sou · GPB392 · 2002-01-01 00:00:00 — Lagen tillämpas på auto- matisk behandling av personuppgifter och också på annan behandling av personuppgifter om personuppgifterna utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant. En nordisk jämförelse 143 Personopplysningsloven innehåller regler om när behandling av personuppgifter över huvud taget får ske, om grundläggande krav på behandlingen av personuppgifter, om behandling av känsliga person- uppgifter och personnummer, om information till registrerade, om säkerheten vid behandling och om tillsyn m.m. Reglerna överens- stämmer sakligt i stort med de svenska reglerna. Nedan pekar vi på några skillnader av större betydelse. I personopplysningsloven finns bestämmelser om kameraövervak- ning. Lagen innehåller därvid regler om när kameraövervakning får äga rum, om utlämnande av bildupptagningar och om information angående övervakningen. Personopplysningsloven innehåller vissa regler om personregister. Med personregister avses i lagen register eller andra förteckningar i vilka personuppgifter finns lagrade systematiskt på ett sådant sätt att uppgifter om enskilda kan återfinnas. Känsliga personuppgifter får behandlas ifall det framgår av lag att sådana uppgifter får behandlas. På grund av detta stadgande anses polisen ha rätt att behandla känsliga personuppgifter. Därutöver får känsliga personuppgifter behandlas i samma fall som anges i den svenska personuppgiftslagen. Den som behandlar personuppgifter skall lämna information om behandlingen. Informationsplikten gäller dock inte om det krävs att behandlingen hålls hemlig för att brott skall kunna förebyggas eller utredas. Enligt regler i Strafferegistreringsloven förs det ett straffregister som omfattar hela riket. Registret benämns straffe- og politiopplysnings- registeret (SPP). Registret innehåller upplysningar om domar strafförelägganden och vissa andra straffrättsliga påföljder. Uppgifter får lämnas ut ur registret enligt de regler som finns i lagen. Sammantaget kan registret sägas utgöra en motsvarighet till det . Strafferegistreringsloven innehåller inte bara regler om ett register för belastningar. Det föreskrivs också att det får föras ett rikstäckande register med personuppgifter som kan vara av betydelse i polisens arbete för att förebygga, efterforska eller utreda brott. Straffe- registreringsloven innehåller regler om utlämnande av uppgifter ur registret, men inga regler om själva behandlingen. I fråga om behand- 144 En nordisk jämförelse ling av personuppgifter i registret gäller i stället bestämmelserna i personopplysningsloven. Med stöd av nämnda bestämmelser förs ett rikstäckande register för kriminaletterretningsinformasjon (KRIMSYS). Registret ses som ett hjälpregister till SPP. Varje polisdistrikt har avdelats ett område i databasen och ansvarar för lokal registrering av information. Det finns dessutom särskilda delregister för ekonomisk kriminalitet, brottslighet som har samband med utlänningsärenden, olovlig invandring, barnpornografi m.m. En del av databasen är tillgänglig endast för den som äger information och för kriminalpoliscentralen som är register- ansvarig. 6.4Sammanfattande slutsatser av jämförelsen Den svenska lagstiftningen om behandling av personuppgifter i polisens verksamhet utgår från personuppgiftslagen, som kompletteras av polisdatalagen. Sistnämnda lag innehåller behandlingsregler om kriminalunderrättelseverksamhet m.m. och innehåller även bestämmel- ser om vissa register. Därutöver finns i lagstiftningen regler om belast- ningsregister, misstankeregister och Schengens informationssystem. Sammantaget är den svenska regleringen mer restriktiv för polisen än de regleringar som gäller i de övriga nordiska länderna. Inget av de övriga länderna har någon motsvarighet till den svenska regleringen om kriminalunderrättelseverksamhet. Möjligheterna för polisen att arbeta problemorienterat och verka brottsförebyggande blir härigenom större än enligt den svenska lagstiftningen. Polisens informationsskyldighet är även mer begränsad i de andra ländernas lagstiftning. Vi bedömer att även regleringen i den nya polisdatalag som vi föreslår i det här betänkandet är mer restriktiv för polisen än lagstift- ningen i de länder som omfattas av jämförelsen. 7 Behovet av nya författningar I det här kapitlet tar vi upp vissa övergripande frågor om vilka författningsändringar som behövs för att uppnå en lämplig reglering av polisens rätt att behandla personuppgifter automatiserat. 7.1Behovet av författningsreglering utöver personuppgiftslagen Vi överväger i det här betänkandet vilka författningsändringar som behövs för att uppnå en lämplig författningsreglering av polisens rätt att behandla personuppgifter automatiserat. Vi inleder med att allmänt diskutera behovet av särskilda regleringar utöver personuppgiftslagen. Närmast redovisar vi några uttalanden som gjorts av Pliktregister- utredningen, vilka vi anser kan vara av intresse som bakgrund till de bedömningar som vi skall göra. ifrågasatte i betänkandet Behandling av personuppgifter om totalförsvarspliktiga (SOU 1997:101 s. 103 f.) om det skulle finnas behov av särskilda registerförfattningar när personuppgiftslagen trädde i kraft. Bakgrunden till detta ifrågasättande var följande. En av de stora skillnaderna mellan personuppgiftslagen och datalagen är tillämpningsområdet. Medan datalagen gäller endast ADB-baserade register omfattar personuppgiftslagen all behandling av personuppgifter som företas på automatiserad väg, liksom behandling av personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter, vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vidare är en utgångspunkt för personuppgiftslagen att behandling av personupp- gifter är tillåten endast i de fall och på de villkor som anges i lagen. I andra fall skall behandling av personuppgifter inte få förekomma. Något tillståndsförfarande motsvarande det som förekom enligt data- lagen finns inte. 146 Behovet av nya författningar. Det framhölls av att som skäl för tidigare införda särskilda registerlagar inte sällan hade åberopats uttalanden från om nödvändigheten av sådan lagstiftning. Dessa ut- talanden, förlorar menade , mycket i aktualitet i och med personuppgiftslagens införande, eftersom uttalandena i huvud- sak gjordes mot bakgrund av att vissa stora statsmaktsregister tidigare var i princip oreglerade. Utredningen pekade på att personuppgiftslagen är tillämplig även på sådana register och till stor del avhjälper den uppmärksammade bristen med sin, i förhållande till datalagen, direkta reglering av behandlingen av personuppgifter. framhöll dock att personuppgiftslagen är mindre utförlig än de särskilda registerförfattningarna. ansåg att behovet av registerförfattningar torde bli mindre i och med personuppgiftslagens ikraftträdande. Utredningen menade dock att personuppgiftslagen är en generell produkt avsedd att passa all slags verksamhet där behandling av personuppgifter utförs och att det därför finns anledning att undersöka om inte preciseringar och särregleringar är nödvändiga på många områden. Detta gäller menade utredningen, särskilt verksamhet som inte omfattas av EG-direktivet som ligger till grund för personuppgifts- lagen och när fråga är om behandling av känsliga personuppgifter. Slutsatsen från var att viss särskild regle- ring vid sidan av personuppgiftslagen var nödvändig. Personuppgifts- lagen förutsätter, menade utredningen också närmast att sådan reglering sker, i vart fall i vissa situationer. Det framhölls från utredningens sida dock att det finns anledning att överväga vilken omfattning särregleringen skall ha och i vilken form den skall ges. I den proposition som behandlade förslag (Lag om behandling av personuppgifter om totalförsvarspliktiga, prop. 1997/98:80) fördes inget allmänt resonemang om behovet av register- författningar när personuppgiftslagen väl trätt i kraft. Dock uttalade regeringen att personuppgiftslagens tillkomst inte utgör ett tillräckligt skäl att frångå den uppfattning som gett uttryck för; att stora personregister med känsliga uppgifter skall lagregleras (anförd prop. s. 25). Enligt regeringen förutsätter också personuppgiftslagen att sådan reglering sker, i vart fall i vissa situationer. I sitt betänkande Integritet, Offentlighet, Informationsteknik (SOU 1997:39 s. 208 ff.) konstaterade endast att upp- draget till kommittén inte omfattade de särskilda registerförfatt- Behovet av nya författningar 147 Kommittén föreslog att särregler i registerförfattningar skulle gälla framför den nya persondatalagen (personuppgiftslagen). framhöll dock att det är nödvändigt att se över de befintliga registerförfattningarna innan den nya lagstiftningen börjar tillämpas på deras respektive område och att registerförfattningarna måste anpassas till såväl EG-direktivet som till den föreslagna persondatalagen. 1997/98:44 Personuppgiftslag (s. 40 f.) uttalade regeringen att den nya lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar. Regeringen framhöll att registerförfattningarna innehåller många preciserade och viktiga regler som inte rimligen kan ersättas av de generella bestämmelser som den nya lagen innehåller. Vid utskottsbehandlingen av förslaget till personuppgiftslag uttalade konstititutionsutskottet, i sitt av godkända betänkande, att det saknas anledning att nu avvika från den tidigare fastlagda målsättningen att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (bet. 1997/98:KU18 s. 43). En ny polisdatalag som ersätter den nuvarande polisdatalagen bör införas. De särskilda lagarna om belastningsregistret, om misstanke- registret och om Schengens informationssystem bör vara kvar oförändrade. 7.2.1En särreglering för polisen behövs Mot bakgrund av vad som sagts ovan skulle det möjligen kunna ifrågasättas om det alls behövs någon reglering utöver personuppgifts- lagen vid behandling av personuppgifter i polisens verksamhet. Inom polisens verksamhetsområde är det dock nödvändigt att i viss utsträck- ning behandla känsliga personuppgifter. Över huvud taget är verk- samheten starkt integritetskänslig. Sammantaget får det sägas vara uppenbart att det krävs en lagreglering utöver personuppgiftslagen för polisens verksamhet. 148 Behovet av nya författningar. Vi anser att den befintliga författningsstrukturen med en polisdatalag jämte lagar om belastningsregister, misstankeregister och Schengens informationssystem bör behållas. Många bestämmelser i polisdatalagen och i tillämpliga delar av personuppgiftslagen har emellertid kritiserats från olika utgångspunkter. Kritiken har gällt regleringen av kriminal- underrättelseverksamhet och kriminalunderrättelseregister. Det har även visat sig svårt t.ex. att tillämpa personuppgiftslagens regler om information till registrerade. Det finns även andra tillämpnings- svårigheter som vi kommer att ta upp senare i betänkandet. Det har också beträffande lagstiftningstekniken i polisdatalagen anförts som en nackdel att lagen inte är heltäckande utan endast kompletterar personuppgiftslagen. I enlighet med direktiven för vår utredning har vi analyserat konse- kvenserna av den nya regleringen om polisens rätt att behandla person- uppgifter automatiserat. Därvid har vi särskilt analyserat de samlade konsekvenserna från integritetssynpunkt av lagstiftningen på området. Vi har vid vår analys av lagstiftningen kommit fram till att det behöver göras ändringar av regleringen i polisdatalagen. Ändringarna som vi anser erfordras är relativt omfattande. Lagtekniskt anser vi det därför lämpligast att föreslå en helt ny polisdatalag som ersätter den nuvarande polisdatalagen. I detta betänkande lämnar vi förslag till en sådan ny lag. Våra synpunkter beträffande utformningen av den nya lagen finns i kapitlen 8–14 av betänkandet. 7.2.3Lagarna om belastningsregister, om misstankeregister och om Schengens informationssystem I 2 § personuppgiftslagen anges att om det i en annan lag eller förord- ning finns bestämmelser som avviker från den lagen, skall de bestämmelserna gälla. Lagarna om belastningsregister, om misstanke- register och om Schengens informationssystem innehåller sådana avvikande bestämmelser. I den mån bestämmelserna i dessa tre special- lagar avviker från personuppgiftslagen, gäller alltså de avvikande bestämmelserna. Frågor som inte alls omfattas av speciallagarnas bestämmelser kommer däremot att omfattas av personuppgiftslagen. Lagarna avser vissa register eller informationssystem och har ett väl avgränsat tillämpningsområde. Några påtagliga tillämpningssvårigheter eller problem med den nuvarande utformningen av lagarna föreligger Behovet av nya författningar 149 Vi anser att det inte finns anledning att beträffande dessa lagar föreslå några ändringar. 8Den nya polisdatalagens tillämpningsområde Den nya lagen bör ges namnet polisdatalagen. I det här betänkandet föreslår vi en ny lag om behandling av person- uppgifter i polisens verksamhet. Lagen kommer att tillämpas av ett stort antal människor som är verksamma inom polisen. Det är därför lämpligt att lagen har ett kort namn. Namnet polisdatalagen uppfyller det kravet och ger också läsaren en någorlunda klar upp- fattning om de ämnen som regleras i lagen. Den nya lagen har samma tillämpningsområde som den nuvarande polisdatalagen. Sammantaget anser vi att även den nya lagen bör ges namnet polisdatalagen. 8.2Den nya lagens förhållande till personuppgiftslagen Den nya polisdatalagen bör vara heltäckande och upprepa de bestämmelser i personuppgiftslagen som skall vara tillämpliga i polisens verksamhet. En första övergripande fråga vid utformningen av en ny polisdatalag är hur lagen bör förhålla sig till personuppgiftslagen. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Den gäller därför inom polisens verksamhet, om det inte finns avvikande bestämmelser i lag eller förordning. Polisdata- lagen bygger på personuppgiftslagen och innehåller bara de avvikande bestämmelser som ansetts nödvändiga inom polisområdet. 152 Den nya polisdatalagens tillämpningsområde anförde i prop. 1997/98:97 s. 97 f., att det naturligtvis skulle vara möjligt att upprepa personuppgiftslagens bestämmelser i polisdatalagen och i de övriga registerförfattningar som måste anpassas till personuppgiftslagens bestämmelser, men att ett sådant system dock skulle bli väldigt tungrott. Enligt regeringen bör man därför undvika dubbelreglering. Det anfördes även att det naturligtvis är viktigt att behovet av en särreglering noga övervägs och att registerlagstiftningen görs så tydlig att det inte råder någon tvekan om vilka regler i personuppgiftslagen som gäller trots särregleringen. Inom polisen har framförts kritik mot konstruktionen med polisdata- lagen som komplement till personuppgiftslagen. Det har påpekats att det för lagtillämparen är opraktiskt att arbeta med två olika lagar. En nackdel med modellen är att det är svårt för tillämparen att klart och tydligt se vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i polisdatalagen finns bestämmelser som kanske endast delvis avviker från personuppgiftslagen. 2000/01:33 om behandling av personuppgifter inom skatt, tull och exekution föreslog regeringen en lagstiftningsteknik som avviker från vad som gäller i polisdatalagen. Det föreslogs (s. 87 f.) att det i de lagar som skall reglera behandlingen av personuppgifter särskilt skall anges vilka bestämmelser i personuppgiftslagen som skall vara tillämpliga. Enligt regeringens mening innebär den föreslagna ordningen att lagstiftningen blir överskådlig och tydlig. Nackdelen att tillämparen måste arbeta med två olika lagar finns dock kvar med det alternativet. I lagstiftningsärendet anförde Lagrådet också att den föreslagna lagstiftningstekniken är otillfredsställande och riskfylld, med hänsyn bl.a. till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller ofullständiga. Lagrådet krävde dock inte någon ändring av den föreslagna lagstiftningstekniken. Propositionen bereddes i av skatteutskottet. Utskottet tillstyrkte propositionen och gjorde inga uttalanden om lagstiftningstekniken som avvek från vad som anförts i propositionen (bet. 2000/01:SkU20). Vi gör bedömningen att den nya lagen bör vara heltäckande och upprepa de bestämmelser i personuppgiftslagen som skall vara tillämp- liga i polisens verksamhet. För tillämparen är det som polisen anfört en fördel att ha alla tillämpliga bestämmelser samlade i en enda lag. Konstruktionen med en enda lag gör att det tydligare framgår vad som gäller för polisen. Modellen medför också en ökad överskådlighet för den enskilde som därigenom lättare kan utnyttja de rättigheter som han eller hon har. Genom att polisdatalagen helt frikopplas från person- uppgiftslagen slipper man problemet med att hänvisningarna till personuppgiftslagen vid kommande lagändringar riskerar att bli Den nya polisdatalagens tillämpningsområde 153 Sammantaget anser vi att fördelarna med en reglering i en enda lag klart överväger nackdelen som följer med dubbelregleringen i förhållande till personuppgiftslagen Den nya lagen bygger närmast på systematiken i personuppgifts- lagen. Enligt 5 § personuppgiftslagen omfattar den lagen all helt eller delvis automatiserad behandling av personuppgifter oavsett om uppgifterna finns i ett register och dessutom behandling av personuppgifter i register. Av bestämmelsen i 2 § polisdatalagen framgår att vissa bestämmelser i lagen endast gäller vid automatiserad behandling av personuppgifter. I övrigt gäller lagen även behandling. I sak finns det enligt vår uppfattning inte anledning att ändra det angivna tillämpningsområdet. Det innebär att den nya lagens bestämmelser om behandling av uppgifter om kvarstående misstankar, om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot, om behandling på Internet, om efterlysningar av enskilda personer, om spaningsregister, om register med uppgifter om DNA-analyser i brottmål och om fingeravtrycks- och signalementsregister endast bör gälla vid automatiserad behandling av personuppgifter. I övrigt bör den nya lagen gälla även behand- ling av personuppgifter i register. Polisdatalagen är uppdelad i två avdelningar, varvid den ena avdel- ningen (1–9 §§) har rubriken bestämmelser och den andra avdelningen (10–36 §§) har rubriken om automatiserad behandling. Bestämmelserna i 1–9 §§ polisdatalagen har samma tillämpningsområde som personuppgiftslagen, dvs, bestämmelserna gäller helt eller delvis automatiserade behandlingar och behandlingar i register. Utöver de allmänna bestämmelserna finns det ytterligare bestämmelser för vissa automatiserade behandlingar av personuppgifter. Vårt lagförslag har ingen uppdelning i avdelningar motsvarande polisdatalagen. Närmast bygger lagförslaget på systematiken i person- uppgiftslagen. Vi föreslår att den nya lagen delas in i kapitel enligt följande: –kapitel 1 Lagens syfte och tillämpningsområde, –kapitel 2 Grundläggande principer vid behandling av personuppgifter, 154 Den nya polisdatalagens tillämpningsområde –kapitel 3 Vissa behandlingar av personuppgifter, –kapitel 4 Särskilt om behandling av personuppgifter hos , –kapitel 5 Register, –kapitel 6 Information till den enskilde, rättelse och säkerheten vid behandling, –kapitel 7 Övriga bestämmelser. Den nya lagens syfte bör liksom personuppgiftslagens syfte vara att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Enligt 2 kap. 3 § andra stycket regeringsformen skall varje medborgare i den utsträckning som anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registeras med hjälp av automatisk databehandling. Grundlags- bestämmelsen skiljer sig från flertalet andra fri- och rättigheter genom att den inte innebär att det allmänna måste avstå från att lagstifta på ett visst sätt utan tvärt om ålägger lagstiftaren att stifta och vidmakthålla en viss lagstiftning. Grundlagsbestämmelsen kan heller aldrig tillämpas direkt av myndigheterna. Personuppgiftslagen är en sådan lag som åsyftas i nämnda bestämmelse i regeringsformen. Enligt 1 § personuppgiftslagen är syftet med den lagen att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Den i det här betänkandet föreslagna lagen för polisen har samma övergripande syfte som personuppgiftslagen. Den nya lagen bör därför innehålla en bestämmelse som motsvarar innehållet i 1 § personupp- giftslagen. För att skydda enskildas integritet föreslår vi i lagen ett förhållandevis stort antal bestämmelser om olika behandlingar av personuppgifter. Avsikten med den föreslagna regleringen är att skyddet för enskilda personers integritet skall ligga på en hög nivå. I sammanhanget kan hänvisas till den antagna lagen (2001:454) om behandling av personuppgifter inom (prop. 2000/01:80, bet. 2000/01:SoU18, rskr. 2000/01:259). Den lagen inne- håller betydligt färre bestämmelser med materiellt innehåll än vårt förslag. Den nya polisdatalagens tillämpningsområde 155 8.4.2Polisverksamhet som lagen skall tillämpas på Den nya lagen bör gälla vid behandling av personuppgifter i sådan polisverksamhet som avses i 2 § 1–3 polislagen (1984:387), dvs. i den egentliga polisverksamheten. Polisens uppgifter enligt polislagen En diskussion om tillämpningområdet för en lag om behandling av personuppgifter som helt eller delvis företas på automatiserad väg kan lämpligen inledas med en redogörelse för vilka arbetsuppgifter det ankommer på polisen att utföra. Polislagen (1984:387) innehåller bestämmelser om polisens uppgifter. Till polisens uppgifter hör enligt 2 § att 1.förebygga brott och andra störningar av den allmänna ordningen eller säkerheten, 2.övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana har inträffat, 3.bedriva spaning och utredning i fråga om brott som hör under allmänt åtal, 4.lämna allmänheten skydd, upplysningar och annan hjälp, när sådant bistånd lämpligen kan ges av polisen, 5.fullgöra den verksamhet som ankommer på polisen enligt särskilda bestämmelser. Uppgifterna som beskrivs i punkterna 1–3 utgör vad som kan sägas vara den egentliga polisverksamheten eller utgöra polisens kärnverk- samhet. Sammanfattningsvis avses härmed polisens arbete med att upprätthålla allmän ordning och säkerhet samt att förebygga brott och bedriva brottsutredningar. I den egentliga polisverksamheten ingår övervakningsverksamhet som bedrivs i olika former. Man brukar indela övervakningsverksamheten i allmän övervakning och trafikövervak- ning. Den allmänna övervakningen omfattar bl.a. gränsövervakning (se – , Polislagen En kommentar, 1998, 3 uppl., s. 33). Punkten 4 avser polisens hjälpande verksamhet. Den omfattar bl.a. hjälpåtgärder inom trafiken, samt medverkan vid katastrofer och lik- nande händelser. I räddningstjänstlagen (1986:1102) regleras polisens medverkan i samhällets räddningstjänst, som i huvudsak är en uppgift. Även vid sidan av sina uppgifter enligt denna lag har givetvis polisen skyldighet att vid behov ingripa i akuta situationer i samband med katastrofer. 156 Den nya polisdatalagens tillämpningsområde Punkten 5 syftar på åligganden av skilda slag för polisen inom området för offentlig förvaltning, den s.k. polismyndighetsverksam- heten, vilka polisen har vid sidan av sina huvuduppgifter. En målsätt- ning för polismyndighetsverksamheten är att uppfylla det allmännas krav på säkerhet och tillsyn i ärenden där särskilda omständigheter påkallar sådan kontroll, t.ex. beträffande vapen och sprängämnen. Mot- svarande gäller i ärenden där särskilt förtroende krävs av en tillstånds- havare för exempelvis skrothandel eller hotellrörelse.