sou · GOB325d1 · 2001-01-01 00:00:00 — Lagen anger i vilka fall och under vilka för- hållanden sådan behandling ändå kan vara tillåten. För varje behandling av personuppgifter måste stöd sökas i personuppgiftslagens bestämmelser. Lagen omfattar all automatiserad behandling av personuppgifter och behandling av uppgifter i personregister. Även ord- och textbehandling omfattas således av lagen. Person- uppgiftslagen är subsidiär i förhållande till andra författningar såtillvida att om det finns en särskild registerförfattning för en behandling gäller den före personuppgiftslagen. Viktiga principer i lagen är regler om samtycke och den personuppgiftsansvariges skyldigheter att informera. Personuppgiftsansvarig är den som bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Nedan följer en översiktlig genomgång av några centrala bestämmelser i personuppgiftslagen. För all hantering av personuppgifter uppställs vissa generella krav. De innebär att personuppgifter bara får behandlas om det är lagligt och att personuppgifterna måste behandlas på ett korrekt sätt och enligt god sed. Vidare får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifterna får inte heller behandlas för något annat ändamål än det för vilket de samlades in. Ytterligare regler är relaterade till ändamålet med behandlingen. Upp- gifterna skall sålunda vara riktiga samt adekvata och relevanta i för- hållande till ändamålet. Fler uppgifter än som är nödvändiga i för- hållande till ändamålet skall inte behandlas. Personuppgifterna får inte heller bevaras längre än som är nödvändigt med hänsyn till behand- lingens ändamål. Det ankommer på den personuppgiftsansvarige att se till att bestämmelserna följs. När är behandling tillåten? Grundregeln enligt personuppgiftslagen för att behandling av person- uppgifter skall vara tillåten är att den registrerade har lämnat sitt samtycke till behandlingen. Om samtycke inte inhämtats får behandling av personuppgifter ändå ske om det är nödvändigt för att ett avtal med den registrerade skall kunna fullgöras eller för att den personuppgifts- ansvarige skall kunna fullgöra en rättslig skyldighet. Om det är nödvändigt för att skydda vitala intressen för den registrerade, för att utföra en arbetsuppgift av allmänt intresse eller för att den person- uppgiftsansvarige skall kunna utföra en arbetsuppgift i samband med myndighetsutövning är också behandling av personuppgifter tillåten. I personuppgiftslagen definieras följande uppgifter som känsliga per- sonuppgifter; uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller personuppgifter som rör hälsa eller sexualliv. Det är i princip förbjudet att behandla känsliga uppgifter. Lagen anger dock vissa fall då behandling trots förbudet är tillåten. Om den registrerade har gett sitt samtycke eller själv låtit offentliggöra den känsliga uppgiften är be- handlingen tillåten. Likaså får behandling av känsliga uppgifter ske inom arbetsrättens område av politiska, filosofiska, religiösa och fack- liga organisationer, om det är nödvändigt för rättsliga anspråk, för att skydda vitala intressen för den registrerade och inom hälso- och sjukvården. Polisdatalagen innehåller en bestämmelse som anger under vilka förhållanden polisen tillåts behandla känsliga personuppgifter. Det är inte tillåtet att behandla uppgifter om en person enbart på grund av vad som är känt om personens förhållanden inom de angivna känsliga om- rådena. Om uppgifter om en person behandlas på någon annan grund får uppgifterna kompletteras med känsliga uppgifter om det är ound- gängligen nödvändigt för syftet med behandlingen. Uppgifter om brott m.m. Personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden är i lagen inte definierade som känsliga uppgifter. Sådana uppgifter får dock endast behandlas av myndigheter. Regeringen kan meddela föreskrifter om undantag från förbudet. Särskilda regler uppställs också för att uppgift om personnummer skall få behandlas utan samtycke. Behandlingen skall vara klart motiverad med hänsyn till ändamålet, till vikten av en säker identifiering eller för något annat beaktansvärt skäl. Information till den registrerade Personuppgiftslagen ålägger den personuppgiftsansvarige att självmant informera den som registreras om behandlingen av personuppgifterna. Om uppgifter samlas in från den registrerade själv skall information i samband därmed lämnas om behandlingen. Om personuppgifterna samlas in från något annat håll skall den som registreras informeras om behandlingen när uppgifterna registreras. När personuppgifterna samlas in på något annat sätt än från den registrerade behöver information inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en författning. I det senare fallet behöver in- formation inte heller lämnas om det skulle visa sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Regler om sekretess och tystnadsplikt går alltid före skyldigheten att informera. En personuppgiftsansvarig är inte heller skyldig att in- formera om sådant som den registrerade redan känner till. En registrerad har också rätt att efter ansökan en gång och utan kostnad av en personuppgiftsansvarig få besked om denne behandlar personuppgifter som rör den registrerade själv. Förekommer sådan behandling skall den registrerade erhålla skriftlig information om vilka uppgifter som får behandlas m.m. Automatiserade behandlingar av personuppgifter skall anmälas till Datainspektionen. Undantag från anmälningsskyldigheten gäller bl.a. för författningsreglerade behandlingar och för behandling av person- uppgifter i löpande text. Datainspektionen har i föreskrifter medgett ytterligare undantag från anmälningsskyldigheten. har emellertid förordnat ett personuppgiftsombud enligt personupp- giftslagen. Ett personuppgiftsombud är den fysiska person, som efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. För- ordnandet innebär för del att behandlingar av personuppgifter skall anmälas till personuppgiftsombudet i ställer för till Datainspektionen. Polisdatalagen (prop. 1997/98:97, bet. JuU20 och rskr. 276) reglerar behandlingen av personuppgifter i polisens verksamhet utöver vad som följer av personuppgiftslagen. Lagen omfattar behandling av person- uppgifter i polisens verksamhet för att –förebygga brott och andra störningar av den allmänna ordningen och säkerheten, –övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana har inträffat eller –bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Utanför polisdatalagens område faller således behandling av person- uppgifter vid handläggning av polismyndighetsärenden, i polisens hjälpande verksamhet och för den interna administrationen. Lagen innehåller dels allmänna bestämmelser, dels specifika be- stämmelser för särskilt angivna register. Register som regleras särskilt i lagen är register för kriminalunderrättelseverksamheten, register för DNA-analyser, fingeravtrycks- och signalementsregister och SÄPO- registret. De allmänna bestämmelserna innehåller definitioner av vissa be- grepp som används i lagen samt reglerar behandlingen av känsliga personuppgifter, utlämnande av uppgifter, rättelse och skadestånd, behandling av uppgifter om kvarstående misstankar och gallring. Enligt personuppgiftslagen är det i princip förbjudet att behandla personuppgifter som lagen definierar som känsliga uppgifter med några angivna undantagsfall. Polisdatalagen ger polisen möjlighet att undan- tagsvis behandla sådana uppgifter. Om det är oundgängligen nöd- vändigt får polisen behandla uppgift om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuell läggning. En ytterligare förutsättning är dock att grunden för att behandla uppgifter om personen är någon annan än de känsliga uppgifterna. Regler om utlämnande av uppgifter som behandlas av polisen finns i första hand i 14 kap. sekretesslagen (1980:100) som innehåller be- stämmelser om vissa begränsningar av sekretess och om förbehåll. Därutöver finns regler i polisdatalagen om utlämnande av uppgifter för rättsstatistik samt om utlämnande av uppgifter till utländska myndig- heter och mellanfolkliga organisationer. Vidare får regeringen meddela föreskrifter om att uppgifter får lämnas ut även i andra fall. Polisdatalagen hänvisar i fråga om regler för rättelse och skadestånd till bestämmelserna i personuppgiftslagen. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte har behandlats enligt reglerna i Vidare skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Gallring och behandling av uppgifter om kvarstående misstankar Någon generell, viss fastställd, tid för gallring finns inte i vare sig per- sonuppgiftslagen eller polisdatalagen. Enligt personuppgiftslagen skall uppgifter gallras när de är nödvändiga för sitt ändamål. En motsvarande gallringsbestämmelse finns i polisdatalagen, vilken säger att gallring skall ske när uppgifterna inte längre behövs för sitt ändamål. För de register som regleras särskilt i polisdatalagen finns speciella gallringsbestämmelser. I fråga om en förundersökning som läggs ned på grund av bristande bevisning kan finnas ett polisiärt intresse att fortsätta behandla upp- gifter om den misstänkte. Det fortsatta arbetet kan sedan leda till att en ny förundersökning inleds. I polisdatalagen har därför intagits en be- stämmelse om behandling av uppgifter om kvarstående misstankar. Om en förundersökning lagts ned på grund av bristande bevisning får upp- gifter om brottsmisstanken behandlas under förutsättning att förunder- sökningsledaren bedömer att den misstänkte är skäligen misstänkt för brottet och uppgifterna behövs för att förundersökningen skall kunna tas upp på nytt. Förutsättningar för polisen att inrätta nya register Polisdatalagen innehåller inte några särskilda bestämmelser om in- rättande av andra register än de som uttryckligen regleras i lagen. Polisen har därför möjlighet att med stöd av personuppgiftslagen inrätta nya register för uttryckligt angivna ändamål. Det bör dock beaktas att både och regeringen har angett som målsättning att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i lag (jfr prop. 1990/91:60 s. 50, bet. KU11 s. 11, rskr. 160 och prop. 1997/98:44 s. 41). Eftersom polisregister ofta innehåller just sådan känslig information begränsar denna målsättning polisens möjligheter att inrätta nya register. Vem får hämta uppgifter ur polisregistren Uppgifterna i belastningsregistret och misstankeregistret är tillgängliga för flera olika myndigheter. Uppgifterna i de övriga register som behandlas i detta kapitel är bara tillgängliga för polisen. Polisregistren kan indelas i centrala och lokala register. De centrala registren förs hos . Register med uppgifter om DNA- analyser i brottmål förs dock vid . De lokala polismyndigheterna svarar för de lokala registren. De centrala registren är åtkomliga för varje polismyndighet, vilket inte innebär att varje enskild polisman har tillgång till registren. Riks- polisstyrelsen eller – efter delegation från – polis- myndigheterna ute i landet, bestämmer vilka polismän som skall ha be- hörighet att hämta ut och lägga in uppgifter i varje enskilt register. Ett motsvarande behörighetssystem gäller för de lokala registren. Genom ändringar i sekretesslagen som beslutades av i samband med införandet av polisdatalagen avskaffades den absoluta sekretessen för alla polisregister utom belastningsregistret. Absolut sekretess innebär att sekretessen gäller under alla förhållanden och även i förhållande till den registrerade. Den enskilde har numera en principiell rätt att få ut uppgifter om sig själv från samtliga polisregister utom belastningsregistret. Sekretessen för uppgifter i polisregister och andra register med uppgifter om brott är tidsbegränsad till . Den s.k. förundersökningssekretessen till skydd för polisens verksamhet gäller för uppgifter i under- rättelseverksamhet och i övrigt. Sekretessen för den enskilde för uppgifter i det allmännas brottsförebyggande verksamhet gäller med ett omvänt skaderekvisit, dvs. sekretess föreligger om det kan antas att en viss skada uppkommer om uppgiften röjs. När det gäller uppgifter i polisens underrättelseverksamhet gäller sekretessen även med ett om- vänt skaderekvisit till förmån för polisen. 3.3Polisregister som regleras särskilt i polisdatalagen Med kriminalunderrättelseverksamhet förstås i polisdatalagen den polisverksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. . I lagen anges att begreppet inte innefattar den underrättelseverk- samhet som bedrivs av Säkerhetspolisen. För innehåller lagen särskilda bestämmelser. Automatisk databehandling av personuppgifter får för det första förekomma i s.k. särskilda undersökningar, som får inledas efter särskilt beslut om det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas. Sådana undersökningar sker med syfte att ge underlag för beslut om förundersökning eller för beslut om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. I särskilda undersökningar får även uppgifter om icke misstänkta be- handlas, men uppgifterna måste förses med upplysning om att personen inte är misstänkt. Vidare får föras ett kriminalunderrättelseregister för att ge underlag för beslut om särskilda undersökningar och för att underlätta tillgången till allmänna uppgifter med anknytning till under- rättelseverksamhet. Lagen har en bestämmelse som talar om vad som får finnas i ett kriminalunderrättelseregister. Ett sådant register får endast innehålla –upplysningar om varifrån den registrerade uppgiften kommer och om uppgiftslämnarens trovärdighet, –uppgifter om särskilda bestående fysiska kännetecken, –de omständigheter och händelser som ger anledning att anta att den registrerade utövat eller kan komma att utöva allvarlig brottslig verksamhet, –uppgifter om varor, brottshjälpmedel och transportmedel, –hänvisning till en särskild undersökning där uppgifter om den registrerade behandlas och till register som förs av polis- och tullmyndighet i vilket uppgifter om den registrerade förekommer. Ett kriminalunderrättelseregister får innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna ger anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas. Med allvarlig brottslig verksamhet menas verksamhet som innefattar brott för vilket är föreskrivet fängelse eller däröver Det krävs vidare att den person som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den allvarliga brottsliga verksamheten. Uppgifter om transportmedel eller varor som kan antas ha samband med allvarlig brottslig verksamhet eller om hjälpmedel som kan ha använts i samband med sådan verksamhet får dock registreras, även om uppgifterna kan hänföras till en enskild person som det inte finns någon misstanke mot. Uppgifterna skall då förses med upplysning om att det inte finns några misstankar mot denne. Uppgifter i kriminalunderrättelseregistren skall gallras senast efter det att en uppgift om personen som kan föranleda registrering sista gången infördes. Om det har inletts en särskild undersökning av underrättelsekaraktär får uppgifterna stå kvar tills undersökningen har avslutats. Regeringen, eller den myndighet som regeringen bestämmer, får vidare meddela föreskrifter om att uppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. Något sådant system för nationell åtkomst av kriminalunder- rättelseinformation som lagen avser att reglera har ännu inte tagits i bruk. Inom pågår dock arbete med att utveckla ett sådant system, se avsnitt 8.4.4. om en nationell underrättelseverk- samhet. 3.3.2Register med uppgifter om DNA-analyser i brottmål DNA är ett ämne som finns i varje cell i människokroppen och som är sammansatt så att det är unikt för varje individ, utom för enäggstvil- lingar. Med DNA-analys kan personer identifieras genom analys av mycket små mängder blod, saliv eller sperma eller genom analys av hårstrån. Med stöd av bestämmelserna om kroppsbesiktning i 28 kap. 12 § kan provtagning för DNA-analys genomföras mot en misstänkt persons vilja. Med stöd av polisdatalagen får två DNA-register inrättas. Det ena får innehålla uppgifter om identifierade personer () och det andra uppgifter som inte har kunnat hänföras till en viss person (spårregistret). Ändamålet med registren skall vara att underlätta identifiering av personer i samband med utredning av brott. Ett DNA- register får innehålla uppgifter om resultat av DNA-analyser som har gjorts under utredning av ett brott och som avser personer som dömts för vissa brott. Det rör sig om sådana brott mot en persons liv eller hälsa, personliga integritet eller säkerhet som avses i 3, 4, 6, 8, 12 eller 17 kap. eller ett allmänfarligt brott som avses i 13 kap. , allt under förutsättning att brottet kan leda till fängelse . Det kan även röra sig om försök, förberedelse, stämpling, anstiftan eller medhjälp till sådant brott. Ett spårregister får endast innehålla uppgifter om DNA-analyser som har gjorts under utredning av ett brott och som inte kan hänföras till en identifierbar person. Uppgifterna får endast jämföras med analysresultat som inte kan hänföras till en identifierbar person eller som finns i eller som kan hänföras till en person som är misstänkt för brott. Uppgifter om en person i skall gallras när de inte längre behövs och senast när samtliga uppgifter om den registrerade har gallrats ur det allmänna belastningsregistret. Uppgifter i spår- registret skall gallras när de inte längre behövs och senast efter registreringen. Enligt 28 kap. 14 § samt förordningen (1992:824) om fingeravtryck m.m. skall fingeravtryck och fotografi alltid tas av den som häktats. I vissa uppräknade fall skall fingeravtryck och fotografi också tas av den som är anhållen. Fingeravtrycket och fotografiet skall enligt 7 § i förordningen skyndsamt sändas till () tillsammans med en beskrivning av personen. () för ett fingeravtrycks- register och ett signalements- och känneteckensregister med tillstånd från Datainspektionen. Bestämmelserna i polisdatalagen reglerar numera dessa register. Registren bygger på uppgifter som sänds till () enligt förordningen om fingeravtryck m.m. I fingeravtrycksregistret finns också uppgifter om fingeravtryck som tas enligt 1 § lagen (1991:572) om särskild utlänningskontroll. Personuppgiftslagen innebär att polisen får möjlighet till automatiserad behandling av uppgifter om fingeravtryck, signalement och kännetecken. På grund av integritetsskäl innehåller dock polis- datalagen bestämmelser som begränsar användningen av sådana register. Uppgifter i fingeravtrycks- och signalementsregister får be- handlas av i syfte att underlätta identifiering av personer i samband med brott. Sådana register får användas för identifiering av okända personer även i andra fall. Registeruppgifterna får behandlas i automatiserade förundersökningar och särskilda undersökningar. Ett fingeravtrycks- eller signalementsregister som förs för att underlätta identifiering av personer i samband med brott får innehålla uppgift om den som är misstänkt eller dömd för brott eller som har fått lämna fingeravtryck med stöd av 19 § lagen om särskild utlännings- kontroll. I ett sådant register får endast antecknas uppgift om finger- avtryck, signalement och särskilda kännetecken samt ärendenummer. Uppgifter om en misstänkt person skall gallras när förundersökning eller åtal mot personen läggs ned eller när åtal ogillas. Uppgifterna får dock bevaras längre ifall reglerna rörande behandling av uppgifter om kvarstående misstankar medger det. Döms den registrerade skall uppgifterna gallras senast då uppgifterna gallras ur belastningsregistret. är ett register som är avsett för den särskilda polis- verksamhet som Säkerhetspolisen bedriver. I första hand är det ett underrättelseregister. Ändamålet med är dels att underlätta spaning i syfte att förebygga och avslöja brott mot rikets säkerhet eller att bekämpa terrorism, dels att utgöra underlag för registerkontroll enligt säkerhetsskyddslagen (1996:627). Registret får innehålla uppgifter som kan hänföras till en enskild person endast 1.om den uppgifterna gäller kan misstänkas för att ha utövat eller komma att utöva brottslig verksamhet som innefattar hot mot rikets säkerhet eller terrorism, 2.om personen har undergått registerkontroll enligt säkerhetsskydds- lagen (1996:627) eller 3.om det med hänsyn till registrets ändamål annars finns särskilda skäl till det. Av registret skall framgå på vilken grund registrering skett. Regeringen får meddela närmare föreskrifter om vilka uppgifter som får registreras. Som nämnts får registrering ske redan vid misstankegraden kan misstänkas, dvs. vid en lägre misstankegrad än skälig misstanke som gäller vid registrering i kriminalunderrättelse- register. När det gäller gallring ur registren gäller särskilda regler för SÄPO- register. Registrerade uppgifter skall gallras senast efter det att en sådan uppgift om personen som kan föranleda registrering senast infördes. Om det finns särskilda skäl får dock uppgifterna stå kvar . En viktig del i granskningen av Säkerhetspolisens verksamhet utförs av . Nämndens verksamhet beskrivs i avsnitt 9.6.1. 3.4Belastningsregistret och misstanke- registret I rekommendation, No. R (87) 12, om användning av personuppgifter inom polissektorn anges att olika kategorier av uppgifter så långt det är möjligt skall hållas åtskilda efter graden av riktighet och tillförlitlighet. I propositionen Riktlinjer för registreringen av påföljder m.m. (prop. 1994/95:144) uttalade regeringen att det finns starka skäl att hålla uppgifter om påföljder och uppgifter om misstankar åtskilda och att en uppdelning skulle göras genom att person- och belastningsregistret skulle ersättas av ett belastningsregister, i vilket endast påföljder och liknande skulle tas in, och ett misstankeregister. , som uttalat sig för en sådan uppdelning, godkände regeringens förslag (bet. 1994/95:JuU21, rskr. Genom införandet av lagen (1998:620) om belastningsregister och av lagen (1998:621) om misstankeregister (prop. 1997/98:97, bet. JuU20, rskr. 276) har de nämnda intentionerna genomförts. Registren förs av . Det övergripande syftet med belastningsregistret är att olika myndighe- ter, framför allt de brottsbekämpande och rättsvårdande myndigheterna, på ett enkelt sätt skall få tillgång till de uppgifter som behövs i deras verksamhet. De myndigheter som härvid avses är de allmänna domstolarna, förvaltningsdomstolarna, åklagarmyndigheterna, polis- och tullmyndig- heterna samt övriga myndigheter i den utsträckning det föreskrivs av regeringen. Alla påföljder för brott skall registreras i belastningsregistret. Integritetsaspekten tillgodoses genom begränsningar i utlämnandet. Uppgifter om brott som endast föranlett penningböter skall bara lämnas ut till de myndigheter som behöver dessa uppgifter, t.ex. för att pröva körkortsfrågor. innehåller också uppgifter om den som meddelats åtalsunderlåtelse. Även uppgifter om den som skall utvisas eller utlämnas enligt någon av utlämningslagarna eller som har meddelats besöksförbud finns i registret.