sou · GPB392 · 2002-01-01 00:00:00 — Det är heller inte rimligt att den nya lagen hindrar polisen att kommunicera med allmän- heten genom e-post eller att scanna inkommande handlingar. Med anledning av det ovan anförda anser vi att den nya lagen bör innehålla en bestämmelse som föreskriver att lagen inte hindrar att personuppgifter diarieförs eller behandlas i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Med löpande text avses text som inte har strukturerats så att sökning av personuppgifter underlättas (se Öman- , Personuppgiftslagen En kommentar s. 143 ff. och de Grundläggande bestämmelser om behandling av personuppgifter 177 hänvisningar som finns där). Uppgifter som lämnas av en enskild i en ansökan eller anmälan till en polismyndighet utgör löpande text. Bestämmelsen motsvarar delvis vad som gäller enligt 8 § personuppgiftsförordningen. Förslaget i den här delen innebär att polisen kan inrätta modellen med en postcentral i enlighet med vad som skisserats ovan. Polisen kommer således att få rätt att datoriserat diarieföra inkommande personuppgifter samt lagra personuppgifterna för arkivändamål och för återsökning av inkomna meddelanden. För annan automatiserad behandling krävs det däremot stöd i den nya lagen för att behandling skall få ske. Bestämmelserna om särskilda behandlingar skall enligt förslaget alltså tillämpas först när uppgifterna struktureras för behandling i register eller ärendehanteringssystem. Vi anser att detta kan godtas från integritetssynpunkt. Bestämmelsen måste ses i samband med övriga regler i den nya lagen. Vi föreslår en bestämmelse som innebär att den personuppgiftsansvarige självmant måste vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen (se avsnitt 9.2.3 och 9.2.5.). Vårt lagförslag innehåller också en regel om att den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behand- las (se avsnitt 9.11). Den regeln ställer krav på att aktuella uppgifter inte sprids på ett otillbörligt sätt. 9.5Behandling av känsliga personuppgifter Bestämmelsen i 5 § polisdatalagen om behandling av känsliga personuppgifter bör gälla även i fortsättningen. Av personuppgiftslagen framgår att det i princip skall vara förbjudet att behandla vissa känsliga uppgifter; nämligen personuppgifter som avslöjar ras eller etnisk ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse eller medlemskap i fackförening samt sådana person- uppgifter som rör hälsa eller sexualliv. Personuppgiftslagen innehåller dock en rad undantag från förbudet. Av punkt 2.5 i rekommendation om användning av personuppgifter inom polissektorn m.m. anges att sådana känsliga uppgifter om en person inte får föras in i polisregister om det inte är oundgängligen nödvändigt. Polisen kan undantagsvis ha ett befogat intresse av att kunna anteck- na sådana känsliga uppgifter som ovan avses. Om andra uppgifter gör att det finns anledning att behandla uppgifter om en person bör polisen 178 Grundläggande bestämmelser om behandling av personuppgifter därför undantagsvis få behandla också sådana känsliga uppgifter. I enlighet med rekommendation bör det dock förutsätta att behandlingen är oundgängligen nödvändig. I 5 § polisdatalagen finns en bestämmelse om behandling av känsli- ga personuppgifter. Om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med känsliga personuppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. Bestämmelsen bör oförändrad gälla även i fortsättningen. En fråga är hur man vid tillämpning av reglerna om känsliga personuppgifter skall se på avbildningar av personer, t.ex. fotografier. Vi hänvisar därvid till synpunkter (SOU 1997:39 s. 368). Huruvida en bild på en persons ansikte kan anses avslöja den personens ras eller etniska ursprung i den mening som avses i dataskyddsdirektivet får enligt kommittén anses osäkert. Det får enligt kommittén också anses osäkert om en bild på den som är fysiskt handikappad eller ser sjuk (eller frisk) ut innefattar uppgifter som rör den personens hälsa. Kommittén ansåg att det förefaller rimligt att anse att bilder på människor i mera normala sammanhang inte på avsett sätt avslöjar några känsliga personuppgifter. Enligt kommittén kan en isolerad uppgift om vilket kön en person har inte anses vara en uppgift om dennes sexualliv, men däremot är förmodligen en uppgift om att någon har bytt kön en uppgift som kan anses röra den personens hälsa eller sexualliv. Bestämmelsen i 22 § personuppgiftslagen om behandling av person- nummer bör gälla på polisområdet. Dock bör samtycke inte kunna åberopas som grund för behandling. Enligt 22 § personuppgiftslagen får uppgifter om personnummer eller samordningsnummer behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identi- fiering eller något annat beaktansvärt skäl. Personnummer eller samordningsnummer får därutöver behandlas om innehavaren ger sitt samtycke. Samordningsnummer är ett nummer som enligt 18 a § folk- bokföringslagen (1991:481) efter begäran från en myndighet får till- delas en person som inte är eller har varit folkbokförd i landet. Polisdatalagen innehåller inga särbestämmelser om personnummer eller samordningsnummer. Grundläggande bestämmelser om behandling av personuppgifter 179 Den nya polisdatalagen bör innehålla en bestämmelse som motsva- rar 22 § personuppgiftslagen. Dock bör det inte vara möjligt för polisen att använda samtycke som grund för behandling. Om behandlingen inte är klart motiverad med hänsyn till dess ändamål, till vikten av en säker identifiering eller något annat beaktansvärt skäl bör den inte få förekomma. 9.7Behandling av uppgifter om kvarstående misstankar Bestämmelserna i 10 och 11 §§ polisdatalagen om behandling av uppgifter om kvarstående misstankar bör oförändrat gälla även i fortsättningen. Av personuppgiftslagen framgår att en uppgift inte får bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Detta innebär att uppgifter som behandlas under en förundersökning normalt skall arkiveras när förundersökningen läggs ned. Uppgifterna i misstankeregistret skall enligt 13 § lagen om miss- tankeregister gallras när förundersökningen läggs ned. Kvarstående misstankar får alltså inte registreras i misstankeregistret. Om en förundersökning läggs ned på grund av bristande bevisning kan polisen ha ett berättigat intresse av att fortsätta behandla uppgifter om den misstänkte. Dessa uppgifter kan , om det kommer fram nya uppgifter, leda till att det blir möjligt att på nytt inleda förundersökning. På grund härav ansåg regeringen (prop. 1997/98:97 s. 103) att det i polisdatalagen borde införas bestämmelser om att uppgifter om kvarstående misstankar får behandlas om en förundersökning har lagts ned på grund av bristande bevisning och en person enligt förundersökningsledarens bedömning är misstänkt för brott. Bestämmelserna finns i 10 § polisdatalagen. Om en åtalad har frikänts eller om målet läggs ned på grund av bristande bevisning bör uppgifter om kvarstående misstankar normalt inte få behandlas. Det kan dock i undantagsfall bli aktuellt att inleda en ny förundersökning eller ta upp målet på nytt, t.ex. på grund av resning. I sådana speciella fall bör uppgifterna enligt regeringen få behandlas (se prop. 1997/98:97 s. 103). I 11 § polisdatalagen finns regler härom. Polisdataförordningen innehåller en paragraf om behandling av uppgifter om kvarstående misstankar. I 3 § polisdataförordningen före- skrivs att om uppgifter om kvarstående brottsmisstankar skall behand- 180 Grundläggande bestämmelser om behandling av personuppgifter las enligt 10 eller 11 § polisdatalagen skall den personuppgiftsansvari- ge särskilt besluta om vem som får ha direkt åtkomst till uppgifterna. Skälen som ligger till grund för bestämmelserna i 10 och 11 §§ polisdatalagen gäller enligt vår mening fortfarande. Den nya lagen bör alltså innehålla bestämmelser med samma innehåll som i dessa lagrum. Vi föreslår i det här betänkandet att den nya lagen bör innehålla en bestämmelse som föreskriver att direkt åtkomst till personuppgifter skall vara förbehållen de personer inom polisen som på grund av sina arbetsuppgifter behöver tillgång till information om uppgifterna (se avsnitt 9.11). Mot den bakgrunden behövs det i den nya författnings- regleringen inte någon särskild bestämmelse om direkt åtkomst beträffande aktuella personuppgifter motsvarande 3 § polisdataförord- ningen. Någon bestämmelse om förbud mot överföring av personuppgifter till tredje land motsvarande 33 § personuppgiftslagen bör inte gälla i den egentliga polisverksamheten. En följd av detta blir att offentliga personuppgifter i viss utsträckning kan göras allmänt tillgängliga på Internet. Av integritetsskäl bör dock en efterlysning av en person med anledning av att han eller hon avvikit från verkställighet av påföljd för brott eller med anledning av att han eller hon misstänks för brott, få ske på Internet endast om 1.domen eller misstanken avser ett brott för vilket inte lindrigare straff än fängelse är föreskrivet eller 2.personen kan antas vara farlig för annans personliga säkerhet. En särskild fråga är vad som bör gälla för polisen beträffande behand- ling av personuppgifter på Internet. I 33 § personuppgiftslagen finns det ett principiellt förbud mot att till tredje land föra över personupp- gifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Med begreppet tredje land avses i personuppgiftslagen en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. När person- uppgifter görs allmänt tillgängliga via ett globalt nätverk, t.ex. läggs upp på en webbsida på Internet, kan de nås från de flesta länder i världen av vilka flera säkerligen inte har en adekvat skyddsnivå. Därmed har personuppgifterna förts över till tredje land på ett sådant sätt som i princip är förbjudet enligt personuppgiftslagen. Grundläggande bestämmelser om behandling av personuppgifter 181 Från polisens sida har framförts att det finns ett starkt önskemål om att få sprida vissa uppgifter på Internet. i har förklarat att man har undersökt möjligheterna att på myndighetens hemsida ange namn och bild på försvunna personer i fall då det finns anledning att befara att dessa personer fallit offer för något våldsbrott. Vidare har man inom myndigheten undersökt vilka möjligheter som finns att lägga ut namn och bild på efterlysta personer som polisen anser det särskilt angeläget att få frihetsberövade. Endast dokumenterat farliga personer som är dömda eller misstänkta för brott skulle då komma i fråga. Datainspektionen har dock enligt polismyn- digheten lämnat ett muntligt förhandsbesked med innebörd att det saknas lagstöd för sådan automatiserad behandling av personuppgifter som det här skulle bli fråga om. Vi anser att det inte finns skäl att i den nya lagen för polisen införa någon bestämmelse som motsvarar 33 § personuppgiftslagen. Polisen kommer därför enligt vårt förslag att kunna göra personuppgifter allmänt tillgängliga på Internet. Därvid måste polisen precis som vid all annan behandling naturligtvis överväga om de allmänna förutsätt- ningarna för behandling av personuppgifter är uppfyllda. En behand- ling får ske bara för tydliga och berättigade ändamål. Behandlingen får också bara omfatta personuppgifter som är nödvändiga för ändamålet. Rätten att behandla personuppgifter på Internet måste dock framför allt ses i relation till reglerna i sekretesslagen. Behandling av person- uppgifter på Internet kommer bara att kunna ske beträffande offentliga uppgifter, alltså uppgifter som inte omfattas av sekretess enligt någon bestämmelse i sekretesslagen eller i någon annan författning. En sprid- ning av en sekretessuppgift på Internet innebär ju att uppgiften lämnas ut till allmänheten. Efterlysningar av personer vilka omfattas av sekretess kommer alltså inte heller i fortsättningen att kunna ske på Internet. Sekretessen för efterlysningar kan dock i vissa fall upphävas med stöd av bestämmelsen i 1 kap 5 § sekretesslagen. Det lagrummet föreskriver att sekretess inte hindrar att en uppgift lämnas ut, om det är nödvändigt för att den utlämnande myndigheten skall kunna fullgöra sin verksamhet. I fråga om en efterlysning av en person med anledning av att han eller hon avvikit från verkställighet av påföljd för brott eller med anledning av att han eller hon misstänks för brott, bör spridning på Internet få ske endast om domen eller misstanken avser ett särskilt allvarligt brott eller om personen kan antas vara farlig för annans personliga säkerhet. Detta stämmer överens med de principer som tillämpas vid beslut om att häva sekretess för efterlysningar. Polisen har heller inte avsett att en framtida spridning av efterlysningar på Internet skall få en vidare omfattning. 182 Grundläggande bestämmelser om behandling av personuppgifter Enligt vår mening bör det framgå uttryckligt av lagtexten att aktuella efterlysningar får spridas på Internet endast under nämnda förutsättningar. När det gäller avgränsningen av vilka efterlysningar som kan få göras allmänt tillgängliga på Internet anser vi att spridning bör få ske om den misstänkte är dömd eller misstänkt för ett brott för vilket det inte är föreskrivet lindrigare straff än fängelse . Tiden anknyter till 24 kap. 1 § om häktning. När det gäller brott för vilket inte är föreskrivet lindrigare straff än fängelse skall häktning ske, om det inte är uppenbart att skäl till häktning saknas. Oberoende av brottets svårhetsgrad bör en efterlysning också få spridas om den efterlyste personen kan antas vara farlig för annans personliga säkerhet. Slutligen förtjänar att nämnas att regeln i 33 § personuppgiftslagen om förbud mot överföring av personuppgifter till tredje land även i fortsättningen kan ha relevans i vissa fall. Om en efterlysning, som inte omfattas av sekretess, uteslutande är hänförlig till polisens hjälpande verksamhet (2 § 4 polislagen) gäller alltjämt förbudet mot överföring i 33 § personuppgiftslagen. Den nya polisdatalag som vi föreslår skall ju bara vara tillämplig i den egentliga polisverksamheten så som denna verksamhet definieras i 2 § 1–3 polislagen. Efterlysningar som ute- slutande sker i den hjälpande verksamheten kan därför bara spridas på Internet om det föreligger samtycke eller något annat undantag från förbudet mot överföring av personuppgifter till tredje land (se 34– 35 §§ personuppgiftslagen). 9.9Information till den enskilde Reglerna i 23–27 §§ personuppgiftslagen om information till registrerade bör även i fortsättningen gälla i polisens verksamhet. Det behövs dock därutöver två ytterligare undantag från polisens informationsplikt. I fall uppgifter om en enskild person samlas in från personen själv, bör information heller inte behöva lämnas, om –det finns bestämmelser om antecknandet eller utlämnandet av personuppgifter i författning, eller –uppgifterna samlas in i samband med ett larm eller annan liknande underrättelse och larmet eller underrättelsen kräver omedelbara insatser från den personuppgiftsansvarige I stället för att som avse registrerade bör bestämmelserna avse enskilda. Grundläggande bestämmelser om behandling av personuppgifter 183 Personuppgiftslagen innehåller särskilda bestämmelser om den personuppgiftsansvariges skyldighet att lämna information till den registrerade (23 och 24 §§). Informationsskyldigheten är förenad med flera undantag. I den utsträckning det är föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas till den registrerade gäller inte bestämmel- serna (27 §). Information behöver inte heller lämnas om personupp- gifterna samlats in från någon annan källa än den registrerade och det finns bestämmelser om registrerandet eller utlämnandet av uppgifterna i en lag eller någon annan författning (24 §). Information om uppgifter som hämtas från någon annan källa än den registrerade behöver inte heller lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade skall dock information lämnas senast i samband med att så sker (24 §). Undantagsreglerna innebär att polisen i regel inte behöver lämna någon information till den registrerade. Av bestämmelserna framgår t.ex. att det inte finns någon skyldighet att lämna information om uppgifter i misstankeregistret eller belastningsregistret eftersom bestämmelser om registrerandet följer direkt av lag. Detsamma gäller för uppgifter i en förundersökning, eftersom förundersöknings- kungörelsen (1947:948) får anses utgöra en sådan författning om registrerande som avses i 24 § andra stycket personuppgiftslagen. I lagtiftningsärendet som ledde fram till polisdatalagen gjorde regeringen (prop. 1997/98:97 s. 108), liksom tidigare hade gjort, den bedömningen att några särskilda regler utöver person- uppgiftslagens regler om informationsskyldighet inte behövdes. Polisdatalagen innehåller därför inga särregler om information till registrerade. 9.9.2Två ytterligare undantag från informationsskyldigheten behövs Vi gör i likhet med bedömningen att undantags- reglerna innebär att polisen i regel inte behöver lämna någon information. Nedan föreslår vi dessutom två ytterligare undantag som inskränker polisens informationsskyldighet. Mot bakgrund av de omfattande undantagen har vi övervägt om det alls finns anledning att ha kvar en principiell informationsskyldighet för polisen, i alla fall beträffande sådan information som skall lämnas självmant. 184 Grundläggande bestämmelser om behandling av personuppgifter behandlar dock personuppgifter i ett stort antal system och i vissa av dessa system kan det förekomma behandlingar som omfattas, och även i fortsättningen, bör omfattas av en informationsskyldighet. Det till- kommer också kontinuerligt nya ärendehanteringssystem. Sammantaget finner vi att utgångspunkten även i fortsättningen bör vara att polisen skall lämna information om de behandlingar av personuppgifter som företas. Vi anser alltså att två ytterligare undantag från informations- skyldigheten behövs. Om personuppgifterna har samlats in från någon annan källa än den registrerade, behöver som nämnts information inte lämnas i fall det finns bestämmelser om registrerandet i författning. Enligt vår mening saknas det anledning att i detta avseende göra skillnad mellan om uppgifterna samlas in från den enskilde eller från någon annan källa än den enskilde. Undantaget bör avse båda situationerna. Det har visat sig svårt att i de nya behandlingarna i kommunika- tionscentralernas system (KC-systemet) uppfylla kraven på information. Särskilt uppstår det svårigheter att lämna information om behandling till den som ringer upp en kommunikationscentral i en akut situation där omedelbara insatser krävs. Enligt vår mening är det inte rimligt att kräva att polisen skall vara skyldig att lämna information om behandlingen i den nämnda situationen att en person ringer upp en kommunikationscentral i en akut situation. Bestämmelserna om undantag från informationsskyldigheten behöver därför kompletteras. Utöver undantagen i personuppgiftslagen bör den nya lagen innehålla en bestämmelse som föreskriver att information inte behöver lämnas om uppgifterna samlas in i samband med ett larm eller en annan liknande underrättelse och larmet eller underrättelsen kräver omedelbara insatser från den personuppgifts- ansvarige. I sammanhanget förtjänar att nämnas att det även ifrågasatts om bestämmelserna är anpassade för behandlingen av personuppgifter i systemet DurTvå. Här gör vi bedömningen att de befintliga reglerna jämte de föreslagna ändringarna ovan, tillgodoser behovet av undantag från informationsskyldigheten. Regler om behandling av personupp- gifter i förundersökning finns som nämnts i förundersöknings- kungörelsen. Vidare behöver information inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Grundläggande bestämmelser om behandling av personuppgifter 185 9.9.3Den registrerade – den enskilde Som framgått anser vi att den nya lagen bör innehålla bestämmelser med samma innehåll som i 23–27 §§ personuppgiftslagen. Dessutom bör alltså den nya lagen innehålla ytterligare två undantag från informationsskyldigheten. Personuppgiftslagen talar om information till registrerade. Ordet registrerade för tankarna till det i många sammanhang olämpliga begreppet register (jfr avsnitt 3.2). Vi anser därför att bestämmelserna i den nya lagen bör avse information till enskilda och inte till registrerade. Bestämmelserna i 28 § personuppgiftslagen om rättelse bör även i fortsättningen gälla på polisområdet. Bestämmelserna bör dock avse den enskilde i stället för den registrerade. I 28 § personuppgiftslagen finns bestämmelser om den enskildes rätt att på begäran få personuppgifter korrigerade och om den personuppgifts- ansvariges skyldighet att underrätta tredje man, till vilken uppgifterna lämnats ut, om vidtagna korrigeringsåtgärder. Den nya lagen för behandling av personuppgifter i polisens verk- samhet bör innehålla en paragraf med samma bestämmelser om rättelse som i 28 § personuppgiftslagen. Av skäl som angetts i avsnitt 9.9.3 om information bör bestämmelserna avse enskilda och inte registrerade. Bestämmelserna innebär alltså en skyldighet för polisen att korrige- ra bl.a. felaktiga uppgifter och att upplysa den som har fått del av en felaktig uppgift om rätta förhållandet. Om polisen har registrerat en person som misstänkt för ett visst brott, men misstanken under ett senare skede av utredningsarbetet inte längre visar sig hållbar, är den ursprungliga uppgiften dock inte felaktig i lagrummets mening. Det finns därför inte någon skyldighet för polisen att underrätta tredje man om att en person är misstänkt för brott eller, för att ta ett annat exempel, att den som dömts för ett brott efter överklagande har frikänts. I övrigt hänvisas till vad som i avsnitt 9.2.3 sagts om personupp- gifternas kvalitet och omfattning. 186 Grundläggande bestämmelser om behandling av personuppgifter Bestämmelserna i 30–32 §§ personuppgiftslagen om säkerheten vid behandling bör liksom gälla i polisens verksamhet. Regeln i 32 § om tillsynsmyndighetens rätt att besluta om säkerhetsåtgärder bör dock meddelas genom förordning. Den nya lagen bör innehålla en bestämmelse som föreskriver att direkt åtkomst till personuppgifter skall vara förbehållen de personer inom polisen som på grund av sina arbetsuppgifter behöver tillgång till information om uppgifterna. I 30–32 §§ personuppgiftslagen finns regler om säkerheten vid behand- ling av personuppgifter. Enligt 30 § får ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personupp- giftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Det skall enligt samma lagrum också finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räk- ning. Av 31 § personuppgiftslagen följer bl.a. att en personuppgifts- ansvarig skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstad- komma en säkerhetsnivå som är lämplig med beaktande av –de tekniska möjligheter som finns, –vad det skulle kosta att genomföra åtgärderna, –de särskilda risker som finns med behandlingen av person- uppgifterna, och –hur pass känsliga de behandlade personuppgifterna är. Datainspektionen, får enligt 32 § person- uppgiftslagen i enskilda fall besluta om vilka säkerhetsåtgärder den personuppgiftsansvarige skall vidta.