1 §  I denna förordning finns kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av tullbrottsdatalagen (2017:447). De uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i lagen.

2 §  När Tullverket planerar nya it-system av större omfattning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten, ska myndigheten samråda med Datainspektionen i god tid innan ett beslut i frågan fattas. Detsamma ska gälla när Tullverket genomför betydande förändringar i sådana system.

Vid bedömningen av risken för intrång i den personliga integriteten ska särskild vikt läggas vid om känsliga personuppgifter kommer att behandlas.

3 §  Tullverket får meddela närmare föreskrifter om tillgången till personuppgifter för personer som är verksamma inom myndighetens brottsbekämpande verksamhet. För tilldelning av behörighet för åtkomst till personuppgifter ska det särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet.

4 §  Tullverket ansvarar för att det inom myndigheten finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter.

5 §  Vid sökning enligt 3 kap. 6 § tullbrottsdatalagen (2017:447) får uppgifter som visar att den sökta personen tidigare har varit misstänkt för ett visst brott inte tas fram om en domstol, genom ett avgörande som har fått laga kraft, har ogillat åtalet, meddelat frikännande dom eller avskrivit målet sedan åtalet lagts ned.

Tullverket får meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i 3 kap. 6 § första stycket tullbrottsdatalagen. Särskild hänsyn ska då tas till den enskildes rätt till skydd mot intrång i den personliga integriteten. Tillgången till personuppgifter om tidigare misstankar om brott ska särskilt begränsas.

6 §  Tullverket ska löpande föra en förteckning över de tjänstemän vid myndigheten som utför uppgifter enligt 3 kap. 7 § andra stycket tullbrottsdatalagen (2017:447).

7 §  Tullverket får meddela närmare föreskrifter om under vilka förutsättningar sökning enligt 3 kap. 7 § första stycket 2 tullbrottsdatalagen (2017:447) får ske.

8 §  Begränsningen i 2 kap. 16 § första stycket tullbrottsdatalagen (2017:447) gäller inte för de myndigheter som får ha direktåtkomst enligt 3 kap. 8 § samma lag i fråga om personuppgifter som har gjorts gemensamt tillgängliga.

9 §  Om det inte är olämpligt, får fler personuppgifter än vad som anges i 2 kap. 16 § första stycket tullbrottsdatalagen (2017:447) lämnas ut på medium för automatiserad behandling till

1. allmänna domstolar och allmänna förvaltningsdomstolar,
2. Justitiekanslern,
3. Brottsförebyggande rådet
4. Europol,
5. Interpol,
6. en konkursförvaltare, och
7. en offentlig försvarare eller ett målsägandebiträde eller den som kan jämställas med en sådan.

Uppgifter får inte lämnas ut på medium för automatiserad behandling om det kan antas att ett utlämnande skulle medföra att uppgiften kan komma att behandlas i strid med personuppgiftslagen (1998:204).

10 §  Tullverket får meddela närmare föreskrifter om vad som krävs i fråga om behörighet och säkerhet för att myndigheten ska kunna medge direktåtkomst till uppgifter för de myndigheter som anges i 3 kap. 8 § tullbrottsdatalagen (2017:447).

Direktåtkomst till uppgifterna får inte medges innan Tullverket har försäkrat sig om att den mottagande myndigheten uppfyller kraven på behörighet och säkerhet.

11 §  När Tullverket arkiverar uppgifter och handlingar digitalt ska de arkiverade uppgifterna och handlingarna avskiljas från myndighetens brottsbekämpande verksamhet. Åtkomsten till arkiverade uppgifter och handlingar ska begränsas till särskilt angivna tjänstemän.

Tullverket får, efter att ha gett Riksarkivet tillfälle att yttra sig, meddela närmare föreskrifter om digital arkivering.

12 §  I 13–15 §§ föreskrivs att vissa kategorier av uppgifter i brottsanmälningar och avslutade förundersökningar får behandlas i Tullverkets brottsbekämpande verksamhet efter utgången av den tid som anges i 4 kap.6 och 7 §§tullbrottsdatalagen (2017:447). Detsamma gäller uppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap.rättegångsbalken.

När uppgifter behandlas enligt 13–15 §§ får, utöver vad som sägs i de bestämmelserna, följande uppgifter behandlas:

1. ärendenummer och liknande referensuppgifter,
2. brottskoder, och
3. uppgifter om omständigheterna kring brottet.

13 §  Uppgifter om en dömd person i en förundersökning som har lett till fällande dom får behandlas efter utgången av den tid som anges i 4 kap. 7 § första stycket tullbrottsdatalagen (2017:447), om behandlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gärningsmän.

Uppgifterna ska dock gallras senast i samband med att uppgifterna om den dömde gallras ur belastningsregistret enligt lagen (1998:620) om belastningsregister.

14 §  Uppgifter om en person som har varit misstänkt i en förundersökning som har lagts ned eller avslutats på annat sätt än genom åtal får i ett enskilt fall behandlas efter utgången av den tid som anges i 4 kap. 7 § andra stycket tullbrottsdatalagen (2017:447), om behandlingen är nödvändig för att personen ska kunna lagföras.

Uppgifterna ska dock gallras senast då åtal inte längre får väckas för brottet eller senast sjuttio år från den dag då brottet begicks i fall som avses i 35 kap. 2 § första stycket brottsbalken.

15 §  Uppgifter om personer som har dömts för, eller har varit misstänkta för, brott där det finns en betydande risk för återfall i samma eller likartad brottslighet, får behandlas efter utgången av den tid som anges i 4 kap.6 och 7 §§tullbrottsdatalagen (2017:447), om behandlingen av särskilda skäl är nödvändig för att förebygga, förhindra eller upptäcka brott för vilket det är föreskrivet fängelse i fyra år eller däröver.

Uppgifterna ska dock gallras, i fråga om brott som har lett till fällande dom, senast i samband med att uppgifterna gallras ur belastningsregistret enligt lagen (1998:620) om belastningsregister och i övriga fall senast femton år efter det att förundersökningen lades ner eller avslutades på annat sätt.

16 §  Personuppgifter som behövs för handläggning av ärenden i det internationella samarbetet ska, om behandlingen av särskilda skäl är nödvändig efter utgången av den tid som anges i 4 kap. 10 § andra stycket tullbrottsdatalagen (2017:447) för att fullgöra internationella åtaganden, gallras senast tre år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

17 §  Riksarkivet får, efter att ha gett Tullverket tillfälle att yttra sig, meddela föreskrifter om att uppgifter som ska gallras enligt 4 kap. 3 § första stycket och 4 kap.9 och 10 §§tullbrottsdatalagen (2017:447) samt 16 § denna förordning får bevaras för historiska, statistiska eller vetenskapliga ändamål.

18 §  Tullverket får meddela de ytterligare föreskrifter som behövs för verkställighet av tullbrottsdatalagen (2017:447) och denna förordning.

19 §  Innan Tullverket meddelar föreskrifter med stöd av denna förordning, ska myndigheten ge Datainspektionen tillfälle att yttra sig i frågor som berör särskilda risker för intrång i den personliga integriteten.