prop · GO03126 · 2001-01-01 00:00:00 — Några särskilda bestämmelser behövs inte i den föreslagna lagen. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Merparten av remissinstanserna har inte haft något att erinra mot förslaget. anser att av integritetsskäl såväl informationsskyldigheten som hur informationen skall lämnas bör framgå av lagen. anser att information inte skall behöva lämnas om en registrering sker enbart på grund av en persons tjänsteutövning. Övriga remissinstanser har inget att erinra mot promemorians bedömning. Skälen för regeringens bedömning: Personuppgiftslagen innehåller särskilda bestämmelser om den personuppgiftsansvariges skyldighet att lämna information till den registrerade (23-27 §§). Om uppgifter samlas in från personen själv skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Om uppgifterna samlats in från någon annan än den registrerade själv skall den personuppgiftsansvarige i regel också självmant lämna den registrerade information om uppgifterna när de registreras. Informationen skall omfatta uppgifter om den person-uppgiftsansvariges identitet, uppgifter om ändamålet med behandlingen och övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldigheten att lämna uppgifter och rätten att ansöka om information och få rättelse. Informationsskyldigheten är förenad med flera undantag t.ex. om det gäller sekretess eller tystnadsplikt för en uppgift. Information behöver inte heller lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Enligt regeringens mening finns det inte anledning att, som har förordat, reglera informationsskyldigheten inom kriminalvården på annat sätt. I departementspromemorian Lag om kriminalvårdsregister (Ds 1996:19) föreslogs visserligen att information inte skulle behöva lämnas om en registrering sker enbart på grund av en persons tjänsteutövning. Något sådant undantag har inte gjorts vare sig i den lagstiftning som reglerar polisens rätt att behandla personuppgifter (prop. 1997/98:97) eller i lagstiftningen om hälsodata och vårdregister (prop. 1997/98:108). I sammanhanget bör också framhållas att det inte är reglerat hur informationen skall lämnas. Regeringen anser inte heller att en detaljreglering av denna fråga är ändamålsenlig. Informations-skyldigheten bör därför kunna ske genom anslag i besökslokalen, genom en broschyr, muntligen eller på annat lämpligt sätt. Det innebär att det inte bör bli särskilt betungande för kriminalvården att informera de personer som kommer att registreras på grund av sin tjänsteutövning. Regeringen bedömer alltså att det inte behövs några särskilda bestämmelser om information utöver de som finns i personuppgiftslagen. Regeringen vill dock i sammanhanget hänvisa till att polisregister-utredningen (Dir.1999:99) särskilt skall uppmärksamma hur person-uppgiftslagens bestämmelser om information tillämpas. Den väntas komma med ett betänkande senast vid utgången av . 7.12 Säkerhet och tillsyn Regeringens bedömning: Några särskilda bestämmelser om säkerheten vid behandling behövs inte. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Riksåklagaren anser att säkerhetsföreskrifterna måste ges i form av lag. Länsrätten i förutsätter dock att närmare föreskrifter angående sökningsmöjligheterna kommer att meddelas. Övriga remissinstanser har inget att erinra. Skälen för regeringens bedömning: De uppgifter som behandlas inom kriminalvården är känsliga ur integritetssynpunkt. Det är därför viktigt att säkerhetsfrågorna får en tillfredställande lösning innan en behandling inleds. Personuppgiftslagen innehåller särskilda bestämmelser om säkerhet vid behandling av personuppgifter (31 §). Av dessa följer att den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av uppgifterna och hur pass känsliga de behandlade personuppgifterna är. För att garantera att personuppgiftslagens bestämmelser efterlevs finns det en tillsynsmyndighet som getts vissa befogenheter (43-47 §§). får utfärda närmare föreskrifter om vilka krav som skall ställas på den personuppgiftsansvarige. får vidare meddela beslut om skyddsåtgärder i enskilda fall. Till tillsynsmyndighet har regeringen utsett Datainspektionen. Personuppgiftslagens bestämmelser om säkerheten vid behandlingen av personuppgifter och om tillsynsmyndighetens befogenheter bör gälla även för kriminalvården. Några särskilda bestämmelser, såsom Riksåklagaren föreslår, behövs inte i den föreslagna lagen. De kontrollmöjligheter som redan finns genom den tillsyn Datainspektionen, och Justitiekanslern utövar bör enligt regeringens bedömning vara en fullgod garanti för att någon behandling av personuppgifter inte förekommer annat än när det är nödvändigt och ändamålsenligt. I departementspromemorian Lag om kriminalvårdsregister (Ds 1996:19) föreslogs en bestämmelse om att uppgifter endast skulle få användas som sökbegrepp om de var nödvändiga för kriminalvårdens verksamhet eller om det behövdes för att vidta rättelse i ett register. Begränsningar i sökmöjligheterna är ett sätt att vidta tekniska åtgärder för att skydda uppgifterna. Det bör därför i första hand vara den personuppgiftsansvarige som avgör vilka begränsningar i sökmöjlig-heterna som bör införas. Datainspektionen har, som nämnts, också möjlighet att meddela föreskrifter eller beslut i enskilda fall om vilka säkerhetsåtgärder som skall vidtas. Någon särskild bestämmelse, förutom vad gäller känsliga uppgifter (se avsnitt 7.5.2), som begränsar vilka sökbegrepp som får användas behövs därför inte. 7.13 Rättelse och skadestånd Regeringens förslag: Personuppgiftslagens bestämmelser om rättelse av felaktiga uppgifter och om skadestånd skall gälla för behandling av uppgifter inom kriminalvården. En hänvisning till personuppgiftslagens regler om rättelse och skadestånd görs. En bestämmelse införs i lagen om att en myndighets beslut om rättelse och om information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätten. Promemorians förslag: Överensstämmer utom vad gäller överklagande med regeringens förslag. Remissinstanserna: Remissinstanserna har inte haft något erinra mot förslaget. Riksåklagaren, i och anser att det i den föreslagna lagen bör göras en hänvisning till personuppgiftslagens regler om straff. Länsrätten i anser att en analys bör göras av hur promemorians förslag påverkar länsrätternas arbetsbelastning. Skälen för regeringens förslag: Den personuppgiftsansvarige är enligt personuppgiftslagen (1998:204) skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen (28 §). Sker rättelse skall de tredje män till vilka uppgifter lämnats ut underrättas om rättelsen. Av personuppgiftslagen följer vidare att den personuppgiftsansvarige skall ersätta den registrerade för den skada och den kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen orsakat (48 §). Bestämmelserna i personuppgiftslagen om rättelse och skadestånd bör gälla även i frågor om behandling av personuppgifter inom kriminalvården. Personuppgiftslagen innehåller också en straffbestämmelse (49 §). Enligt den bestämmelsen kan bl.a. den som uppsåtligen eller av oaktsamhet behandlar uppgifter i strid med vissa bestämmelser i lagen dömas till straff. Eftersom det är eller någon annan myndighet inom kriminalvården som är personuppgiftsansvarig för den behandling som sker torde det inte bli aktuellt att tillämpa straffbestämmelsen. Det ligger i stället närmare till hands att tillämpa bestämmelser om tjänstefel m.m. Personuppgiftslagen innehåller inte några regler om överklagande av beslut om rättelse eller om information enligt 26 §. Sådana beslut måste dock kunna överklagas. En bestämmelse om överklagande bör därför införas i den föreslagna lagen om behandling av personuppgifter inom kriminalvården. Regeringen bedömer att förslaget inte kommer öka länsrätternas arbetsbelastning. Mål om rättelse enligt datalagen avgörs av länsrätterna. 7.14 Sekretessfrågor Regeringens bedömning: Någon ändring i sekretesslagen behöver inte göras. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Riksåklagaren anser att kriminalvårdens intresse av sekretess för känsliga uppgifter till skydd för den egna verksamheten bör behandlas i lagstiftningsarbetet. i Norr ifrågasätter om inte en hänvisning i den föreslagna lagen till sekretesslagen skulle kunna vara av värde. Övriga remissinstanser har inget att erinra. Skälen för regeringens bedömning: De personuppgifter som behandlas inom kriminalvården omfattas i regel av någon bestämmelse om sekretess enligt sekretesslagen (1980:100). Sekretessen inom kriminalvårdens område innebär att en uppgift om enskilds personliga förhållanden inte får lämnas ut eller på annat sätt röjas om det kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs (7 kap. 21 § sekretesslagen). Sekretessen gäller också om det kan befaras att någon annan än den uppgiften rör eller dennes närstående utsätts för våld eller annat allvarligt men om uppgiften röjs. Risken för skada är alltså inte enbart knuten till den enskilde eller hans eller hennes närstående utan gäller också andra personer, t.ex. andra intagna, vårdare eller andra personer vilkas personliga säkerhet skulle kunna sättas i fara om uppgiften lämnades ut. Vissa beslut inom kriminalvården är undantagna från sekretess. Sekretess gäller även för uppgift som rör utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller annat allvarligt men som föranleds av förhållandet mellan utlänningen och utländsk stat eller myndighet eller organisation av utlänningar (7 kap. 14 § sekretesslagen). Bestämmelsen kan vara av betydelse i vissa fall då kriminalvårdens transporttjänst för verkställande av avvisningsbeslut i ett asylärende ombesörjer en transport till utlandet. Sekretessen hindrar inte att uppgift lämnas ut till en myndighet om uppgiftsskyldighet är bestämd i lag eller förordning (14 kap. 1 § sekretesslagen). Exempel på en sådan uppgiftsskyldighet finns i förordningen (1999:1134) om belastningsregister och förordningen (1970:517) om rättsväsendets informationssystem. Vidare får enligt den s.k. generalklausulen i 14 kap. 3 § sekretesslagen en uppgift lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse sekretessen skall skydda. Det finns vidare en särskild bestämmelse som reglerar uppgifter som behandlas enligt personuppgiftslagen. Enligt den bestämmelsen (7 kap. 16 § sekretesslagen) gäller sekretess för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Sekretess för en uppgift som behandlas inom kriminalvården kan också gälla enligt andra bestämmelser i sekretesslagen. Om kriminalvården t.ex. får en uppgift som hänför sig till polisens verksamhet för att förebygga, uppdaga, utreda eller beivra brott gäller den s.k. förundersökningssekretessen enligt 5 kap. 1 § sekretesslagen. De personuppgifter som kommer att behandlas inom kriminalvården med stöd av den nya lagen omfattas alltså, med hänsyn till såväl integritets- som säkerhetsaspekter, redan av ett tillräckligt sekretesskydd. Någon ändring i sekretesslagen behöver därför inte göras. Vad gäller Riksåklagarens påpekande om kriminalvårdens intresse av sekretess för känsliga uppgifter till skydd för den egna verksamheten bedömer regeringen att bestämmelserna i 7 kap. 21 § och 5 kap. 1 § sekretesslagen är tillräckliga för att täcka kriminalvårdens behov i detta hänseende. Regeringen delar bedömning att uppgifter om t.ex. brottsmisstanke kan sekretessbeläggas gentemot en intagen redan innan uppgiften kommer till polisens eller åklagarens kännedom (se RÅ 1989 not.188). 7.15 Utgångspunkter för det fortsatta författningsarbetet Regeringens bedömning: I det fortsatta författningsarbetet kommer integritetsaspekterna att särskilt uppmärksammas. Då bör följande utgångspunkter gälla. - Särskild restriktivitet bör gälla avseende rätten att behandla uppgifter angående personer som inte själva är misstänkta för brott. - Utlämnande till andra myndigheter bör medges endast i de fall där det finns ett klart behov av det. - Stor restriktivitet måste iakttas när det gäller användningen av känsliga uppgifter. - Det måste noga anvisas vilka personer som skall få ha direktåtkomst till personuppgifter och denna personkrets måste begränsas till dem som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. - Gallringstiderna bör minimeras. Systemet skall bygga på en hög grad av säkerhet och förutsätter att det finns behörighetskoder för användarna. eller berörd kriminalvårdsmyndighet måste alltså som personuppgiftsansvarig se till att lämpliga åtgärder vidtas för att skydda de personuppgifter som behandlas. De samlade konsekvenserna från integritetssynpunkt av de nya författningarna bör följas upp och analyseras. Skälen för regeringens bedömning: Som har framgått kommer den nya lagen att ge ramarna för när behandling av personuppgifter är tillåten (se avsnitt 7.2.). Lagregleringen bör dock inte vara alltför detaljerad utan endast innehålla de ur integritetssynpunkt viktigaste bestämmelserna. Lagen måste därför kompletteras av författningar på lägre nivå. De uppgifter som behandlas av kriminalvården är ofta särskilt integritetskänsliga eftersom det rör sig om uppgifter om begångna brott, ådömda och verkställda påföljder, missbruk etc. Det är därför av stor vikt att behandlingen blir omgärdad av bestämmelser som värnar om den personliga integriteten. Vid utformningen av det nya regelverket måste utgångspunkten vara att skyddet för de enskildas integritet stärks. är den hanteringen av uppgifter till stora delar oreglerad. Den nya lagen och de föreskrifter som utfärdas i anslutning till den kommer emellertid att omfatta även sådan hantering såvida den utförs i registerform. I det avseendet innebär det nya regelverket en förbättring av integritetsskyddet. Redan av personuppgiftslagen (1998:204) framgår viktiga begränsningar i möjligheterna att behandla personuppgifter. Exempelvis får personuppgifter behandlas endast för särskilda, uttryckligt angivna och berättigade ändamål och fler uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Den nya lagen innehåller en bestämmelse som anger de specifika ändamål för användningen som skall gälla inom kriminalvården. Det kan emellertid finnas behov att av integritetsskäl överväga ytterligare begränsningar av rätten att behandla uppgifter för ett visst ändamål. Detta gäller särskilt i fråga om uppgifter om personer som inte själva är misstänkta för brott. I de fall behandling av personuppgifter avser andra personer än dem som är föremål för kriminalvårdsåtgärder, t.ex. advokater, besökare och anhöriga, bör de uppgifter som behandlas begränsas så mycket som det är möjligt inom ramen för ändamålet med behandlingen av uppgifterna. Exempelvis torde det inte finnas anledning att behandla mer än ett mycket begränsat antal uppgifter avseende advokater. Som regel bör vidare t.ex. behandling av uppgifter avseende en anhörig till en intagen normalt kunna begränsas till att avse endast namn, adress, telefonnummer samt relation till den intagne. Regeringen har enligt den föreslagna lagen att exklusivt föreskriva i vilka situationer personuppgifter skall få lämnas ut till annan myndighet i andra fall än som avser statistik. kan vissa av rättsväsendets myndigheter, t.ex. åklagarmyndigheter och polismyndigheter, få ta del av uppgifter från kriminalvården i enlighet med förordningen (1970:517) om rättsväsendets informationssystem. Utlämnandet avser uppgifter om personer som har dömts till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, har ålagts förvandlingsstraff för böter, eller på grund av en utländsk brottmålsdom skall verkställa påföljd i . Dessa uppgifter rör således huvudsakligen själva verkställigheten av påföljden. Uppgifterna tar inte sikte på förhållanden som är särskilt känsliga för den dömde. Enligt regeringens bedömning måste den typen av information även i fortsättningen kunna lämnas ut till andra myndigheter. Vid utformningen av föreskrifterna i denna del avser emellertid regeringen att pröva om några uppgifter som lämnas ut trots allt kan undantas från utlämnande. I det fortsatta förordningsarbetet blir det en viktig uppgift att överväga i vilken utsträckning myndigheter i övrigt skall få tillgång till information från kriminalvården och om någon myndighet därvid skall få ha direktåtkomst till personuppgifter. Utgångspunkten måste vara att utlämnande till andra myndigheter skall medges endast i de fall där det finns ett klart behov av det. Myndigheters intresse av att få del av uppgifter måste vägas mot intresset av att skydda enskildas personliga integritet. Därvid måste hänsyn tas till reglerna i sekretesslagen. Det bör närmare övervägas om utlämnande som regel endast bör få ske i de fall där det är uppenbart att en sekretessprövning i det enskilda fallet skulle ha inneburit att uppgifterna skulle komma att lämnas ut. En viktig begränsning som har angivits direkt i lagen är att direktåtkomst vid utlämnande till andra myndigheter måste vara förbehållen de personer vid myndigheten som behöver tillgång till uppgifterna. Under det fortsatta förordningsarbetet kommer regeringen att överväga i vilken utsträckning t.ex. polisen skall ha viss tillgång till sådana uppgifter som behandlas för att upprätthålla säkerheten och förebygga allvarlig brottslig verksamhet. Sådana uppgifter kan vara av betydelse för polisens kriminalunderrättelseverksamhet (se avsnitt 7.4.3). En förutsättning är dock att tillgången till sådana uppgifter då måste förbehållas endast ett fåtal nyckelpersoner inom polisen. Behandlingen får givetvis inte heller gå utöver vad som är föreskrivet för sådan verksamhet enligt polisdatalagen (1998:622). Enligt personuppgiftslagen är det som huvudregel förbjudet att behandla vissa känsliga uppgifter. Kriminalvården kan dock undantagsvis ha ett befogat intresse av att få behandla känsliga personuppgifter för att kunna bedriva en effektiv och rättssäker verksamhet och upprätthålla de säkerhetskrav som är motiverade. De närmare förutsättningarna härför kan ytterligare behöva begränsas och preciseras under det kommande förordningsarbetet. Av den föreslagna lagen följer att endast om regeringen föreskriver det får känsliga personuppgifter användas som sökbegrepp. Ytterligare en begränsning är att detta får ske endast för ett av de annars tillåtna ändamålen, nämligen för att upprätthålla säkerheten och förebygga brott. Utgångspunkten måste vara att medgivande till sådan användning endast kan övervägas för vissa mycket väldefinierade behov där kriminalvården annars inte skulle kunna fullgöra sin skyldighet att upprätthålla säkerheten och förebygga brott. De i lagen angivna ändamålen med behandling av personuppgifter begränsar antalet myndigheter inom kriminalvården som kan få tillgång till uppgifterna till de som har ett uttalat behov av att behandla sådana. Av den föreslagna lagen framgår vidare att direktåtkomst till personuppgifter skall vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminalvården behöver få tillgång till uppgifterna. begränsas t.ex. åtkomst till journaluppgifter i anstalts-registret till personal som är engagerad i behandlingen av klienten och till vad denna personal behöver för att kunna fullgöra sitt arbete. I det fortsatta förordnings- och föreskriftsarbetet bör det på samma sätt anvisas vilka personer som skall ha behörighet att få direktåtkomst till personuppgifter. Därvid bör övervägas om antalet personer som bör ha tillgång till uppgifterna ytterligare kan begränsas. Ur integritetssynpunkt viktiga begränsningar som också bör nämnas i detta sammanhang är personuppgiftslagens krav på att den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de uppgifter som behandlas mot missbruk (31 § personuppgiftslagen). Det nya systemet för behandling av personuppgifter inom kriminalvården måste enligt regeringens uppfattning bygga på en hög grad av säkerhet och förutsätta att det finns behörighetskoder för användarna. I efterhand skall det alltid gå att se vilka som har varit inne i databaserna. Även andra tekniska begränsningar i åtkomsten måste övervägas. När det gäller gallring anges i den föreslagna lagen den tid då uppgifter senast skall gallras. Många uppgifter bör kunna gallras . Regeringen, eller den myndighet som regeringen bestämmer, skall därför kunna meddela föreskrifter om kortare gallringstider. I det fortsatta förordnings- och föreskriftsarbetet kommer särskilt övervägas kortare gallringstider, t.ex. i fråga om särskilt känsliga personuppgifter och uppgifter om andra personer än de som är föremål för tvångsbehandling eller misstänkta för brott. Exempelvis torde det som regel saknas anledning att annat än för behandla uppgifter om någon som endast transporteras genom kriminalvårdens försorg med anledning av ett avvisningsbeslut. förekommer relativt korta gallringstider, t.ex. efter utskrivning beträffande häktesregistret, och det är även fortsättningsvis utgångspunkten att gallringstiderna skall minimeras. Regeringen bedömer att den nya regleringen kommer att innebära att kriminalvården ges möjlighet att bedriva en mer effektiv och rättssäker verksamhet med ett rimligt beaktande av integritetsaspekter. Målsättningen med den nu föreslagna regleringen är att den skall svara mot de krav som IT-samhället ställer på en effektiv och rättssäker verksamhet. Genom en tydlig reglering får man en bättre kontroll över flödet av personuppgifter inom kriminalvården. Tillgängligheten till personuppgifter bör också minska eftersom uppgifter som förekommer i det aktsystemet kommer att kunna behandlas automatiserat och det för åtkomst kommer att krävas behörighetskoder. Regeringen vill också betona att möjligheterna att behandla personuppgifter inte bara är av intresse för kriminalvården utan även för den enskilde. Inom varje rättsstat är det en fundamental princip att en myndighets åtgärder mot en enskild skall kunna granskas i efterhand. I synnerhet gäller det sådan verksamhet som kriminalvården bedriver, där enskilda utsätts för tvångsbehandling från samhällets sida. Slutligen vill regeringen framhålla vikten av att de nya författningarna om behandling av personuppgifter inom kriminalvården följs upp med en analys av dess samlade konsekvenser från integritetssynpunkt. Regeringen kommer att återkomma till frågan. 8 Kostnader och ikraftträdande Den föreslagna regleringen kommer att ersätta de tillstånd från Datainspektionen på vilka delar av den nuvarande registerföringen vilar. Författningsförslaget kommer vidare att ersätta den reglering som görs i förordningen (1970:517) om rättsväsendets informationssystem. I första hand är det alltså frågan om att reglera sådana register som redan nu förs inom kriminalvården. Det medför inga kostnader.