sou · GPB392 · 2002-01-01 00:00:00 — Det är för att kunna ta fram sådan information, göra den tillgänglig, auto- matisera flödet och underlätta kommunikation mellan enheter som IT är viktigt. Till skillnad från arbetar man nu så att verksamheten och tekniken skall integreras. Här handlar det bl.a. om att utgå från verksamhetsprocesser, exempelvis handläggningen av en anmälan fram till dess att förundersökningen överlämnas till åklagaren. För att åstad- komma en bättre styrning finns bl.a. det ovan nämnda utvecklingsrådet. Framöver kommer man att beställa system, inte ta fram dem själva. Många projekt måste av olika skäl genomföras stegvis. Systemen måste också kunna kommunicera med varandra. Gjorda investeringar måste tas till vara innan nya görs, och i den mån nya system införs måste de bygga bl.a. på ett genomtänkt säkerhetskoncept. 68 Några utgångspunkter för vårt arbete framkom att orsaken till att e-post inte används externt är just att säkerheten inte kan garanteras, vilket är särskilt viktigt inom polisverksamheten. De nya polisbilar som levereras är utrustade med datorstöd. Det ankommer sedan på respektive polismyndighet att beställa dessa. hoppas man bl.a. kunna arbeta med röststyrd utrustning i bilar. Den redogörelse som vi har lämnat ovan ger en uppfattning om hur omfattande det utvecklingsarbete är som bedrivs för att effektivisera informationsförsörjningen inom polisen och rättsväsendet i övrigt. I kapitel 4 redogör vi för några särskilt betydelsefulla konsekvenser av bruket av ny teknik. 2.2Den nya rättsliga ramen för informationsbehandling har genomförts omfattande ny lagstiftning som medfört en ny utgångspunkt för behandling av personuppgifter. Syftet har varit att anpassa lagstiftningen till den nya informationstekniken. En viktig ambition för lagstiftningen om polisens register har varit att finna en lämplig avvägning mellan polisens rätt att använda modern teknik och den enskildes integritet. Eftersom våra förslag har sin utgångspunkt i den nya lagstiftningen ges här en översiktlig presentation av den svenska lagstiftningen avseende behandling av personuppgifter samt av åtaganden inom det internationella polisiära samarbetet med anledning av Europolkonventionen och . Vissa artiklar i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna som har betydelse för vårt arbete redovisas också här. Vidare tar vi upp rekommendation om användningen av personuppgifter inom polissektorn m.m. I personuppgiftslagen (1988:204) genomförs och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Syftet med direktivet är att det skall skapas en gemensam hög nivå på integritetsskyddet, vilket i sin tur skall leda till att personuppgifter skall kunna flöda fritt mellan EU:s Några utgångspunkter för vårt arbete 69 Dessa får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten (exempelvis den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straffrättens område). Den svenska personuppgiftslagen (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180) är dock generellt tillämplig och omfattar även sådant som faller utanför gemenskaps- rätten, i den mån det inte finns särreglering i andra författningar. Lagen innehåller de generella regler som följer av EG-direktivet i fråga om vilka krav som ställs vid behandling av personuppgifter, när sådan behandling är tillåten, information till den registrerade, korrigering av personuppgifter, säkerheten vid behandlingen m.m. Grundläggande regler om inrättande och förande av personregister med hjälp av automatisk databehandling fanns tidigare i datalagen (1973:289). Varje sammanställning av personuppgifter med hjälp av automatisk databehandling ansågs innebära att ett personregister hade inrättats. Bara den som anmält sig till Datainspektionen och fått licens fick inrätta och föra personregister. För att få registrera känsliga personuppgifter krävdes dessutom ett särskilt tillstånd från Datainspektionen. Ett sådant tillstånd behövdes t.ex. i regel för att inrätta och föra register med uppgifter om hälsotillstånd eller sexualliv, omdömen om den registrerade eller personuppgifter som hämtats från något annat register. Om ett personregister beslutats av eller regeringen krävdes inget tillstånd. Genom personuppgiftslagen har det tidigare licens- och tillstånds- förfarandet avskaffats. Utgångspunkten för personuppgiftslagen är i stället att behandling av personuppgifter är tillåten i de fall och på de villkor lagen anger. Personuppgiftslagen innehåller generella riktlinjer för all behand- ling av personuppgifter. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis samla in, söka, bevara och sprida uppgifter. Lagen omfattar behandling av personuppgifter som är helt eller delvis automatiserad, dvs. i första hand datoriserad. Även behandling av sådana uppgifter kan dock omfattas av lagen, nämligen om uppgifterna skall ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. En personuppgiftsansvarig skall se till att personuppgifter behandlas bara om det är lagligt och alltid behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda, 70 Några utgångspunkter för vårt arbete uttryckligt angivna och berättigade ändamål samt inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen samt att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare reglerar personuppgiftslagen, som nämnts, när behandling av uppgifter är tillåten. Detta är i princip fallet när den tilltalade har lämnat sitt samtycke eller när behandlingen är nödvändig av olika angivna skäl, bl.a. för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet och för att den personuppgiftsansvarige eller tredje man till vilken personuppgifter lämnas skall kunna utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgiftslagen förbjuder andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Det finns dock ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från förbudet. Polisens möjligheter att föra kriminal- och polisregister reglerades tidigare av lagen (1963:197) om allmänt kriminalregister och lagen (1965:94) om polisregister m.m. Dessa lagar skrevs med utgångs- punkten att registren skulle föras manuellt. Det rättsliga stödet för att föra vissa datoriserade register, t.ex. person- och belastningsregistret, fanns i stället i förordningen (1970:517) om rättsväsendets informationssystem (RI-förordningen). Många polisregister fördes, och förs, också med stöd av Datainspektionens tillstånd enligt datalagen. gäller en ny lag om behandling av person- uppgifter hos polisen, polisdatalagen (1998:622). Lagen bygger på personuppgiftslagen och innehåller de särregler som ansetts nödvändiga i polisens verksamhet. Polisdatalagen utgör en del av den nya lagstiftningen om polisens register. Lagstiftningen består av fyra lagar, nämligen lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem och polisdatalagen (1998:622). Några utgångspunkter för vårt arbete 71 om misstankeregister trädde i kraft den medan lagen om Schengens informationssystem trädde i kraft . Förarbetena till lagen om belastnings- register, lagen om misstankeregister och polisdatalagen utgörs av prop. 1997/98:97, bet. 1997/98:JuU20 och rskr. 1997/98:276. Förarbetena till lagen om Schengens informationssystem finns i prop. 1999/2000:64, bet. 1999/2000:JuU17 och rskr. 1999/2000:215. Polisdatalagen utgår från personuppgiftslagen och innehåller endast de särbestämmelser som är nödvändiga för polisens verksamhet. Polis- datalagen innehåller både allmänna regler om behandling av person- uppgifter i polisiärt arbete och regler om vissa särskilda register. För sådan behandling av personuppgifter som sker med stöd av lagen om belastningsregister, lagen om misstankeregister eller lagen om Schengens informationssystem gäller inte polisdatalagen. Polisdatalagen gäller vid behandling av personuppgifter i polisens verksamhet för att förebygga brott och andra störningar av den allmänna ordningen och säkerheten, övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när något sådant inträffat eller bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Den innehåller även särskilda regler om behandling av uppgifter i kriminalunderrättelseverksamhet. Slutligen innehåller polisdatalagen också särskilda bestämmelser om vissa register som förs med hjälp av automatiserad behandling, dvs. Dessa register är kriminalunderrättelseregister, register med uppgifter om DNA-analyser i brottmål, fingeravtrycks- och signalementsregister samt . Enligt lagen (1998:620) om belastningsregister skall föra ett rikstäckande belastningsregister. Ändamålet med belastnings- registret skall vara att ge information om sådana belastningsuppgifter som behövs i verksamhet hos polis- och tullmyndigheter för att före- bygga, upptäcka och utreda brott, hos åklagarmyndigheter för beslut om förundersökning och åtal och vid utfärdande av strafförelägganden samt hos allmänna domstolar för val av påföljd och straffmätning. Uppgifter i registret skall också få användas av polismyndigheter och andra myndigheter vid sådan lämplighetsprövning, tillståndsprövning 72 Några utgångspunkter för vårt arbete och annan prövning som anges i lag eller förordning samt av enskilda om det är av särskild betydelse i den enskildes verksamhet. I lagen om belastningsregister bemyndigas regeringen att föreskriva att en myndighet får ha direktåtkomst till belastningsregistret. Alla påföljder för brott skall registreras i belastningsregistret. skall vidare innehålla uppgifter om den som har ålagts förvandlingsstraff för böter, den som med tillämpning av 30 kap. 6 § har förklarats fri från påföljd, den som skall utvisas eller utlämnas samt om den som har meddelats besöksförbud. Vissa uppgifter om den som är dömd i utlandet skall också registeras. Respekten för den personliga integriteten kommer till uttryck i begränsningar när det gäller utlämnande av uppgifter ur belastnings- registret. För registret gäller enligt 7 kap. 17 § sekretesslagen (1980:100) absolut sekretess, dvs. uppgifter får endast lämnas ut enligt vad som är särskilt föreskrivet. Regeringen bemyndigas i lagen om belastningsregister att utfärda föreskrifter om registrets närmare innehåll. Det kan bl.a. gälla uppgifter om utvisning, intagning i eller utskrivning från sjukvårdsinrättning av den som av domstol överlämnats till psykiatrisk vård samt uppgifter om resning. Enligt lagen (1998:621) om misstankeregister skall föra ett rikstäckande register med uppgifter om dem som är skäligen misstänkta för brott. skall föras för att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs i verksamhet hos polis- och tullmyndigheter för att samordna förundersökningar mot en misstänkt person och för att förebygga, upptäcka och utreda brott samt hos åklagarmyndigheter för beslut om förundersökning och åtal. Registret får även användas av andra myndigheter som har att utföra lämplighetsprövning, tillståndsprövning eller annan prövning som anges i författning. Slutligen får registret användas för att – i den utsträckning regeringen föreskriver – till enskild lämna uppgift som är av särskild betydelse i dennes verksamhet. Lagen om Schengens informationssystem har anslutit sig till (prop. 1997/98:42, bet. 1997/98:JuU15, rskr. 1997/98:121). bygger på två grundtankar. Den första är den fria rörligheten för personer, i den Några utgångspunkter för vårt arbete 73 betydelsen att personkontrollerna vid nationsgränserna mellan Schengenstaterna skall upphöra. Den andra är att kampen skall stärkas mot internationell kriminalitet och illegal invandring. Ett hjälpmedel i detta sammanhang är dataregistret Schengens informationssystem (SIS). SIS består av en nationell enhet för varje Schengenstat och en central teknisk stödfunktion, som är gemensam för . Varje Schengenstats nationella enhet innehåller uppgifter som är identiska med uppgifterna i de övriga ländernas nationella enheter. Registret är uppbyggt som ett spanings- och efterlysningshjälpmedel. I SIS kan varje Schengenstat föra in uppgifter om personer eller föremål som är efterlysta eller på annat sätt eftersökta med en begäran om att någon åtgärd skall vidtas när en efterlyst person eller ett efterlyst fordon påträffas. I SIS förekommer endast identifieringsuppgifter av registrerade personer. De komplette- rande uppgifter som behövs för att ett land som har påträffat en efterlyst skall kunna verkställa en begärd åtgärd lämnas över först när det blir aktuellt i varje enskilt fall genom direkt kontakt mellan de berörda länderna. En medverkan i såvitt gäller SIS kräver som framgått att det byggs upp ett register som skall vara den nationella enheten i Schengens informationssystem. Lagen (2000:344) om Schengens informationssystem innehåller regler om behandling av personuppgifter i denna nationella enhet. Lagen om SIS innehåller bestämmelser om vilka framställningar som får föras in i registret. Det regleras vilka personuppgifter som får föras in i registret, vem som får använda uppgifter ur det och ett förbud mot att använda uppgifter för annat ändamål än det som uppgiften registrerats för. Det finns i lagen också bestämmelser om bl.a. rättelse av felaktiga uppgifter. I den mån inte lagen om SIS innehåller avvikande regler blir personuppgiftslagens bestämmelser tillämpliga. Medlemsstaterna i Europeiska unionen har genom Europolkonven- tionen beslutat att upprätta en europeisk polisbyrå, Europol. har tillträtt konventionen (prop. 1996/97:164, bet. 1997/98:JuU02, rskr. 1997/98:22). Målsättningen med Europol är att förbättra effektiviteten hos behöriga myndigheter i medlemsstaterna och deras samarbete när det gäller att förebygga och motverka viss definierad brottslighet, t.ex. grova narkotikabrott eller gränsöverskridande handel med barn som utnyttjas sexuellt. 74 Några utgångspunkter för vårt arbete I kapitel 5 finns en förhållandevis detaljerad beskrivning av hur informationsutbytet med Europol fungerar. 2.2.4Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller som svensk lag här i landet. Artiklarna 8 och 13 i konventionen har betydelse för myndigheters rätt att behandla personuppgifter. Artikel 8 föreskriver att var och en har rätt till respekt bl.a. för sitt privat- och familjeliv. En offentlig myndighet får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs, utöver att intrånget skall grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. En rättighetsinskränkande tolkning av lagen skall kunna förutses och lagen skall vara allmänt tillgänglig. De syften för vilka intrång tillåts har tolkats ganska extensivt av , men domstolen avgör vad som kan anses nödvändigt för att tillgodose ett i och för sig legitimt syfte. Ett rättighetsintrång bedöms således nödvändigt endast om det svarar mot ett mycket angeläget socialt behov och om det står i rimlig proportion till det syfte som skall uppnås. I artikel 13 föreskrivs att var och en, vars i konventionen angivna fri- och rättigheter kränkts, skall ha tillgång till ett effektivt rättsmedel inför en nationell myndighet och detta även om kränkningen förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde skall ha tillgång till en nationell instans för att få saken prövad och erhålla rättelse. Prövningen kan utföras av domstol, men något krav på domstolsprövning uppställs inte. Prövning av en stats regering eller av en förvaltningsmyndighet kan därmed vara tillräcklig. har avgjort ett mål mellan en schweizisk medborgare och schweiziska staten, vilket bl.a. handlade om huruvida en anteckning om en privatperson i schweiziska säkerhetspolisens akt utgjort en kränkning av artikel 8. I målet uppkom även fråga om en kränkning av artikel 13 i konventionen hade skett. Ett referat av målet Några utgångspunkter för vårt arbete 75 (Amann mot ; dom i mål 27798/95) redovisas i det följande. sålde hårborttagningsutrustning för kvinnor. fick han ett telefonsamtal från en kvinna vid dåvarande sovjetiska ambassaden i , varvid kvinnan beställde viss sådan utrustning. Ambassaden var emellertid avlyssnad av den schweiziska säkerhets- tjänsten, vilket ledde till att företagaren blev föremål för utredning och registrering i säkerhetspolisens register. De registrerade uppgifterna om angav att det var fråga om spioneri med . fick reda på att dessa uppgifter förekom och väckte då skadeståndstalan mot säkerhetspolisen. Hans talan ogillades. Sedan klagat hos uppkom där fråga om hans rätt till skydd för privatlivet och den personliga integriteten enligt konventionens artikel 8 hade kränkts. En ytterligare fråga i målet var om han hade haft tillgång till effektiva rättsmedel för att tillvarata sin rätt, i enlighet med artikel 13. konstaterade att privatliv kränkts redan i och med telefonavlyssningen. När det gällde registreringen av uppgifterna från telefonavlyssningen i säkerhetspolisens register ansåg att den kränkte rätt till skydd av privatlivet enligt artikel 8. Det spelade enligt domstolen ingen roll om uppgifterna i fråga var känsliga eller ej, utan det räckte att de gällde hans privatliv och lagrades av en offentlig myndighet. fann vidare att registreringen inte hade stöd i lag eftersom de tillämpliga schweiziska bestämmelserna inte med tillräcklig tydlighet angav vilka uppgifter som fick registreras, under vilka förhållanden registrering fick ske och den procedur som skulle följas vid registrering. Den rättighetsinskränkande tolkningen av lagen som registreringen (och bevarandet av de registrerade uppgifter- na) innebar kunde enligt domstolen inte förutses. En kränkning av artikel 8 hade således ägt rum. Däremot fann domstolen att hade haft tillgång till effektiva rättsmedel. Detta genom att han fick ut sin akt hos säkerhets- polisen och kunde väcka talan mot den schweiziska staten vid nationell domstol. Någon kränkning av artikel 13 hade således inte skett. I detta sammanhang finns det även anledning att nämna målet mot , (mot ; dom Ser. A. Vol.116). fann att registrering av uppgifter inhämtade enligt personalkontrollkungörelsen (1969:446), vilka föranlett att nekats en sökt anställning, inte hade inne- 76 Några utgångspunkter för vårt arbete burit en kränkning av artikel 8. Inte heller ansågs en kränkning ha skett av artikel 13. Här följer en sammanfattning av dom. hade fått arbete som vikarierande museitekniker på ett i anslutning till en flottbas. Basen utgjorde ett militärt skyddsområde. Kort tid efter anställningen hade han ombetts lämna arbetsplatsen i avvaktan på resultatet av personalkontrollen. Han blev sedermera upplyst om att utfallet av kontrollen utgjorde hinder för att han anställdes. Han gjorde gällande att hemlig information hade förhindrat anställningen av honom samt att detta utgjorde ett hot mot hans rykte. Domstolen ansåg att lagrandet av information om privatliv i kombination med att han vägrades möjlighet att tillbakavisa uppgifterna utgjorde ett intrång i hans rätt till respekt för privatlivet. Personalkontrollen ansågs ha haft ett lagligt syfte, skyddet av den nationella säkerheten. Sedan hänsyn tagits till hur tillgängliga och förutsebara de aktuella reglerna var för allmänheten, kom domstolen fram till att intrånget hade erforderligt stöd i inhemsk lag. När det gällde att skydda nationell säkerhet ansågs staten ha en vid bedömnings- marginal. Med tanke på de risker som ett system med hemlig övervakning medförde ansågs det viktigt att det fanns garantier mot missbruk. Domstolen, som fäste särskild uppmärksamhet vid den övervakning av systemet som utövades av JK, JO och justitieutskott samt vid att riksdagsledamöter ingick i , ansåg att det intrång som personalkontrollen medfört i klagandens privatliv inte var oproportionerligt med tanke på det legitima syfte som låg bakom systemet med personalkontroll. Någon kränkning av artikel 8 ansågs därför inte föreligga. Något intrång i frihet att uttrycka sina åsikter eller att ta emot information ansågs inte ha förelegat. Vad beträffade möjlighet enligt artikel 13 att kunna få frågorna överprövade av inhemsk myndighet konstaterade domstolen att de besvärsmöjligheter, som stod öppna för honom, tillsammans uppfyllde kraven i artikel 13. 2.2.5Europarådets rekommendation om användningen av personuppgifter inom polissektorn m.m. antogs inom en rekommendation, No. R (87) 15, om användningen av personuppgifter inom polissektorn. Rekommendationen innehåller speciella skyddsregler för person- uppgifter som polisen samlar in, lagrar, använder eller överför med hjälp av automatiserad behandling i syfte att förhindra och bekämpa Några utgångspunkter för vårt arbete 77 brott eller upprätthålla allmän ordning. Endast sådana uppgifter som är nödvändiga för att förhindra en verklig fara eller bekämpa ett visst brott får samlas in, om inte den nationella lagstiftningen tillåter ett mer omfattande uppgiftssamlande. Skilda kategorier av lagrade uppgifter skall så långt som möjligt kunna skiljas från varandra efter graden av riktighet och tillförlitlighet (the different categories of data stored should be distinguished in accordance with their degree of accuracy or reliability). I synnerhet skall uppgifter som grundar sig på fakta kunna skiljas från uppgifter som grundar sig på omdömen eller personliga värderingar. inledde Datainspektionen en granskning av Riks- polisstyrelsens personregister. Granskningen syftade till att undersöka om nuvarande författningsreglering av polisens rätt att registrera uppgifter om enskilda svarade mot den europeiska rekommendationen om polisregister. Undersökningen gällde också hur personregister förhöll sig till den dåvarande författningsregleringen och till de föreskrifter som Datainspektionen meddelat. I en skrivelse överlämnade Datainspektionen till regeringen en rapport över granskningen. I skrivelsen sägs att inspektionen fått intrycket att Rikspolis- styrelsens verksamhet med registren präglas av en strävan att undvika otillbörligt intrång i den personliga integriteten. noteras dock att författningsregleringen av polisens rätt att registrera uppgifter om enskilda personer är bristfällig mot bakgrund av den europeiska rekommendationen.