prop · GK03164 · 1997-01-01 00:00:00 — Däremot kan det vara tillåtet att söka personer som misstänks för en viss brottstyp, t.ex. amfetaminsmuggling, och som tillhör en särskild, etnisk grupp, för att med hjälp av detta kunna kartlägga en kriminell organisation. Enligt artikel 10.1 tredje stycket skall rådet anta tillämpnings- föreskrifter med ytterligare regler om bl.a. användning och registrering av personuppgifter i analysfilerna. Detta arbete bedrivs på det sätt som har beskrivits i kommentaren till artikel 45 men är ännu inte helt slutfört. Ett resultat av arbetet kommer dock att vara preciserade regler om vilka typer av uppgifter som i normala fall kan få förekomma beträffande de olika personkategorier som nämns i artikel 10. I princip tillåts registrering av fler uppgifter, även av känsligt slag, beträffande personer som är misstänkta för brott än beträffande t.ex. vittnen och offer. Förhållande till svenska regler Frågan om hur databehandling av sådana uppgifter som avses i artikel 10 förhåller sig till svenska regler berörs i avsnitt 7, där också frågan om överlämnande av uppgifter till Europol närmare berörs. Indexregister Artikel 11 berör indexregistret. Detta skall avspegla innehållet analysregistren på ett sådant sätt att en sambandsman av uppgifterna i indexregistret kan dra slutsatser om huruvida det i något analysregister förekommer uppgifter (information) som berör dennes hemland. Uppgifterna i indexregistret skall alltså vara så beskaffade att det går att avgöra om det förekommer uppgifter lagrade om en person eller inte, men får inte i övrigt avslöja något av innehållet i registret eller resultatet av en företagen analys. Förutom sambandsmännen har endast behöriga Europoltjänstemän tillgång till indexregistret. Instruktion för upprättandet av register För varje analysregister skall särskilda instruktioner upprättas som beslutas av . Härigenom ges tillstånd att inleda ett analysprojekt med hjälp av ett analysregister. Dessa instruktioner skall innehålla detaljerade föreskrifter om ett analysregisters innehåll, bl.a. vilka personkategorier som får registreras och vilka typer av uppgifter om dessa som skall få förekomma, särskilt om det kan bli aktuellt att lagra sådana känsliga personuppgifter som avses i artikel 10.1 andra stycket, under vilka förutsättningar personuppgifter kan lämnas ut och till vilka mottagare (artikel 12.1.2-9). Den gemensamma tillsynsmyndig- heten skall av chefen för underrättas om att ett förslag till beslut om inrättande av ett sådant register har upprättats. Den gemensamma tillsynsmyndigheten skall härutöver få tillgång till beslutsakten som helhet för synpunkter (artikel 12.1 andra stycket). Vid fara i dröjsmål kan chefen för enligt artikel 12.2 ensam besluta att ett analysregister skall upprättas. Styrelsens ledamöter skall därefter genast underrättas så att frågan kan underställas styrelsen för beslut. Gemensamma bestämmelser om informationsbehandling (artikel 13-25) Inledning Avdelning IV är den mest omfattande i konventionen och innehåller bestämmelser om integritetsskydd, enskildas tillgång till uppgifter, användning av uppgifter och tekniskt skydd för datalagrade uppgifter m.m. Skyldighet att lämna ut uppgifter Europol skall enligt artikel 13 utan dröjsmål överlämna alla uppgifter till medlemsländerna som rör dessa. Europol skall också upplysa medlemsstaterna om de samband som har konstaterats föreligga mellan olika brott inom Europols behörighet. Europol får också lämna uppgifter och underrättelser om andra allvarliga brott som Europol har fått kunskap om. Kommentar I artikeln regleras Europols skyldighet att till medlemsstaterna redovisa bl.a. de analysresultat som har uppnåtts. Europol får också till medlems- staterna lämna ut s.k. överskottsinformation som rör allvarliga brott. Skyddsnivå för uppgifter Senast vid konventionens ikraftträdande skall alla medlemsstater ha vidtagit sådana lagstiftningsåtgärder att den interna rättsordningen minst uppfyller den dataskyddsnivå som följer av Europarådskon- vention om skydd för enskilda vid automatisk databehandling av person- uppgifter varvid hänsyn skall tas till rekommendation R (87) av om polisens användning av person- uppgifter (artikel 14.1) Ingen överföring av personuppgifter enligt konventionen får påbörjas innan lagstiftning som genomför de nämnda internationella åtagandena har trätt i kraft i de stater som deltar i uppgiftsutbytet (artikel 14.2). Vid insamling, behandling och användning av personuppgifter skall Europol enligt artikel 14.3 iaktta de regler som följer av den nämnda konventionen och rekommendationen. Detsamma gäller i de fall Europol behandlar icke ADB-behandlade uppgifter i register, dvs. alla strukturerade samlingar av personuppgifter som är tillgängliga enligt bestämda kriterier (artikel 14.3 andra stycket). Kommentar Regeln i artikel 14.3 andra stycket, som rör icke databehandlade personuppgifter, har hämtat sin ordalydelse från EG:s dataskyddsdirektiv . Det bör observeras att inte alla personuppgifter träffas av bestämmelsen i artikel 14.3 andra stycket utan bara sådana som finns i register i egentlig bemärkelse. Det som exempelvis finns i vanliga akter berörs inte. Ansvar för skyddet av uppgifter I artikel 15 fastslås huvudregeln att den enhet som har registrerat en uppgift också har ansvaret för att den är riktig. Alltså skall ansvaret för att de uppgifter som finns i Europols register är lagliga med avseende på insamling och registrering, riktighet och aktualitet samt att gallrings- bestämmelserna följs, ligga hos den stat som har registrerat eller överfört uppgifterna. Motsvarande ansvar har Europol för de uppgifter som över- förts dit av tredje man eller som är ett resultat av Europols eget analys- arbete (artikel 15.1). Om inte annat följer av konventionens bestämmelser i övrigt skall Europol dessutom ha ansvaret för de uppgifter som Europol tar emot och behandlar i alla sina register, även de som omtalas i artikel 14.3 (artikel 15.2). Europol skall lagra alla uppgifter i registren på ett sådant sätt att det går att avgöra varifrån en uppgift härstammar, vare sig det är från en medlemsstat, från en tredje part eller från Europols analysarbete (artikel 15.3). Bestämmelser om upprättande av rapporter Europol skall enligt artikel 16 upprätta en kontrollrapport om minst vart tionde uttag av personuppgifter ur registren. Från informationsregistret skall dock varje uttag rapporteras. Syftet med rapporteringen är att kontrollera om uttaget varit lagligen grundat. De uppgifter som finns i kontrollrapporterna får endast användas för kontrollsyfte och bara av Europol och de tillsynsmyndigheter som avses i artikel 23 och 24 i konventionen. Rapporterna skall utplånas om inte en pågående undersökning gör att de måste bevaras längre. Regler om användning Personuppgifter från Europols register och andra uppgifter som härrör från Europol får enligt artikel 17.1 användas av medlemsstaternas behöriga myndigheter endast för att förebygga eller bekämpa sådan brottslighet som faller inom Europols behörighet eller andra allvarliga former av brottslighet (17.1 första stycket). Användningen av uppgifterna regleras av nationell lagstiftning (17.1 andra stycket). Om uppgiften skall användas för andra ändamål eller av andra myndigheter än de som avses i artikel 2, måste ursprungsstatens tillstånd först inhämtas (artikel 17.3). I artikel 17.2 regleras situationen när en uppgift som har lämnats till Europol, oavsett om det är en personuppgift eller inte, är underkastad sär- skilda restriktioner för dess användande i det land eller den organisation varifrån den härstammar. Då skall samma restriktioner gälla även i det land till vilket uppgiften har överförts från Europol. Undantag görs för de fall även uppgifter av detta slag måste lämnas till ett oberoende kontroll- organ. I sådana fall skall uppgiften få lämnas dit, men efter samråd med ursprungsstaten och med iakttagande av dess intressen. Kommentar Regeln i artikel 17.1 första stycket begränsar användandet av främst personuppgifter som härrör från Europol. Att inskränka medlems- staternas möjligheter att använda sig av uppgifterna till att enbart förebygga eller bekämpa den brottslighet som ligger inom Europols behörighet skulle vara att gå för långt. En så restriktiv reglering skulle kunna hämma det praktiska polisarbetet alltför mycket, även om uppgifterna naturligtvis i de flesta fall bara kommer till användning för just sådan brottslighet. Å andra sidan är det inte önskvärt att uppgifter från Europol kommer till användning i sammanhang som är alltför perifera i förhållande till Europols egentliga behörighetsområde. En sådan tillämpning skulle kunna skada tilltron till Europols verksamhet och komma i konflikt med skälen till varför Europols behörighet är inskränkt till allvarlig brottslighet. Regeln i första stycket är avsedd att balansera dessa intressen. Bestämmelsen i artikel 17.2 innebär att vissa uppgifter inte får användas för andra ändamål än de som har tillåtits av den ursprungliga uppgiftslämnaren. Den vanligaste restriktionen i detta avseende torde vara att uppgiften bara får användas i polisens verksamhet (for use only). Innebörden härav är bl.a. att den inte direkt kan användas som bevisning i rättegång och att den inte utan vidare kan lämnas till andra myndigheter. Regeln kommer knappast att vålla några praktiska bekymmer. De flesta uppgifter som kan komma att omfattas av detta förbehåll är av sådant slag att de i tiden ligger långt före en eventuell rättegång och därmed bara i undantagsfall är av beskaffenhet att direkt kunna utgöra bevismaterial. Förhållande till svenska regler Åtagandet att respektera förbehåll av detta slag har stöd i 1 § lagen (1991:435) med vissa bestämmelser om internationellt samarbete på brottmålsområdet. Det krävs dock en mindre ändring i bestämmelsen vilket berörs i avsnitt 8. Överföring av uppgifter till tredje land och utomstående instanser Europol får enligt artikel 18.1 på vissa villkor överföra uppgifter till tredje land eller till de utomstående instanser som avses i artikel 10.4. För detta krävs att utlämnandet av uppgifterna i det enskilda fallet behövs för att förebygga eller bekämpa brott som ligger inom Europols behörig- het, att mottagaren har en tillfredsställande skyddsnivå för uppgifterna och att utlämnandet överensstämmer med de generella regler härom som skall beslutats av rådet. Artikel 18.3 innehåller vidare kriterier för att bestämma om ett tredje land eller ett utomstående organ har en tillräcklig skyddsnivå för att tillåta överförande av uppgifter i ett särskilt fall. Om uppgiften överförts till Europol från en medlemsstat, erfordras enligt artikel 18.4 denna stats samtycke för att uppgiften skall få vidare- befordras utanför Europol. Ett sådant samtycke kan lämnas i förväg och kan också vara generellt. Om det har lämnats i förväg, kan det när som helst återkallas (18.4 första stycket). Om uppgiften inte härrör från en medlemsstat, är det Europol som beslutar om den skall lämnas ut eller ej. Utlämnande får ske endast om det inte är till men för medlemsstaternas verksamhet enligt Europol- konventionen eller deras ordning och säkerhet eller eljest riskerar att skada någon medlemsstat (18.4 andra stycket). Europol ansvarar i sådana fall för att utlämnandet är lagligt. Mottagaren skall åta sig att endast använda uppgifterna för de ändamål för vilka de har utlämnats (artikel 18.5). Om uppgiften är sekretessbelagd, krävs för utlämnade också att en överenskommelse om överföring av sekretessen har ingåtts med mottagaren (artikel 18.6). Rådet skall enligt artikel 18.2 anta tillämp- ningsföreskrifter rörande informationsutbytet med tredje land. Kommentar De utomstående instanser som avses i artikeln är EU:s institutioner eller organ, organisationer upprättade genom överenskommelser mellan EU:s medlemsstater, internationella organisationer och deras organ, exempel- vis , andra bilateralt eller multilateralt inrättade organisationer samt . Rätt till tillgång Artikeln reglerar enskildas rätt att få del av uppgifter ur Europols datasystem m.m. har rätt att för kontrolländamål antingen själv få tillgång till de uppgifter som Europols register innehåller om denne eller att en kontroll av uppgifternas riktighet och laglighet utförs för dennes räkning. En sådan begäran som är avgiftsfri kan enligt artikel 19.1 göras till den nationella Europolenheten i vilken medlemsstat som helst. Begäran skall genast överlämnas till Europol för prövning och den sökande skall underrättas härom. Europol skall pröva ansökan från det att den har mottagits av den nationella myndigheten (artikel 19.2). Rätten att få del av uppgifter eller rätten att få dem kontrollerade skall som framgår av artikel 19.3 utövas enligt lagen i den medlemsstat i vilken ansökan gjordes. Om lagen där ger den sökande rätt att få tillgång till uppgifterna, skall utlämnande ändå vägras om detta är nödvändigt för att Europol skall kunna utföra sina uppgifter, skydda medlemsstaternas säkerhet, skydda allmän ordning, bekämpa brott eller för att skydda utomståendes rättigheter och friheter. Om den sökande har rätt att få del av uppgifterna, skall enligt artikel 19.4, förutom sekretessgrunderna i 19.3, följande förfarande iakttas. Europol får inte fatta beslut om att lämna ut uppgifter ur informations- registret om inte den medlemsstat som fört in uppgiften och de medlemsstater som berörs av den först har fått tillfälle att yttra sig över begäran. Dessa kan då förbjuda att uppgiften lämnas ut. Vilka uppgifter som får lämnas ut och de närmare villkoren för detta bestäms av den medlemsstat som har infört uppgiften (19.4. första stycket 1). Om det är Europol som har infört uppgiften i informationsregistret, skall yttrande inhämtas från berörda medlemsstater och dessa har då möjlighet att förbjuda utlämnande (19.4. första stycket 2). När det gäller uppgifter som förekommer i ett analysregister krävs enighet mellan Europol och de stater som deltar i analysen och den eller de medlemsstater som är berörda av uppgiften för att den skall få lämnas ut (19.4. första stycket 3). Om utlämnande vägras av en medlemsstat eller Europol, skall Europol underrätta den sökande om att nödvändiga kontroller har vidtagits dock utan att därvid röja om sökanden förekommer i registren eller ej (artikel 19.4. andra stycket). Om den sökande enligt de nationella regler som styr förfarandet bara har rätt att få uppgifterna i Europols register kontrollerade, eller om sökanden endast har begärt detta, gäller enligt artikel 19.5 att Europol i nära samarbete med de berörda nationella myndigheterna skall företa en sådan kontroll. Den sökande skall av Europol underrättas om att nödvändiga kontrollåtgärder har vidtagits men utan att det röjs om sökanden förekommer i registren eller inte. Enligt artikel 19.6 skall Europol upplysa om att ett beslut om ut- lämnande eller kontroll som den sökande inte är nöjd med kan överklagas till den gemensamma tillsynsmyndigheten. Den sökande kan också överklaga hos den myndigheten om en begäran om en åtgärd inte har besvarats från det att den har mottagits av den nationella enheten. Om ett överklagande rör vägran att lämna ut en uppgift som har införts av en medlemsstat i informationsregistret, skall den gemensamma tillsynsmyndigheten enligt artikel 19.7 andra stycket tillämpa den statens nationella rätt. Den gemensamma tillsynsmyndigheten skall samråda med den nationella tillsynsmyndigheten eller behörig domstol i ursprungs- landet som skall uttala sig om huruvida en vägran att lämna ut uppgiften har skett i enlighet med de föreskrifter härom som finns i artikel 19.3 och 4 första stycket. I ett sådant fall skall den gemensamma tillsynsmyn- dighetens beslut fattas i nära samråd med dessa nationella organ. Beslutet kan i förekommande fall innebära ett förbud mot att uppgifterna lämnas ut. När ett överklagande rör en vägran att lämna ut uppgifter som har införts av Europol i informationsregistret eller uppgifter som finns i ett analysregister, skall den gemensamma tillsynsmyndigheten enligt artikel 19.7 tredje stycket höra Europol och medlemsstaterna. I det fall Europol eller någon berörd medlemsstat fortfarande motsätter sig utlämnande av uppgifterna, måste den gemensamma tillsynsmyndigheten, om den vill ändra det ursprungliga beslutet, fatta ett sådant beslut med två tredjedelars majoritet. Om ett sådant beslut inte fattas, skall den gemensamma tillsynsmyndigheten meddela den sökande att nödvändiga kontroller har genomförts men utan att röja om sökanden finns i registret eller inte. När överklagandet rör ett kontrollförfarande enligt artikel 19.5 om uppgifter som en medlemsstat har fört in i informationsregistret, skall den gemensamma tillsynsmyndigheten enligt artikel 19.7 fjärde stycket försäkra sig om att kontrollen har skett på ett korrekt sätt. Detta skall ske i nära samråd med den nationella tillsynsmyndigheten i den stat som har registrerat uppgifterna. Den sökande skall av den gemensamma tillsyns- myndigheten underrättas om att kontrollåtgärder har vidtagits utan att det röjs om den sökande förekommer i registret eller inte. När överklagandet rör kontroll av uppgifter som Europol har fört in i informationsregistret eller innehållet i ett analysregister, skall den gemensamma tillsynsmyndigheten enligt artikel 19.7 femte stycket försäkra sig om att nödvändiga kontrollåtgärder har vidtagits på ett korrekt sätt av Europol. Om så är fallet skall den sökande därefter underrättas om att nödvändiga kontrollåtgärder har vidtagits utan att det därvid röjs om sökanden förekommer i registret eller inte. Bestämmelserna skall i tillämpliga delar också gälla icke data- behandlade uppgifter som Europol har i register (artikel 19.8). Kommentar I artikel 19 finns alltså föreskrifter som reglerar den enskildes rätt att få ta del uppgifter om sig själv i registret. Detta var under förhandlingarna en svår fråga att uppnå enighet om, eftersom de nationella lagstift- ningarna i medlemsstaterna skiljer sig åt ganska väsentligt. Regleringen i artikel 19 är därför resultatet av en politisk kompromiss som bygger på inte mindre än tre olika motsatspar av kolliderande intressen eller regelverk. Det första är om kontrollen av innehållet i ett dataregister skall utövas genom att den enskilde ges en rätt till direkt tillgång till registerinnehållet (direkt kontroll) eller om den enskilde i stället skall kunna påkalla att ett oberoende organ kontrollerar om uppgifterna är korrekta och införda i registret med iakttagande av de regler som gäller på området (indirekt kontroll). Det andra motsatsparet är om den kontrollmodell som tillämpas i Europol huvudsakligen skall följa nationell rätt eller regleras av konventionen. Det tredje motsatsparet utgörs av om den gemensamma övervakningsmyndigheten skall kunna överpröva nationella myndigheters beslut eller inte. När dessa skilda synsätt skall appliceras på Europol har resultatet blivit att förhållandena regleras på inte mindre än sex olika sätt beroende på varifrån en uppgift härstammar och till vilket register den förts samt med huvudsaklig tillämpning av två parallella förfaranden beroende på om den nationella rätten i ett visst fall föreskriver direkt eller indirekt kontroll. Artikel 19 tillhandahåller därmed i princip tolv olika för- faranden, av vilka några emellertid sammanfaller, så att det i praktiken innebär åtta olika förfaranden. I artikel 19 behandlas endast frågan om att få del av eller kontrollera uppgifter som finns i något av Europols register. Om en uppgift finns i ett nationellt register i en medlemsstat, regleras dessa frågor uteslutande av nationell lagstiftning och rättstillämpning och Europolkonventionens regler tillämpas alltså inte i ett sådant fall. Det kommer dock inte att vara ovanligt att en uppgift förekommer både i ett nationellt register hos en medlemsstat och i ett Europolregister, eftersom i princip alla person- uppgifter som kommer från medlemsstaterna till Europols register är hämtade ur deras olika polisregister. I den situationen får valet av regelsystem avgöras av hur sökandens begäran är utformad. Om en sökande ställer frågan till den svenska nationella enheten om vad som finns registrerat om honom i de svenska polisregistren eller motsvarande skall begäran handläggas enligt svenska regler, och frågan når aldrig Europol. Detta gäller oavsett varifrån eventuella uppgifter härstammar; de kan alltså mycket väl ha kommit från Europol. Om frågan däremot är mer generell, nämligen en begäran om att få del av allt som finns i Europols register, skall den överlämnas till Europol. Det finns dock inget som hindrar att frågan handläggs direkt av den svenska enheten vad gäller de uppgifter som finns i svenska register, om detta också innefattas i den generella begäran. När en begäran sålunda har överlämnats till Europol skall den besvaras genom ett beslut av Europol. Vilket förfarande som Europol skall använda bestäms då av innehållet i lagen i den medlemsstat hos vilken begäran har framställts. Är det i den medlemsstaten föreskrivet att den sökande i princip har rätt att få del av innehållet i ett polisregister (direkt kontroll), skall ett sådant förfarande, dvs. ett utlämnandeförfarande, iakttas av Europol vid besvarande av begäran. Är det däremot i medlemsstaten föreskrivet att kontrollen får utövas indirekt skall i stället ett sådant kontrollförfarande tillämpas och kontrollen utförs då av Europol. Om ett utlämnandeförfarande skall tillämpas, måste först avgöras om det som efterfrågas är uppgifter som medlemsstaterna eller Europol har registrerat i informationsregistret eller om det är uppgifter i ett analysregister. Detta är nämligen avgörande för vilka regler som skall tillämpas på det fortsatta förfarandet. Om det rör sig om uppgifter som har registrerats av en medlemsstat i informationsregistret, skall Europol tillfråga den staten och de andra medlemsstater som eventuellt berörs av uppgiften om den kan lämnas ut. Blir svaret nekande från någon stat, utlämnas uppgiften inte. Om någon uppgift skall lämnas ut, skall den medlemsstat som registrerat den föreskriva vad som kan utlämnas och villkoren för detta. Man bör dock observera att det är Europol som fattar det formella beslutet även om dess handlingsfrihet alltså är begränsad, eftersom Europol inte kan gå emot en medlemsstats uppfattning att uppgiften inte får lämnas ut. Däremot är det tänkbart att även om medlemsstaterna har givit klartecken till utlämnande av vissa uppgifter, så kan Europol ändå besluta att så inte skall ske. Om en begäran rör uppgifter som Europol har registrerat i infor- mationsregistret är förfarandet likartat men frågan behöver endast ställas till de stater som berörs av uppgifterna. Europol bestämmer, om klartecken till utlämnade ges, vad som skall lämnas ut och villkoren för detta. Rör en begäran slutligen en uppgift som förekommer i ett analys- register, skall för att utlämnande skall få äga rum Europol, de med- lemsstater som deltar i analysprojektet och de övriga stater som eventuellt berörs av detta vara ense om att uppgiften kan utlämnas. I alla dessa situationer har alltså berörda medlemsstater vetorätt. En vägran att lämna ut en begärd uppgift skall dock, vare sig beslutet i realiteten har fattas av en medlemsstat eller av Europol, alltid vara hänförlig till någon av de sekretessgrunder som finns angivna i artikel 19.3. Som har sagts är det Europol som skall fatta det formella beslutet. När uppgiften kan lämnas ut görs detta på lämpligt sätt. När ett avslagsbeslut meddelas skall detta ske i form av en underrättelse till den sökande om att nödvändiga kontroller av Europols register har gjorts men utan att det avslöjas om den sökande är känd för Europol eller inte. Samma underrättelse lämnas naturligtvis också till en sökande om vilken inga uppgifter finns i registren. Det sistnämnda framgår inte uttryckligen av konventionstexten men ligger i sakens natur.