sou · GPB392 · 2002-01-01 00:00:00 — Definitionen av underrättelseverksamhet har enligt propositionen (se s. 118) sin före- bild i lagen om register i brottsbekämpande verksamhet. 198 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 10.2.2Polisdatalagens reglering i huvuddrag Behandling av personuppgifter i sådan verksamhet som i polisdata- lagen kallas kriminalunderrättelseverksamhet får enligt lagen ske endast i särskilda undersökningar eller i kriminalunderrättelseregister. Med begreppet särskild undersökning avses i lagen en undersökning i kriminalunderrättelseverksamhet som innebär insamling, bearbetning och analys av uppgifter i syfte att ge underlag för beslut om förunder- sökning eller om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. Personuppgifter får behandlas i en särskild undersökning som inletts av eller en polismyndighet endast om det finns anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas. Med allvarlig brottslig verksamhet menas i lagen verksamhet som innefattar brott för vilket fängelse eller däröver är föreskrivet. Uppgifter om en enskild person som det inte finns misstanke mot skall förses med en upplysning om detta förhållande. eller polismyndighetens beslut att inleda en särskild undersökning skall innehålla uppgifter om ändamålet med behandlingen och de villkor i övrigt som behövs för att förebygga otillbörligt intrång i de registrerades personliga integritet. Det gäller särskilda regler om gallring av uppgifter i en särskild undersökning. Personuppgifter får också behandlas i kriminalunderrättelseregister. Sådana register får föras endast för att ge underlag för beslut om särskilda undersökningar avseende allvarlig brottslig verksamhet eller för att underlätta tillgången till allmänna uppgifter med anknytning till underrättelseverksamhet. Ett kriminalunderrättelseregister får innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna ger anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas och den som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den brottsliga verksamheten. Vidare får registren bara innehålla vissa särskilt angivna kategorier av uppgifter. Slutligen finns det särskilda regler om gallring av uppgifter ur registren. SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 199 10.2.3Tillämpningssvårigheter med regleringen i polisdatalagen Oklarheter i definitionen av kriminalunderrättelseverksamhet Enligt definitionen i 3 § polisdatalagen är kriminalunderrättelseverk- samhet sådan polisverksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. . Säkerhetspolisens verksamhet omfattas inte av begreppet kriminalunderrättelseverksamhet. Det förefaller mycket svårt att upprätthålla någon klar gräns mellan de tre begreppen, samla, bearbeta och analysera. Framför allt verkar det svårt att göra skillnad mellan bearbetning av uppgifter och analys av uppgifter. Begreppen framstår som exemplifieringar på vilken typ av polisverksamhet som avses. Från integritetssynpunkt kan det också ifrågasättas varför skyddet enligt reglerna om behandling av personuppgifter i kriminalunder- rättelseverksamhet skall träda in först när aktuella uppgifter analyseras. Det verkar mer naturligt att tillämpa de särskilda skyddsreglerna från det att uppgifterna samlas in. Sammantaget ligger det nära till hands att uppfatta definitionen av kriminalunderrättelseverksamhet i 3 § polisdatalagen så att kriminal- underrättelseverksamhet är polisverksamhet som består i att samla, bearbeta eller analysera information för det ändamål som anges i lagrummet. Datainspektionen har också gett uttryck för uppfattningen att definitionen bör tolkas på det sättet (jfr avsnitt 5.8.2 om systemet DocPol) En sådan tolkning medför dock att begreppet kriminalunder- rättelseverksamhet får en mycket vid innebörd. Definitionen av kriminalunderrättelseverksamhet har en vid innebörd betänkande innehåller en beskrivning av de då befintliga underrättelseregistren, nämligen Säkerhetspolisens register och Finanspolisens analys- och spaningsregister. Vilka system kan sägas innefatta behandling av personupp- gifter i kriminalunderrättelseverksamhet eller utgöra kriminalunder- rättelseregister? (KUR) och Finans- polisens analys- och spaningsregister får anses vara kriminalunder- rättelseregister. Det har även diskuterats om det allmänna spanings- registret () bör ses som ett sådant register (jfr SOU 1996:35 200 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 s. 60 ff. och s. 100 f.). Frågan är vilka övriga system som kan anses innefatta kriminalunderrättelseverksamhet i polisdatalagens mening. Systemet rationell anmälningsrutin (RAR) utgör ett system som inrättats för att polisen på ett rationellt sätt skall kunna hantera inkommande brottsanmälningar. Systemet har beskrivits i avsnitt 3.7.2. Ändamålet som Datainspektionen fastställt kan inte sägas innefatta kriminalunderrättelseverksamhet så som denna verksamhet definieras i 3 § polisdatalagen. Bestämmelserna i polisdatalagen om kriminal- underrättelseverksamhet och kriminalunderrättelseregister borde då inte vara tillämpliga på behandlingen i RAR. Det finns emellertid omständigheter som komplicerar läget. Vad händer om polisen i kriminalunderrättelseverksamhet behandlar personuppgifter som hämtats från RAR. Uppgifter i en särskild undersökning kan t.ex. ha hämtats från RAR. Skall redan insamlingen av personuppgifter till RAR då ses som kriminalunderrättelse- verksamhet, eftersom ett ändamål med denna insamling är att upp- gifterna senare kan komma att behandlas i kriminalunderrättelse- verksamhet? Motsvarande situationer kan inträffa vid behandlingar i DurTvå, i ViCLAS eller i KC-systemet. Även andra system kan tänkas bli berörda. En sådan tolkning av begreppet kriminalunderrättelse- verksamhet som här skisserats skulle få stora verkningar på polisens möjligheter att automatiserat behandla personuppgifter. En stor del av polisens system, kanske den övervägande delen, skulle med den tolkningen behöva anpassas till reglerna om kriminalunderrättelse- verksamhet eller om kriminalunderrättelseregister. När det gäller ViCLAS kan även hänvisas till en skrivelse som Datainspektionen överlämnat till regeringen. Regeringen har överlämnat skrivelsen till , se bilaga 2 till betänkandet. Med hänsyn till Datainspektionens bedömning förefaller i vart fall en behandling av personuppgifter i enlighet med de ansökningar som gjorts om KUT-Info (se avsnitt 4.4) och om DocPol (se avsnitt 5.8) stå i strid med reglerna om kriminalunderrättelseverksamhet i polisdata- lagen. När det gäller DocPol är det uppenbart att ett sådant system behövs för att polisen skall kunna klara åtagandena i det internationella polissamarbetet enligt de konventioner som ingått. Detta gäller inte minst samarbetet inom Europol. SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 201 10.3En särskilda reglering om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot En lag om behandling av personuppgifter bör handla om just behandling av personuppgifter och inte vara inriktad på att reglera vissa verksamheter eller arbetsmetoder hos polisen. Bestämmelserna om kriminalunderrättelseverksamhet och kriminalunderrättelse- register bör bl.a. av det skälet inte vara kvar i en ny polisdatalag. Bestämmelserna härom bör i stället ersättas av bestämmelser om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot. Som framgått ovan är polisdatalagens systematik med en reglering av kriminalunderrättelseverksamhet och i anslutning härtill av kriminal- underrättelseregister ägnad att ge upphov till tillämpningssvårigheter. Definitionen saknar precision på så sätt att den täcker även sådan behandling av personuppgifter som rimligen inte är så känslig att den behöver regleras särskilt. Härigenom har regleringen kommit att försvåra polisens arbete med att verka problemorienterat och brotts- förebyggande. De frågor som är förknippade med polisdatalagens bestämmelser om kriminalunderrättelseverksamhet och kriminalunderrättelseregister har utgjort en mycket viktig del av utredningsuppdraget. En betydande del av vårt arbete har därför bestått i att överväga ändringar av denna reglering. Till att börja med har vi därvid naturligtvis bedömt alternativet att behålla den nuvarande definitionen oförändrad. På grund av vad som anförts ovan har vi emellertid förkastat det alterna- tivet. Vi har även övervägt flera olika ändringar av definitionen, men inte kunnat finna någon annan lydelse som avhjälper de angivna bristerna. Under utredningens gång har vi därför kommit att ifrågasätta det lämpliga i att använda begreppet kriminalunderrättelseverksamhet i en lag om behandling av personuppgifter. I den allmänna debatten har gjorts uttalanden om att det finns ett behov av en tydligare lagreglering av polisens arbetsmetoder, informationsinhämtning och befogenheter i övrigt. Det har hävdats att det är oklart vilka befogenheter polisen har t.ex. i det brottsförebyggande arbetet. Vi delar uppfattningen att det kan finnas ett behov av en sådan lagstiftning. Eventuella regler om kriminalunderrättelseverksamhet bör då meddelas i denna lagstiftning. Reglerna hör i vart fall inte hemma i en lag som handlar om behandling 202 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 En sådan lag bör handla om just behandling av personuppgifter och inte vara inriktad på att reglera vissa verksamheter, arbetsmetoder eller arbetsformer hos polisen. Som framgår av den nordiska jämförelsen (kapitel 6) har inget av länderna som omfattas av jämförelsen några särskilda regler om behandling av personuppgifter i kriminalunderrättelseverksamhet. Vår slutsats av det anförda är att en ny polisdatalag inte bör inne- hålla bestämmelser om kriminalunderrättelseverksamhet och inte heller om kriminalunderrättelseregister. Vi övergår i stället till att diskutera hur en alternativ reglering bör vara utformad. Ett övergripande syfte med den särskilda regleringen i polisdata- lagen av kriminalunderrättelseverksamhet och kriminalunderrättelse- register är att reglera polisens rätt att behandla uppgifter om personer som det inte finns någon misstanke om brott mot. Behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot kan utgöra en mycket känslig form av behandling. Det kan därvid även påpekas att uppgifterna på grund av samarbetet inom Europol kan få stor internationell spridning. Som framgått tidigare (se avsnitt 4.2.4) är det dock av hänsyn till det brottsförebyggande arbetet nödvändigt att polisen ibland samlar in uppgifter om misstankar mot enskilda personer, även om misstankarna inte kunnat preciseras till att avse en viss specifik händelse eller gärning. Från integritetssynpunkt bör dock polisens rätt att behandla dessa uppgifter vara noggrant reglerad. Vi anser därför att det i en ny polisdatalag bör införas särskilda regler om denna behandling och att dessa regler bör ersätta bestämmelserna om kriminalunderrättelseverk- samhet och kriminalunderrättelseregister i den nu gällande polisdata- lagen. I nästa avsnitt diskuteras närmare om hur utformningen av den nya regleringen bör vara beskaffad. SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 203 10.4Utformning av regler om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot 10.4.1Den nya regleringen i huvuddrag Möjligheterna för polisen att behandla personuppgifter automatise- rat bör i viss mån utvidgas. Vi anser alltså att det i en ny polisdatalag bör införas regler om behand- ling av uppgifter om enskilda personer som det inte finns någon miss- tanke om brott mot. Dessa bestämmelser bör ersätta den nuvarande regleringen av kriminalunderrättelseverksamhet och kriminalunder- rättelseregister. De personuppgifter som kommer att omfattas av de aktuella regler- na är först och främst sådana som avser personer som inte är misstänkta för något konkret brott, men väl för att ha utövat eller utöva brottslig verksamhet. Uppgifterna kan dock även avse personer som lämnat upp- gifter om iakttagelser m.m. utan att själva vara misstänkta. Eftersom behandlingen inte har samband med konkreta brott kommer notering av personuppgifter rörande målsägande inte att förekomma. En konsekvens av att reglerna om kriminalunderrättelseverksamhet försvinner och ersätts av här aktuella regler blir att polisen får större möjligheter än att behandla personuppgifter automatiserat. De nya reglerna ger t.ex. större möjlighet att behandla uppgifter på intranät genom KUT-Info och i DocPol. Även sådan behandling av personupp- gifter som systemet (ViCLAS) representerar kan antas bli påverkad av den reglering vi här föreslår. Reglerna torde även innebära en viss utvidgning i andra avseenden. Med hänsyn till att polisen förväntas arbeta problemorienterat och brottsförebyggande anser vi dock att denna utvidgning är klart befogad. Som vi kunnat konstatera kom den tidigare regleringen om kriminalunderrättelseverksamhet också att om- fatta behandlingar som inte är så känsliga att de behöver regleras sär- skilt i lagstiftningen. När det gäller integritetsaspekten visar den nordiska jämförelsen att det i , och lagstiftningar inte finns hinder mot att behandla personuppgifter på här aktuellt sätt. Inte heller står den aktuella behandlingen på något sätt i strid med bestämmelserna i eller i rekommendationen från om användning av personuppgifter inom polissektorn. 204 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 Vi föreslår att det i en ny lag införs regler om ändamål för behand- ling av ifrågavarande uppgifter, om att uppgifterna skall förses med upplysningar om uppgiftslämnarens trovärdighet, om att den person- uppgiftsansvarige skall besluta de villkor som behövs för att skydda enskildas personliga integritet och om gallring. Vid behandling av ifrågavarande uppgifter gäller naturligtvis även de grundläggande bestämmelserna om behandling av personuppgifter. Sistnämnda bestämmelser innebär bl.a. att aktuella uppgifter bara får behandlas om behandlingen är nödvändig för att den egentliga polisverksamheten skall kunna utföras, att behandling bara får ske för vissa preciserade och berättigade ändamål och att uppgifterna skall gallras när de inte behövs för ändamålet med behandlingen. Andra regler i vårt förslag som får anses ha särskild betydelse är de som handlar om säkerheten vid behandling. Den personuppgiftsansvarige måste enligt dessa regler vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Direkt åtkomst till aktuella personupp- gifter skall vara förbehållen de personer som på grund av sina arbets- uppgifter behöver tillgång till sådana uppgifter. Uppgifter om en enskild person som det inte finns någon misstanke om brott mot bör få behandlas för att förebygga, förhindra eller upptäcka sådan brottslig verksamhet som innefattar brott för vilket är föreskrivet fängelse . Bestämmelserna om behandlingen av personuppgifter bör inte gälla personuppgifter –i en förundersökning, eller –i en brottsutredning som handläggs enligt 23 kap. 22 § rättegångs- balken eller enligt 31 § lagen (1964:167) med särskilda bestämmel- ser om unga lagöverträdare. Det övergripande syftet med behandlingen av personuppgifter bör vara att bearbeta och analysera inhämtat material för att få fram så mycket information att det finns tillräckligt underlag för att kunna besluta om särskilda åtgärder för att förebygga eller förhindra brott. Det bör också vara möjligt att behandla uppgifterna för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas. Vi föreslår därför att det i den nya lagen införs en bestämmelse som anger att aktuella personuppgifter får behandlas för att förebygga, förhindra eller upp- täcka brottslig verksamhet. SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 205 För att registreringen inte skall bli för vidlyftig anser vi att behand- lingen bara skall få anknyta till brottslig verksamhet som innefattar brott för vilket är föreskrivet fängelse . Den föreslagna bestämmelsen om syften är allmänt hållen. Avsikten med bestämmelsen är dock att ange en yttersta gräns inom vilken uppgifterna får behandlas. Det ligger i sakens natur att en sådan bestämmelse måste formuleras ganska generellt. Den här föreslagna bestämmelsen kompletteras också av andra regler som syftar till att skydda den enskildes personliga integritet. Bl.a. föreslår vi en lagregel som innebär att den personuppgiftsansvarige skall besluta särskilda ändamålsbestämmelser som preciserar de angivna övergripande syftena med behandlingen (se avsnitt 10.4.6). Reglerna om behandling av aktuella personuppgifter bör inte avse uppgifter i en förundersökning. I en sådan undersökning utreds miss- tankar om konkreta brott. Förfarandet är reglerat i och i förundersökningskungörelsen. Av samma skäl bör regleringen inte omfatta uppgifter i ett så kallat förenklat utredningsförfarande enligt 23 kap. 22 § . Inte heller bör regleringen omfatta upp- gifter i en brottsutredning som handläggs enligt 31 § lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare. Sistnämnda lagrum handlar om brottsutredningar i vilka den misstänkte gärnings- mannen inte fyllt för brottet. 10.4.3Personuppgifter som får behandlas Alla uppgifter som är nödvändiga för ändamålet med behandlingen bör få behandlas. Om uppgifter om en person som det inte finns någon misstanke mot behandlas bör uppgiften förses med en anteck- ning om detta förhållande. Det följer av de allmänna bestämmelser som vi föreslår att person- uppgifter endast får samlas in för särskilt angivna och berättigade ändamål och att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Ytterligare bestämmelser om vilka personuppgifter som får behandlas bör enligt vår mening inte införas. De aktuella bestämmelserna omfattar både personer som är miss- tänkta för brottslighet och personer som inte är det. På något sätt bör man försöka skilja dessa grupper åt. Vi anser att uppgifter om personer som själva inte är misstänkta för brottslighet bör förses med en anteckning om att de inte är misstänkta. På så sätt kan det integritets- 206 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 intrång som behandlingen innebär för en icke misstänkt person begränsas utan att ändamålet med behandlingen går förlorat. En sådan bestämmelse har också en motsvarighet i gällande regler om kriminal- underrättelseverksamhet, se 14 § andra stycket polisdatalagen. 10.4.4Upplysningar om uppgiftslämnarens trovärdighet Vid aktuell behandling av personuppgifter bör uppgifterna förses med upplysningar om uppgiftslämnarens trovärdighet och uppgifter- nas riktighet i sak. I artikel 3.2 i rekommendation om användning av person- uppgifter inom polisen anges att olika kategorier av uppgifter så långt det är möjligt skall särskiljas (se avsnitt 2.2.5). Hänsyn skall därvid tas till uppgifternas riktighet och tillförlitlighet. Det är enligt rekommenda- tionen särskilt viktigt att skilja mellan uppgifter som grundas på fakta och uppgifter som grundas på åsikter eller personliga värderingar. Av kommentaren till artikel 3.2 framgår att man bör skilja på bekräftade och obekräftade uppgifter, mellan fakta och åsikter, mellan pålitlig information och information som grundas på gissningar samt mellan fall då antagandet om informationens riktighet grundar sig på konkreta skäl och fall då det inte finns sakskäl till stöd för ett sådant antagande. föreslog därför att det i polisdatalagen skulle tas in en bestämmelse om att personuppgifter som behandlas skulle förses med upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Upplysningsskyldigheten skulle enligt förslaget omfatta all behandling av personuppgifter enligt polisdata- lagen, utom i fall då upplysningarna saknade betydelse för syftet med behandlingen (SOU 1997:65 s. 207 f.). Regeringen ansåg dock att det inte var befogat att införa någon sådan bestämmelse i lagen (prop. 1997/98:97 s. 105). Därvid anförde regeringen att det genom övriga bestämmelser i lagstiftningen förelåg en tillräcklig uppdelning. Bl.a. hänvisade regeringen till de särskilda reglerna om kriminalunderrättelseverksamhet och kriminalunder- rättelseregister. I vårt förslag till ny polisdatalag har bestämmelserna om kriminal- underrättelseverksamhet utgått. Mot den bakgrunden anser vi att det i en ny lag finns anledning att beträffande aktuell behandling av person- uppgifter införa en sådan bestämmelse som föreslog. Till skillnad från förslag innebär vårt SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 207 förslag bara en upplysningsplikt beträffande en begränsad del av de uppgifter som behandlas enligt lagen. Sammantaget finner vi alltså att personuppgifter som behandlas på här aktuellt sätt bör förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Den nya bestämmelsen bör till skillnad från förslag inte innehålla undantaget om att upplysningar inte behöver lämnas om det saknar betydelse för syftet med behandlingen. undantag får ses mot bakgrund av att upplysningsskyldigheten enligt den utred- ningens förslag till skillnad från vårt förslag skulle omfatta även uppgifter i förundersökningar (jfr SOU 1997:65 s. 309). 10.4.5Behandling av personuppgifter för övervakning av personer som kan antas komma att begå brott Aktuell behandling av personuppgifter bör få ske för att underlätta övervakning av personer som kan antas komma att begå brott, men bör endast få avse dömda personer som antingen är allvarligt kriminellt belastade eller som kan antas vara farliga för annans säkerhet. föreslog att det i polisdatalagen skulle införas bestämmelser om register som förs för övervakning av personer (SOU 1997:65 s. 230 ff.). Enligt förslaget skulle sådana register få innehålla endast uppgifter om dömda personer som antingen var allvarligt kriminellt belastade eller som kunde antas vara farliga för annans personliga säkerhet. Enligt förslaget skulle personuppgifterna gallras senast när samtliga uppgifter om personen gallrats ur belastnings- registret. Regeringen fann emellertid att några särskilda bestämmelser om register som förs för övervakning av personer inte borde införas (prop. 1997/98:97 s. 113 f). Därvid anförde regeringen att det var svårt att se något behov av ett sådant register och hänvisade till registreringen i belastningsregistret och till att kriterierna för registrering i kriminal- underrättelseregister sannolikt var uppfyllda. Regeringen anförde också som skäl mot registret att det var svårt att fastställa vilka kriterier som skulle gälla för att en person skulle anses vara så allvarligt kriminellt belastad eller farlig för annans säkerhet att det är motiverat att registrera honom eller henne. 208 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 Ett arbetssätt som innefattar övervakning av personer som visat sig vara särskilt farliga för andra personers säkerhet måste under vissa förutsättningar anses vara befogat. Det kan utgöra en betydelsefull del i polisens samlade insatser för att förhindra och förebygga brott. Auto- matiserad behandling av personuppgifter för det angivna syftet innebär naturligtvis ett betydande intrång i de personers integritet, vars personuppgifter behandlas. Detta intrång måste dock ställas mot det integritetsintrång som det innebär för människor att bli utsatta för brott.