sou · GPB392 · 2002-01-01 00:00:00 — De generella bestämmelserna om behandling av personuppgifter som vi föreslår i det här betänkandet ger enligt vår mening ett tillräckligt skydd för den enskildes personliga integritet vid aktuell behandling av personuppgifter. I det här kapitlet redovisar vi våra överväganden i fråga om författ- ningsreglering av den behandling av personuppgifter som sker hos . En beskrivning av de databaser och ärende- hanteringssystem som förs i Säkerhetspolisens verksamhet finns i avsnitt 3.5. Vi inleder med att kortfattat presentera Säkerhetspolisens organisation och uppgifter. 13.1Säkerhetspolisens organisation och uppgifter En ändring av Säkerhetspolisens organisation bestående i en sammanslagning mellan övervägs . Våra förslag utgår från den nuvarande organisationen av Säkerhetspolisen. leder polisverksamhet för att förebygga och avslöja brott mot rikets säkerhet. leder också, även om verksamheten inte avser att förebygga eller avslöja brott mot rikets säkerhet, polisverksamhet i fråga om terrorismbekämpning, bevak- ningsarbete och säkerhetsarbete som avser den centrala statsledningen eller som har samband med statsbesök eller liknande händelser samt annat personskydd i den utsträckning bestämmer. Inom bedrivs den verksamhet som har sagts vid , jämför 7 § polislagen (1984:38) och 4 § förordningen (1989:773) med instruktion för . Säkerhetspolisen skall också fullgöra de uppgifter som Rikspolis- styrelsen har att utföra enligt säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633), svara för den beredskaps- planering som har att utföra och lämna tekniskt biträde åt polisväsendet i den utsträckning som det är lämpligt med hänsyn till verksamhetens art (jfr förordningen med instruktion för ). Säkerhetspolisens verksamhet har granskats vid upprepade tillfällen. Vi finner inte anledning att här närmare gå in på de förändringar verksamheten har genomgått. För en närmare redovisning av den historiska utvecklingen hänvisas till SOU 2000:25 s. 25 ff. Säkerhetspolisen har en självständig ställning inom , men skall informera rikspolischefen om den verksamhet som pågår. Säkerhetspolisen leds av säkerhetspolischefen, som är generaldirektör. Säkerhetspolischefen ansvarar för den löpande verksamheten vid och för de uppgifter där som i övrigt en myndighets chef har att utföra enligt verksförordningen (1995:1322). Av rikspolis- chefen avgörs dock sådana frågor på Säkerhetspolisens område som är av särskild vikt och sådana säkerhetsfrågor som också berör andra polismyndigheter. Vid finns en stab och fyra huvudenheter. Vid staben finns personal för den övergripande planeringen av Säkerhets- polisens verksamhet och personal för service åt de anställda. Vid staben finns också personal för juridiskt arbete. Varje enhet förestås av en chef. Två av huvudenheterna ansvarar för operativ verksamhet, en för administration och en för teknikfrågor. Inom finns fyra operativa verksamhetsgrenar. Dessa är säkerhetsskydd, kontraspio- nage, terrorismbekämpning och författningsskydd. /hade i uppdrag att överväga Säkerhets- polisens framtida organisation. I sitt betänkande fann kommittén att en sammanslagning av bör ske (SOU 2000:25 s. 253 ff.). Frågan om en eventuell sammanslagning bereds inom . Vi finner det inte meningsfullt att här försöka utforma regler om behandling av person- uppgifter som utgår från någon annan organisationsmodell än den som gäller. Våra förslag i detta betänkande bygger därför på Säkerhets- polisens organisation så som den ser ut . En viktig del i granskningen av Säkerhetspolisens verksamhet utförs av . Enligt 1 § förordningen (1996:730) med instruktion för har nämnden till uppgift bl.a. att granska Säker- hetspolisens behandling av uppgifter enligt polisdatalagen, särskilt med avseende på 5 § polisdatalagen som handlar om behandling av känsliga personuppgifter. I 5 § stadgas som nämnts tidigare att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuell läggning (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund får enligt lagrummet uppgifterna komplette- ras med sådana uppgifter som angetts, om det är oundgängligen nödvändigt för syftet med behandlingen. Vi har ovan föreslagit att en bestämmelse med samma innehåll införs i den nya lagen (se avsnitt 9.5). konstaterade i sin verksamhetsberättelse för att det inte fanns någon anledning till anmärkningar mot Säker- hetspolisens sätt att sköta personuppgiftsbehandlingen. I verksamhetsberättelsen för hänvisade till en skrivelse benämnd Ang. Registernämndens granskning av Säker- hetspolisens behandling av uppgifter enligt polisdatalagen. Skrivelsen överlämnades till justitieministern . Regeringen besluta- de att överlämna skrivelsen till utredningen. Skrivelsen är bifogad i bilaga 2 till betänkandet. Nämnden framförde i skrivelsen synpunkter på Säkerhetspolisens rutiner för tillämpning av 5 § polisdatalagen vid behandling av personuppgifter i analysdata- baserna. konstaterade att beslut om behandling av känsliga personuppgifter fattas i särskild ordning när det gäller Säkerhets- polisens centralregister. Den ordningen synes enligt nämnden princi- piellt ägnad att undvika att sådana uppgifter behandlas i strid mot vad som föreskrivs i 5 § polisdatalagen. Vidare anför nämnden att det be- träffande systemet för hemlig teleavlyssning och hemlig teleövervak- ning samt de fristående analysdatabaserna däremot inte finns någon motsvarande särskild beslutsordning. Enligt Registernämndens uppfattning uppfyller de rutiner som är förknippade med användning av fristående analysdatabaser inom de krav som personuppgiftslagen uppställer men de tillämpade arbetsrutinerna är enligt nämnden sådana att det finns anledning att utgå från att bestämmelserna i 5 § polisdatalagen kan Nämnden anför att detta delvis är en följd av den tekniska utvecklingen. Från personuppgiftslagens synpunkt anser att det heller inte finns anledning att invända mot systemet för hemlig teleavlyssning och hemlig teleövervakning men att det inom detta system finns ännu sämre möjligheter att iaktta föreskrifterna i 5 § polis- datalagen. 13.3Utformning av regler om behandling av personuppgifter i Säkerhetspolisens verksamhet 13.3.1Den nya regleringen i huvuddrag Bestämmelserna i den nya lagen om behandling av personuppgifter i Säkerhetspolisens verksamhet bör i huvudsak ha samma innebörd som . Den särskilda lagregleringen av bör inte vara kvar i den nya lagen. Särskilda författningsbestämmelser för något annat av de system som förs av Säkerhetspolisen bör inte införas. Säkerhetspolisen utgör en fast integrerad del av polisväsendet. Bestämmelser i olika författningar som reglerar polisens verksamhet gäller i huvudsak också för Säkerhetspolisen. Det är därför naturligt att den nya lag som vi här föreslår, liksom polisdatalagen, skall omfatta Säkerhetspolisen. Den europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna bör också uppmärksammas i sammanhanget. Artikel 8 i konventionen som handlar om den enskildes rätt till skydd för privatlivet har därvid betydelse. Artikeln innebär att bestämmelserna med viss tydlighet måste ange vilka personuppgifter som får antecknas, under vilka förhållanden anteckning får ske och den procedur som skall följas vid anteckning. Konventionens innehåll i relevanta delar och avgöranden i målen Amann mot och mot har redovisats ovan i avsnitt 2.2.3. Med ett par undantag som vi återkommer till nedan kommer hela den nya lag som vi här föreslår att gälla även för Säkerhetspolisen. Vi gör därför bedömningen att den reglering som vi föreslår för Säkerhetspolisen uppfyller den europeiska konventionens krav som de kommit till uttryck genom avgörande i Amann- målet och i domstolens praxis i övrigt. styrdes Säkerhetspolisens anteckningar delvis av hemliga förordningar. Dessa förordningar har numera upphävts. som polisdatalagen infördes upphävdes den absoluta sekretess som gällt för bl.a. innehållet i Säkerhetspolisens register och ersattes av sekretess med ett omvänt skaderekvisit. Sammantaget har utvecklingen gått mot en ökad öppenhet när det gäller behandling av personuppgifter i Säkerhetspolisens verksamhet. För en närmare redovisning av den tidigare regleringen hänvisas till Ds 2001:8 s. 24 f. Precis som den öppna polisen står Säkerhetspolisen under tillsyn av JO, JK, Datainspektionen, revisorer och Riksrevisions- verket. Därutöver är dock Säkerhetspolisen genom verksamhet underkastad en särskild insyn och granskning. Något organ som motsvarar finns inte beträffande den öppna polisens verksamhet. Den nuvarande regleringen i polisdatalagen innebär att behandling av personuppgifter sker enligt reglerna i personuppgiftslagen och i den allmänna delen av polisdatalagen (1–9 §§). Reglerna i polisdatalagen om behandling av uppgifter om kvarstående misstankar (10 och 11 §§) och om kriminalunderrättelseverksamhet och kriminalunderrättelse- register (14–21 §§) gäller dock inte för Säkerhetspolisen. Härutöver finns den särskilda regleringen av (32–34 §§). Vid vår översyn har vi funnit att den reglering som finns i polis- datalagen i huvudsak utgör en lämplig reglering av Säkerhetspolisens verksamhet. Av skäl som strax kommer att framgå anser vi dock att det saknas anledning att ha kvar den särskilda lagregleringen av SÄPO- registret. ovan redovisade synpunkter blir enligt vår mening tillräckligt beaktade genom förslagen om grundläggande bestämmelser för behandlingen (se avsnitt 9.2). Bestämmelserna inne- bär bl.a. att den personuppgiftsansvarige skall vidta alla rimliga åt- gärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga i förhållande till ändamålet med behandlingen. och Säkerhetspolisen har också fört diskussioner om hur de synpunkter som presenterat i sin skrivelse lämpligen skall beaktas. Vi har vid vår inventering av Säkerhetspolisens register upplysts om att det i polisdatalagen särskilt reglerade inte fyller någon operativ funktion i Säkerhetspolisens verksamhet. All person- uppgiftsbehandling av betydelse för verksamheten sker i andra system. Registret används över huvud taget inte. Det förs enbart för att uppfylla kravet i 32 § polisdatalagen om att Säkerhetspolisen skall föra ett sådant register. Eftersom det inte förekommer någon personuppgiftsbehandling av betydelse i ger reglerna om registret inte något verkligt skydd för den enskildes personliga integritet. I fall reglerna om registret avskaffas innebär det heller inte att Säkerhetspolisens rätt att behandla personuppgifter utvidgas. I sammanhanget kan inflikas att de angivna förhållandena visar på svagheten med modellen att lagreglera vissa speciella register. Lag- stiftningen måste i första hand ta sikte på viss behandling av person- uppgifter och inte vissa informationsmängder (jfr avsnitt 12.1). Sammantaget anser vi på grund av det anförda att den särskilda lagregleringen av inte bör vara kvar i en ny polisdata- lag. Inte heller finner vi anledning att särskilt lagreglera något annat av de register eller system som förs av Säkerhetspolisen. Vi fortsätter med att diskutera hur de nya bestämmelserna för Säkerhetspolisen bör vara utformade. 13.3.2Syften med behandlingen av personuppgifter Säkerhetspolisen bör få behandla personuppgifter för att underlätta –spaning i syfte att förebygga och avslöja brott mot rikets säkerhet, –spaning i syfte att bekämpa terrorism och –registerkontroll enligt säkerhetsskyddslagen. Säkerhetspolisens uppgifter består i att bedriva spaning i syfte att före- bygga och avslöja brott mot rikets säkerhet och att bedriva spaning i syfte att bekämpa terrorism. En ytterligare uppgift består i att utföra registerkontroller enligt säkerhetsskyddslagen. Den nya lagen bör innehålla en bestämmelse som anger att Säkerhetspolisen får behandla personuppgifter bara för dessa syften. Därigenom anges på ett tydligt sätt en ram för behandlingen av personuppgifter. En regel med i stort sett samma lydelse finns också beträffande i 32 § polis- datalagen. Enligt vårt lagförslag får personuppgifter samlas in bara för särskil- da, uttryckligt angivna och berättigade ändamål. Den regeln gäller naturligtvis också för Säkerhetspolisen. I många fall torde regeln med- föra att Säkerhetspolisen måste fastställa ändamål som är mer precisa än den föreslagna regeln om tillåtna syften för Säkerhetspolisens behandling av personuppgifter. 13.3.3Behandling av uppgifter om kvarstående misstankar Bestämmelserna i den nya lagen om behandling av uppgifter om kvarstående misstankar bör inte gälla för Säkerhetspolisen. Enligt 12 § polisdatalagen gäller inte den lagens bestämmelser beträffande behandling av uppgifter om kvarstående misstankar för Säkerhetspolisen. Vi har ovan föreslagit att polisdatalagens bestämmel- ser i 10 och 11 §§ av lagen oförändrade skall överföras till den nya lag som vi föreslår (se avsnitt 9.7). Som skäl för undantaget i 12 § polisdatalagen anförs i prop. 1997/98:97 s. 104 följande. har påpekat att de upp- gifter om enskilda individer som har varit föremål för förundersökning ofta blir aktuella för Säkerhetspolisen och att det därför finns ett behov av att bevara uppgifter om kvarstående misstankar i . Regeringen instämmer i att det med hänsyn till den särskilda verksamhet Säkerhetspolisen bedriver kan finnas ett berättigat intresse av att behandla sådana uppgifter. Bestämmelserna bör därför inte gälla för Säkerhetspolisen. De anförda skälen gäller enligt vår mening fortfarande. Det innebär att bestämmelserna i den nya lagen om behandling av uppgifter om kvarstående misstankar inte bör gälla för Säkerhetspolisen. 13.3.4Behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot Bestämmelserna i den nya lagen beträffande behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot, bör inte gälla för Säkerhetspolisen. Bestämmelserna i polisdatalagen om kriminalunderrättelseverksamhet och kriminalunderrättelseregister gäller inte för Säkerhetspolisen. Detta stämmer överens med förslag (SOU 1997:65 s. 243). konstaterade att verksamheten vid är inriktad mot brottslighet som till sin natur är mycket svår att upptäcka samt att verksamheten främst syftar till att skydda vårt nationella oberoende och vår territoriella suveränitet. Skyddsintressenas natur gör det enligt utredningen angeläget att Säkerhetspolisens handlingsmöjligheter inte begränsas. Register- utredningen anförde också att Säkerhetspolisen till skillnad från den öppna polisen har en lång erfarenhet av att behandla personuppgifter i underrättelseverksamhet. Utredningen ansåg därför att de begränsning- ar och särskilda regler som föreslogs i betänkandet inte bör gälla för Säkerhetspolisen. Vi anser att bestämmelserna i polisdatalagen om behandling av personuppgifter i kriminalunderrättelseverksamhet och i kriminal- underrättelseregister inte bör vara kvar i en ny polisdatalag. Nämnda bestämmelser bör enligt vår mening i stället ersättas av bestämmelser om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot (se avsnitt 10.3). Polisdatalagens regler och reglerna i vårt förslag avser dock att skydda samma typer av personuppgifter. De skäl som anförde har enligt vår mening därför bärighet även på behandling av sådana uppgifter som avses i vårt förslag. Detta leder till att bestämmelserna i den nya lagen om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot, inte bör gälla för Säkerhetspolisen. Den nya polisdatalagen bör kunna träda i kraft , då polisdatalagen (1998:622) bör upphöra att gälla. Polisdatalagen trädde i kraft . För de personregister som fördes med Datainspektionens tillstånd gäller dock bestämmelserna i datalagen enligt punkten 2 i övergångs- bestämmelserna till polisdatalagen till och med . Polisdatalagens regler om utlämnande av uppgifter i 6–8 §§ av lagen gäller dock även beträffande nämnda personregister sedan lagen trädde i kraft. Vi föreslår i det här betänkandet att en ny polisdatalag införs som ersätter den nuvarande polisdatalagen. Utgångspunkten för ikraft- trädandet av den nya lag som vi föreslår blir att lagen skall träda i kraft . Det är dock angeläget att övergångstiden till dess att den nya regleringen skall börja gälla inte blir längre än nödvändigt. Det kan inflikas att polisdatalagen enligt de ursprungliga övergångsbestämmelserna skulle gälla fullt ut redan från och inte från . Förslaget till tid- punkt för ikraftträdandet måste dock naturligtvis lämna erforderligt utrymme för lagstiftningsproceduren och för genomförandet av de nya författningarna på myndighetsnivå. Mot bakgrund av det ovan anförda bedömer vi att den nya lagen bör kunna träda i kraft , då polisdatalagen bör upphöra att gälla. De övriga nya författningar som vi föreslår bör träda i kraft som den nya polisdatalagen börjar gälla. Vi har också övervägt behovet av övergångsbestämmelser till de nya författningar som vi föreslår. Enligt vår bedömning behövs det inte några sådana bestämmelser annat än i sekretesslagen. Den nya polis- datalagen och övriga nya författningar bör alltså gälla fullt ut för ikraftträdandet. När det gäller sekretesslagen anser vi att det behövs en övergångsbestämmelse som föreskriver att äldre bestämmel- ser om sekretess fortfarande skall gälla i fråga om uppgifter som hänför sig till tiden före ikraftträdandet. Förslagen bör ge polisen bättre förutsättningar att arbeta problem- orienterat och verka brottsförebyggande. Kommittéer som tillkallats på grund av ett regeringsbeslut och som har ett utredningsuppdrag skall enligt kommittéförordningen (1998:1474) genomföra konsekvensanalyser i skilda hänseenden beträffande de förslag som framställs. Vad som sägs i förordningen om kommittéer gäller också särskilda utredare. Om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, skall en beräkning av dessa konsekvenser redo- visas i betänkandet (14 §). Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, skall dessa redovisas. När det gäller kostnadsökningar och intäkts- minskningar för staten, kommuner eller landsting, skall kommittén eller utredaren föreslå en finansiering. Om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, skall konsekvenserna också i det avseendet anges i betänkandet (15 §). Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. 15.2Konsekvenser för det brottsförebyggande arbetet En viktig utgångspunkt för oss i vårt arbete har varit att en ny lagstiftning skall ge polisen möjlighet att arbeta problemorienterat och verka brottsförebyggande. Vi bedömer också att den nya polisdatalag som vi föreslår ger polisen betydligt större möjligheter än i dessa avseenden. Som vi tidigare konstaterat (se avsnitt 10.3) har regleringen i polisdatalagen kommit att försvåra polisens arbete med att verka problemorienterat och brottsförebyggande. Den nya lagen ger polisen bättre förutsättningar att förebygga t.ex. gängbrottslighet, våld mot kvinnor och brott med rasistiska inslag. Ett exempel kan illustrera det sagda. När det gäller brott mot kvinnor anmälde i till Datainspektionen för förhandskontroll att myndigheten avsåg att inrätta ett register benämnt kvinnoregistret. Registret skulle enligt anmäl- ningen användas för att effektivt bekämpa och följa upp våld mot kvinnor. I registret skulle utredningsuppgifter om sådan brottslighet registreras. De personer som kunde komma att registreras var bl.a. målsägande, misstänkta och vittnen. Uppgifterna skulle bevaras från registreringen. Ändamålet med den anmälda behandlingen var enligt anmälan bl.a. att bekämpa brottsaktiva personer och att följa upp de personer som dömts för aktuella brott samt att utföra risk- och hotbildsbedömningar. Datainspektionen anförde emellertid i ett beslut att den planerade behandlingen av personuppgifter i kvinnoregistret inte stod i överensstämmelse med de skyddsregler som polisdatalagen föreskriver beträffande kriminalunderrättelseverksamhet. Datainspek- tionen fann därför att registret stred mot polisdatalagens regler. Genom de nya regler som vi föreslår i det här betänkandet torde det i betydligt större utsträckning än bli möjligt att inrätta system som på det ovan skisserade sättet syftar till att skydda kvinnor mot att bli utsatta för våldsbrott. Våra förslag till nya författningar innebär inte att polisen nödvändigtvis behöver förändra den befintliga registerstrukturen. Eftersom förslagen ändrar förutsättningarna för polisen att behandla personuppgifter auto- matiserat kan naturligtvis förslagen ändå få till följd att nya system inrättas som inte skulle ha kunnat införas med nuvarande lagstiftning. Kostnaderna för inrättandet av sådana system bör dock täckas av de berörda myndigheternas anslag. Vi bedömer att de förslag som vi lämnar i sig inte ger upphov till kostnader som inte ryms inom berörda myndigheters anslag. Vi finner slutligen att de framlagda förslagen i övrigt inte får några sådana konsekvenser som motiverar en särskild redovisning. Vi har i den allmänna motiveringen lämnat utförliga kommentarer och skäl till de bestämmelser i den nya polisdatalag som vi föreslår i det här betänkandet. Därför är författningskommentarerna begränsade till att i huvudsak avse hänvisningar till de avsnitt i betänkandet där respektive bestämmelse berörs. Därutöver förekommer dock även hänvisningar till sådana bestämmelser i författningar som berörd bestämmelse bygger på. Lagens syfte och tillämpningsområde Paragrafen innehåller en upplysning om syftet med lagen och har i sak samma innebörd som 1 § personuppgiftslagen. Skälen för bestämmel- sen redovisas i avsnitt 8.4.1. Paragrafen anger den polisverksamhet som lagen skall tillämpas på. Ordalydelsen av lagrummet stämmer överens med 1 § första och andra styckena polisdatalagen. Skälen för bestämmelsen tas upp i avsnitt 8.4.2. Paragrafens första stycke anger vissa fall då lagen inte gäller. Första stycket överensstämmer ordagrant med 1 § tredje stycket polisdata- lagen. Andra och tredje styckena av paragrafen talar om i vilken utsträck- ning lagen skall tillämpas på personuppgifter i form av bilder eller ljud. Skälen för bestämmelsen redovisas i avsnitt 8.5. Paragrafen innehåller en upplysning om att bestämmelserna i person- uppgiftslagen gäller vid sådan behandling av personuppgifter i polisens verksamhet som inte avses i 2 eller 3 §. Bestämmelsen berörs i avsnitt 8.4.2. Av bestämmelsen i paragrafen framgår att vissa bestämmelser endast gäller vid automatiserad behandling av personuppgifter. I övrigt gäller lagen även behandling. Bestämmelsen har i sak samma inne- håll som 5 § personuppgiftslagen och 2 § polisdatalagen. Bestämmel- sen berörs i avsnitt 8.3. I paragrafen definieras vissa begrepp som används i lagen. Definitionen av DNA-analys motsvarar innehållet i 3 § polisdatalagen. Övriga definitioner har samma betydelse som i 3 § personuppgiftslagen. Bestämmelsen berörs i avsnitt 9.1. Grundläggande principer vid behandling av personuppgifter Grundläggande krav på behandlingen av personuppgifter I paragrafen läggs fast vissa grundläggande krav på behandling av personuppgifter, vilka den personuppgiftsansvarige måste iaktta. Bestämmelsen motsvarar i huvudsak 9 § första stycket personuppgifts- lagen och 13 § första stycket polisdatalagen. Reglerna i paragrafen kommenteras i avsnitt 9.2.