling,
• förhindra obehörig läsning, kopiering, ändring eller radering av datamedier*,
• förhindra obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter.

Nationella myndigheter måste föra logg om uppgifter såsom dag och tidpunkt för åtkomst till personuppgifter, samt namn på de som inhämtat uppgifterna och de som uppgifterna har lämnats ut till. Loggarna ska främst användas för att verifiera att behandlingen är laglig, vilket garanterar säkerheten och integritet i behandlingen och för straffrättsliga förfaranden.

Upphävande

Direktivet ersätter rambeslut 2008/977/RIF om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete med verkan från och med den 6 maj 2018.

Översyn

I juni 2020 utfärdade Europeiska kommissionen ett meddelande med titeln ”Det fortsatta arbetet med att anpassa regelverket för den tidigare tredje pelaren till dataskyddsreglerna”.

Den första rapporten om utvärderingen och översynen av direktivet ska lämnas in senast den 5 maj 2022.

VILKEN PERIOD GÄLLER DIREKTIVET FÖR?

Det har gällt sedan den 5 maj 2016. Medlemsstaterna måste införliva direktivet (i sin nationella lagstiftning) senast den 6 maj 2018.

BAKGRUND

Mer information finns här:

• EU:s reform för dataskydd (Europeiska kommissionen)
• EU:s regler för dataskydd (Europeiska kommissionen)
• Kommissionens rapport: EU:s dataskyddsregler stärker medborgare och är lämpliga för den digitala tidsåldern – pressmeddelande (Europeiska kommissionen)
• Reformen för dataskydd – meddelande (Europeiska kommissionen)
• Skydd av personuppgifter (Europeiska kommissionen).

VIKTIGA BEGREPP

HUVUDDOKUMENT

Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).

Fortlöpande ändringar av förordning (EU) 2016/680 har införlivats i originaltexten. Denna konsoliderade version har endast dokumentationsvärde.

ANKNYTANDE DOKUMENT

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).

Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).

Se den konsoliderade versionen.

Senast ändrat 14.01.2022