Regeringens förslag: Polismyndigheten ska, på motsvarande sätt som
myndigheten i dag gör med dem som fått tillstånd att bedriva vapen- handlarverksamhet med skjutvapen, föra register över dem som meddelats tillstånd att bedriva vapenmäklarverksamhet.
ISP, MSB och kommunerna ska, på motsvarande sätt som Polis- myndigheten i dag gör för tillstånd till vapenhandlarverksamhet med
77 Prop. 2020/21:42 skjutvapen, föra register över vissa beslutade tillstånd. Registren ska
bl.a. innehålla uppgifter om fysiska personer som har ett betydande inflytande över en juridisk person som har meddelats sådant tillstånd.
I lagen om brandfarliga och explosiva varor och i lagen om krigs- materiel ska det dessutom föras in en bestämmelse om registrets ända- mål. Vidare ska det i de lagarna föras in en bestämmelse som upplyser dels om att bestämmelserna om skyldighet att föra register och om registrets ändamål kompletterar EU:s dataskyddsförordning, dels om vilken övrig personuppgiftsreglering som gäller för personuppgifts- behandling i registret.
Genomförandepromemorians förslag stämmer överens med regering-
ens förslag.
Remissinstanserna: Datainspektionen avstyrker förslaget om att införa
bestämmelser om skyldighet att föra register i lagen (1992:1300) om krigs- materiel och i lagen (2010:1011) om brandfarliga och explosiva varor eftersom det inte har gjorts någon behovsanalys. Inspektionen för strategiska produkter (ISP) anser att dess skyldighet att föra register bör kunna begränsas till tillverkare av skjutvapen. Myndigheten för samhälls- skydd och beredskap (MSB) anser att det behövs ett förtydligande i lagtext som klargör vilka personer som anses ha ett betydande inflytande över en juridisk person som har fått vapenmäklartillstånd. Dessutom anser MSB att det bör införas ett krav i lagen om brandfarliga och explosiva varor på att tillståndshavaren ska anmäla alla förändringar av vem som har ett sådant betydande inflytande. Huddinge kommun anser att Polismyndig- heten bör hantera alla tillstånd enligt lagen om brandfarliga och explosiva varor som rör ammunition.
Skälen för regeringens förslag
I tillägg till vapendirektivets krav på att föra ett vapenregister med upp- gifter om de vapen som omfattas av direktivet införs genom ändrings- direktivet krav på medlemsstaterna att registrera vapenhandlare och vapenmäklare som är verksamma på deras territorium (artikel 4.3 a). Registrering av vapenmäklare
I avsnitt 6.1 föreslås att vapenmäklarverksamhet ska regleras i vapenlagen. Bland annat ska det i vapenlagen införas krav på tillstånd motsvarande de som gäller för vapenhandlare. För att uppfylla ändringsdirektivets krav på registrering av vapenmäklare bör kravet i 1 a kap. 7 § första stycket 3 vapenlagen om att Polismyndigheten ska föra register över de som driver handel med skjutvapen utvidgas till att omfatta de som driver mäklar- verksamhet med skjutvapen eller ammunition.
Registrering av vapenhandlare
Som framgår av avsnitt 6.1 regleras vapenhandlarverksamhet i tre lagar: vapenlagen, lagen om brandfarliga och explosiva varor och lagen om krigsmateriel. När det gäller vapenhandel med skjutvapen, som regleras i vapenlagen, finns redan krav på Polismyndigheten att föra ett vapen- handlarregister enligt 1 a kap. 7 § första stycket 3 vapenlagen. I registret ska enligt samma bestämmelse finnas uppgifter om fysiska personer som
Prop. 2020/21:42
78
har ett betydande inflytande över en juridisk person som har tillstånd att driva handel med skjutvapen, personer som har godkänts att som föreståndare eller ersättare svara för sådan verksamhet samt personer och organisationer som har meddelats tillstånd att ta emot skjutvapen för översyn eller reparation.
Däremot finns det inget krav på registrering av sådan vapenhandlarverk- samhet som regleras i lagen om brandfarliga och explosiva varor och lagen om krigsmateriel, dvs. vapenhandlarverksamhet med ammunition. Datainspektionen har motsatt sig att det i de lagarna införs bestämmelser om krav på tillståndsgivarna, dvs. MSB, kommuner och ISP, att föra register eftersom det inte har gjorts någon behovsanalys. Regeringen anser dock att uttryckliga krav på att föra register är motiverade med hänsyn till att ändringsdirektivet kräver att vapenhandlare registreras. Utan en sådan skyldighet kommer det vara valfritt för tillståndsgivare att föra register. Det bör därför införas bestämmelser som ålägger MSB och kommunerna att föra register över personer och organisationer som meddelats tillstånd enligt 16 § lagen om brandfarliga och explosiva varor för hantering av ammunition. Vidare bör ISP registrera de som fått tillstånd enligt 3 § lagen om krigsmateriel för tillverkning av skjutvapen eller ammunition enligt lagen om krigsmateriel. ISP anser att kravet på inspektionen att föra register bör kunna begränsas till de som fått tillstånd till tillverkning av skjutvapen eftersom MSB kommer att åläggas en skyldighet att föra register över sådana som tillverkar ammunition. Regeringen anser dock att registrering bör ske enligt båda regelverken dels eftersom både ISP och MSB i dessa fall har tillsynsansvar över verksamheterna, dels eftersom tillverkning av vissa typer av ammunition kan omfattas av enbart det ena regelverket.
Utöver krav på tillståndsgivarna att föra register med uppgifter om de som fått tillstånd bör, liksom avseende Polismyndighetens vapenhandlar- register, krävas att registren ska innehålla uppgifter om fysiska personer som har ett betydande inflytande över en juridisk person som har meddelats tillstånd och, när det gäller registret för dem som meddelats tillstånd enligt lagen om brandfarliga och explosiva varor, personer som har godkänts att som föreståndare svara för sådan verksamhet. Ett sådant krav skulle underlätta handläggningen av tillståndsärenden. MSB anser att det behövs ett förtydligande i lagtext som tydliggör vilka personer som anses ha ett betydande inflytande över en juridisk person. Regeringen anser att det varken är ändamålsenligt eller görligt att i lagtext ange exempel på personer som alltid ska anses ha ett betydande inflytande. Exempel på personer som kan ha betydande inflytande över en juridisk person är dock verkställande direktör, styrelseledamot, bolagsman och aktieägare med betydande aktieinnehav.
MSB menar vidare att det bör införas ett krav i lagen om brandfarliga och explosiva varor på att tillståndshavaren ska anmäla alla förändringar av vem som har ett betydande inflytande. Ett sådant krav finns redan för vapenhandlare som har tillstånd enligt vapenlagen (2 kap. 10 § vapen- lagen). Som MSB framför kan det efter det att tillståndsmyndigheterna meddelat tillstånd ske förändringar i fråga om vem som har ett betydande inflytande över verksamheten. För tillståndsmyndighetens bedömning av om förutsättningarna för tillstånd är uppfyllda underlättar naturligtvis kännedom om förändringar i verksamheten såsom om verksamheten har
79 Prop. 2020/21:42 överlåtits. Det kan således finns behov av en sådan bestämmelse som MSB
föreslår. När det gäller de som fått tillstånd enligt lagen om brandfarliga och explosiva varor finns det redan liknande bestämmelser i förordning, såsom bestämmelser om krav på föranmälan vid byte av verksamhets- utövare för att få fortsätta bedriva en verksamhet enligt tidigare meddelat tillstånd och om skyldighet för dödsbon efter en fysisk person som haft tillstånd att skyndsamt underrätta tillståndsmyndigheten om dödsfallet (20 § förordningen [2010:1075] om brandfarliga och explosiva varor). Regeringen anser med hänsyn till det att en sådan bestämmelse som MSB föreslår får övervägas inom ramen för det fortsatta förordningsarbetet.
Det saknas beredningsunderlag för att i detta lagstiftningsärende hantera Huddinge kommuns förslag om att all tillståndshantering enligt lagen om brandfarliga och explosiva varor som avser ammunition bör flyttas över till Polismyndigheten.
De föreslagna nya registerbestämmelsernas förhållande till annan personuppgiftsreglering
När regeringen nu föreslår att det ska införas nya krav på myndigheter att föra register över sådana som fått tillstånd till viss vapenhandel enligt lagen om brandfarliga och explosiva varor och lagen om krigsmateriel finns det anledning att beakta tillämplig personuppgiftsreglering och om förhållandet till den bör regleras på något sätt.
Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, utgör från och med den 25 maj 2018 grunden för generell personuppgiftsbehandling inom EU. Dataskydds- förordningen är direkt tillämplig i varje medlemsstat. Dataskydds- förordningen kompletteras av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här kallad dataskyddslagen, och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Dataskyddsförordningen är inte tillämplig när brottsdatalagen (2018:1177) är tillämplig. Brottsdatalagen är en ramlag som genomför stora delar av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, här kallat dataskyddsdirektivet. Enligt 1 kap. 2 § brottsdatalagen gäller den lagen vid behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Behörig myndighet definieras i 1 kap. 6 § brottsdatalagen som
1. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa
Prop. 2020/21:42
80
straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte, eller
2. en annan aktör som har anförtrotts myndighetsutövning för ett syfte som anges i 1, när den behandlar personuppgifter för ett sådant syfte.
I förarbetena till brottsdatalagen anges att bl.a. Polismyndigheten, Tull- verket, Kustbevakningen, Skatteverket, Ekobrottsmyndigheten, Åklagar- myndigheten, de allmänna domstolarna och Kriminalvården är behöriga myndigheter, men enbart när de behandlar personuppgifter för sådana syften. När t.ex. Skatteverket behandlar personuppgifter i beskattnings- verksamheten eller Polismyndigheten utfärdar pass är myndigheten inte en behörig myndighet. Som exempel på andra aktörer än myndigheter som kan vara behöriga myndigheter i brottsdatalagens mening anges att exempelvis naturvårdsvakter och jakttillsynsmän kan anses vara det när de tar egendom i beslag och ordningsvakter när de upprätthåller allmän ordning och säkerhet vid domstolsförhandlingar (prop. 2017/18:232 s. 92– 98 och s. 429–432).
Angående vilken reglering som är tillämplig på nu aktuella register kan först konstateras att regeringen, i propositionen Personuppgiftsbehandling i viss verksamhet som rör allmän ordning och säkerhet – anpassningar till EU:s dataskyddsreform (prop. 2018/19:65), gör bedömningen att behand- ling av personuppgifter i vapenärenden samt förandet av vapenregistren och behandling av personuppgifter för utlämnande ur registren i annat än brottsbekämpande syfte faller under dataskyddsförordningens tillämpningsområde. När behandling sker för utlämnande ur registren i brottsbekämpande syfte bedömer regeringen dock att brottsdatalagen är tillämplig.
Till skillnad från den personuppgiftsbehandling som sker i vapen- ärenden och i vapenregistren enligt vapenlagen är det – i stället för Polismyndigheten – MSB, kommuner och ISP som föreslås föra register över sådana som fått vissa typer av tillstånd enligt lagen om brandfarliga och explosiva varor respektive lagen om krigsmateriel. Systemen med tillståndsplikt och registrering enligt de lagarna skulle kunna anses ha till syfte att förebygga såväl brottslig verksamhet som hot mot den allmänna säkerheten, men av förarbetena till brottsdatalagen framgår att begreppen ”förebygga brottslig verksamhet” och ”upprätthålla allmän ordning och säkerhet” i 1 kap. 2 § brottsdatalagen inte varit avsedda att ges en så vidsträckt tillämpning (prop. 2017/18:232 s. 94–98 och 429–432). MSB, kommuner och ISP är mot bakgrund av förarbetsuttalandena inte myndigheter som har i uppgift att förebygga brottslig verksamhet, upprätthålla allmän ordning och säkerhet eller annan uppgift som kan kvalificera dem som behörig myndighet i brottsdatalagens mening. Det kan nämnas att det i förarbetena till brottsdatalagen uttalas specifikt att ett exempel på arbetsuppgifter som inte gör en myndighet till behörig myndighet i brottsdatalagens mening är uppgiftsskyldighet till brotts- bekämpande myndigheter (prop. 2017/18:232 s. 430). Samman- fattningsvis är MSB, kommuner och ISP inte behöriga myndigheter i nu aktuellt avseende. Till skillnad från vad som gäller för vapenregistren enligt vapenlagen är alltså dataskyddsförordningen och till förordningen kompletterande bestämmelser tillämplig på all personuppgiftsbehandling som MSB, kommuner och ISP behöver göra för förandet av nu föreslagna register, även om den sker för uttag ur registren i brottsbekämpande syfte.
81 Prop. 2020/21:42 Dataskyddsförordningen utgår från att varje behandling av person-
uppgifter måste ha en rättslig grund. För att behandlingen ska vara laglig måste något av de villkor som anges i artikel 6.1 i dataskyddsförordningen vara uppfyllt. När det gäller statliga och kommunala myndigheters person- uppgiftsbehandling uppfylls i regel de villkor som anges artikel 6.1 c och e: att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse eller nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Den behandling av personuppgifter som kommer ske när tillsynsmyndigheterna lägger in och sedan bevarar personuppgifter i registren är nödvändig för att myndigheten ska kunna fullgöra den i lag reglerade rättsliga förpliktelsen att föra registren. Behandlingen får därför, i enlighet med 2 kap. 1 § dataskyddslagen, ske med stöd av artikel 6.1 c i dataskyddsförordningen. Sådan behandling bör dessutom anses vara nödvändig för att tillsynsmyndigheterna ska kunna utföra sin uppgift att pröva tillstånd enligt lagen om brandfarliga och explosiva varor och lagen om krigsmateriel, uppgifter som är av allmänt intresse. Behandlingen är därmed tillåten även med stöd av artikel 6.1 e i dataskyddsförordningen, i enlighet med 2 kap. 2 § dataskyddslagen.
Dataskyddsförordningen tillåter till viss del att dess regler specificeras i nationell rätt. Detta följer bl.a. av artikel 6.2 där det anges att medlems- staterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som sker enligt artikel 6.1 c och e. Detta får ske genom att medlems- staterna närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Mot den bakgrunden gör regeringen bedömningen i propositionen Person- uppgiftsbehandling i viss verksamhet som rör allmän ordning och säkerhet – anpassningar till EU:s dataskyddsreform (prop. 2018/19:65) att ändamålsbestämmelser i vapenlagen och vissa andra registerförfattningar är förenliga med dataskyddsförordningen och bör vara kvar. Vidare görs bedömningen att det i registerförfattningar där dataskyddsförordningen är tillämplig bör införas bestämmelser som upplyser om att bestämmelserna i registerförfattningen kompletterar bestämmelserna i dataskydds- förordningen samt att dataskyddslagen och föreskrifter som meddelas i anslutning till den lagen gäller, om inte annat följer av register- författningen eller föreskrifter som meddelats i anslutning till den. På så sätt görs det tydligt att bestämmelserna i registerförfattningen måste läsas tillsammans med andra författningar som innehåller de grundläggande kraven på personuppgifternas behandling, såsom möjligheten att behandla känsliga personuppgifter, den enskildes rätt till registerutdrag, bevarande av uppgifterna m.m.
Liksom vapenlagen och andra författningar med registerbestämmelser bör lagen om brandfarliga och explosiva varor och lagen om krigsmateriel ha ändamålsbestämmelser som anger registrens ändamål och upplysnings- bestämmelser som klargör vilka regler som gäller för personuppgifts- behandlingen i registren. Det kan bidra till att skydda enskildas personliga integritet och göra det tydligt och förutsebart i vilken utsträckning som behandling får ske. Regeringen anser att det i ändamålsbestämmelserna bör anges att registren ska ha till ändamål att underlätta frågor om tillstånd. Eftersom uppgifterna om personer och organisationer som meddelats tillstånd att tillverka skjutvapen eller ammunition eller att på annat sätt
Prop. 2020/21:42
82
hantera ammunition kan behövas för att utreda brott bör det även anges att registren ska ge information om sådana uppgifter som behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller beivra brott med anknytning till ammunition respektive krigsmateriel. Det bör dock poängteras att sådana ändamålsbestämmelser, liksom motsvarande ändamålsbestämmelse i 1 a kap. 8 § vapenlagen, inte hindrar att uppgifter lämnas ut i enlighet med den s.k. finalitetsprincipen i 5.1 b i dataskyddsförordningen. Enligt finalitetsprincipen får uppgifter behandlas för att lämnas ut om det inte är oförenligt med de ändamål för vilka uppgifterna samlades in.