sou · GPB392 · 2002-01-01 00:00:00 — Inom finns som nämnts Nationella sambands- kontoret som har till uppgift att samordna den internationella operativa verksamhet som ankommer på i dess egenskap av svensk huvudman för , Europol, Schengens datasystem, svenska och nordiska sambandsmän, samt andra framtida internationella samarbetsformer. Av en redogörelse från över antalet ärenden framgår att antalet inkomna meddelanden från uppgått Informationsutbytet med Europol 131 till 44 781, att antalet nyregistrerade ärenden uppgått till 9 728, att antalet anteckningar i DocPol-systemets A-diarium uppgått 5 272, att antalet operativa ärenden hos Europol uppgått till 269 samt att antalet utväxlade meddelanden med Europol uppgått till 1 318. Inom sam- bandskontoret har man uppskattat att antalet Schengenärenden kommer att uppgå till omkring 12 000. Med en sådan volym på informationsmängden är enligt polisen automatiserad behandling nödvändig för att skall kunna uppfylla sina internationella åtaganden i t.ex. Europol, och Schengen samt även för att polisens egen verksamhet skall kunna kontrolleras. Om en enskild begär att Datainspektionen skall undersöka om uppgifter om honom lämnats till Europol och om uppgifterna i så fall är korrekta, måste det vara möjligt att snabbt och fullständigt utföra kontrollen. En sådan kontroll är inte möjlig att göra utan hjälp av modern informationsteknik. 5.8.2Förhandskontroll av systemet DocPol anmälde enligt 2 § polisdata- förordningen till Datainspektionen för förhandskontroll att styrelsen avsåg att bygga ut systemet DocPol och att automatiserad behandling av personuppgifter som ger upplysning om att en person är dömd eller misstänkt för brott skulle komma att ingå i systemet. Systemet DocPol, som är Interpolsektions dokument- och ärendehanteringssystem, består av två personregister. Registren som förs med stöd av datalagen har benämningen Allmänna registret och . Av meddelat tillstånd för Allmänna registret framgår att ändamålet med registret är diarieföring av ärenden vid Interpolsektionen och att registret endast innehåller i 15 kap 2 § sekretesslagen föreskrivna uppgifter. Uppgifterna enligt nämnda lag- rum utgörs av en handlings inkomstdatum och diarienummer, i före- kommande fall från vem handlingen har kommit in eller till vem hand- lingen expedierats och slutligen i korthet vad handlingen rör. Ända- målet med är enligt meddelat tillstånd lagring av all- männa handlingar och återsökning av ärenden. Systemet DocPol består således av dels ett elektroniskt diarium, dels ett dokument- och ärendehanteringssystem. uppgav i sin anmälan följande avseende den planerade utbyggnaden av systemet DocPol. Nationella sambands- kontoret handlägger eller skall handlägga ärenden avseende , 132 Informationsutbytet med Europol Schengen, sambandsmän, . I systemet DocPol diarieförs och dokumenthanteras samtliga Interpol- ärenden och vissa ärenden avseende sambandsmän. Ärenden avseende Europol och övriga sambandsmän registreras beroende på ärendets art i A-diariet eller . Dessa rutiner är inte tillfyllest utan man behöver ett enhetligt och integrerat dokument- och ärendehanterings- system av DocPol-modell. Problemet är akut och stort men i och med Schengenstarten kommer behovet av ett system att vara enormt. Europolkonventionen uppställer höga krav på att den nationella enheten (Nationella sambandskontoret) har absolut kontroll över samtliga personuppgifter som utlämnas till Europol eller medlemsländerna oavsett om det är fråga om informationsutväxling, uppdatering av informationsregistret eller lagring i analysregistret. För att lösa ovan nämnda problem avser att bygga ut DocPol till att gälla diarieföring, registrering och elektonisk förvaring av vid Nationella sambandskontoret inkomna eller upprättade handlingar. En utbyggnad av DocPol är endast en interimistisk lösning i avvaktan på att ett helt nytt ärendehanteringssystem inrättas. Datainspektionen meddelade beslut med anledning av förhandsanmälan. I sitt beslut konstaterar att det planerade dokument- och ärendehanterings- systemet kommer att ha till ändamål att lagra och återsöka handlingar hos Nationella sambandskontoret vid samt att systemet bl.a. kommer att innehålla handlingar som hör samman med det internationella polissamarbetet. Vidare sägs i beslutet att de uppgifter som den nationella enheten förser Europol med hämtas bl.a. från automatiserade särskilda undersökningar och kriminalunder- rättelseregister samt att uppgifter från Europol också kommer att föras in i dessa undersökningar och register. Att automatiserat behandla personuppgifterna i det planerade systemet står enligt Datainspek- tionens uppfattning inte i överensstämmelse med polisdatalagens skyddsregler. För att tillgodose behov av att automatiserat behandla personuppgifter i samband med det uppgiftsutbyte som hör samman med internationellt polissamarbete i den utsträckning det är nödvändigt för verksamheten och för att av integritetsskäl sätta gränser i fråga om bl.a. ändamål, innehåll och bevarande anser Datainspek- tionen att det behövs ytterligare överväganden om författningsreglering än de som gjorts i tidigare lagstiftningsarbete. Informationsutbytet med Europol 133 I sitt beslut avskrev Datainspektionen ärendet. Inspektionen över- lämnade beslutet till regeringen för kännedom. överklagade beslut i Länsrätten i och yrkade därvid att det inte skulle vidtas någon åtgärd med anledning av anmälan om förhands- kontroll enligt 2 § polisdataförordningen i fråga om utbyggnaden av systemet DocPol. anförde i överklagandet att bestämmelserna om behandling av personuppgifter i kriminalunder- rättelseverksamhet enligt 14–21 §§ polisdatalagen inte kunde anses tillämpliga när det gällde behandlingen av personuppgifter i det utbyggda systemet DocPol samt att den tilltänkta behandlingen kunde ske med stöd av bestämmelserna i personuppgiftslagen och i 1–13 §§ polisdatalagen. Huvudfrågan i målet var alltså om användningen av det utbyggda systemet DocPol skulle betraktas som kriminalunderrättelseverksamhet enligt definitionen i 3 § polisdatalagen. I sin dom (mål nr. 7167-00) fann länsrätten att den planerade behandlingen var att betrakta som sådan verksamhet. Eftersom behandlingen av person- uppgifter inte skulle komma att ske i en särskild undersökning eller i ett kriminalunderrättelseregister kunde behandlingen inte anses förenlig med reglerna i polisdatalagen. Med denna motivering avslog länsrätten överklagande. överklagade länsrättens dom i Kammarrätten i . I sitt beslut (mål nr. 5367-2000) fann kammarrätten att Datainspektionens beslut inte hade sådana rättsverkningar mot att det kunde anses överklag- bart. Länsrätten borde därför enligt kammarrätten inte ha tagit upp överklagandet till prövning utan avvisat det. Kammarrätten undanröjde länsrättens dom och avvisade överklagandet. 134 Informationsutbytet med Europol 5.9Konsekvenser av den nya lagstiftningen Den planerade behandlingen i DocPol får alltså anses utgöra kriminal- underrättelseverksamhet enligt definitionen av sådan verksamhet i 3 § polisdatalagen. Genom bestämmelserna i 14–21 §§ polisdatalagen är det uttömmande reglerat när och på vilket sätt automatiserad behandling av personuppgifter kriminalunderrättelseverksamhet får äga rum. Den planerade behandlingen av personuppgifter är inte av sådan beskaffenhet som anges i dessa lagrum. Konsekvensen av nämnda förhållanden är att det inte finns lagstöd för den planerade behandlingen inom systemet DocPol. Som framkommit i DocPol-ärendet försvåras informationsutbytet med Europol allvarligt av att nämnda behandling av personupp- gifter inte kan utföras. I kapitel 10 diskuterar vi frågor om en alternativ reglering till bestämmelserna i polisdatalagen om kriminalunder- rättelseverksamhet. Våra synpunkter i det kapitlet bör få betydelse för möjligheterna att utföra sådana behandlingar som planerats i DocPol. 6 En nordisk jämförelse Den svenska lagstiftningen om polisens rätt att behandla person- uppgifter automatiserat är mer restriktiv för polisen än de regleringar som gäller i de övriga nordiska länderna. Som underlag för våra överväganden har vi inhämtat upplysningar om vilka regler som gäller i , och beträffande automatiserad behandling av personuppgifter i polisens verksamhet. I det här kapitlet redovisas översiktligt vad som framkommit vid denna jämförelse. Vi inleder redovisningen med den danska författnings- regleringen. har liksom genomfört EG:s dataskyddsdirektiv. Detta har skett genom antagandet av loven om behandling av personoplysninger (personoplysningsloven). Lagen trädde i kraft . Personopgiftsloven är tillämplig även i polisens verksamhet. Lagen kompletteras av bekendtgörelser (motsvarande svenska förordningar). Av dessa bekendtgörelser bör här nämnas bekendtgörelse om sikker- hedsforanstaltninger til beskyttelse af personoplysninger, som behand- les for den offentlige forvaltning samt bekendtgörelse om behandling af personoplysninger i Det Centrale Kriminalregister (Kriminalregiste- ret). Den danska lagstiftningen har ingen motsvarighet till den svenska polisdatalagen, men i personoplysningsloven finns intagna en del sär- bestämmelser för polisen. har även tillträtt Europolkonventionen och Schengen- konventionen. 136 En nordisk jämförelse I följande avsnitt lämnas en kortfattad redovisning av innehållet i personoplysningsloven. Framställningens syfte är att peka på mer betydelsefulla skillnader jämfört med den svenska lagregleringen. Personoplysningsloven gäller vid behandling av personuppgifter, som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i ett register. Lagen är tillämplig i polisens verksamhet. Eftersom personoplysningsloven bygger på dataskyddsdirektivet har lagen ett innehåll som i stort sett stämmer överens med innehållet i den svenska personuppgiftslagen. Reglerna har i sak i stort samma innehåll beträffande definitioner, grundläggande krav på behandlingen av personuppgifter och förutsättningarna för att behandling av person- uppgifter alls skall vara tillåten. Även i fråga om förutsättningarna för att behandla känsliga person- uppgifter är reglerna likartade. Personoplysningsloven innehåller liksom personuppgiftslagen ett förbud mot att behandla känsliga personuppgifter. Det finns en rad undantag från förbudet med i huvudsak samma innebörd som undantagen i personuppgiftslagen. Ett ytterligare undantag som inte har någon motsvarighet i den svenska lagen gäller polisen. Undantaget i personoplysningsloven innebär att behandling av känsliga personuppgifter får ske om behandlingen är nödvändig för att en offentlig myndighet skall kunna utföra sina arbetsuppgifter på straffrättens område. Personoplysningsloven innehåller bestämmelser om information till registrerade. Det finns bestämmelser som föreskriver när information skall lämnas självmant och vad den därvid lämnade informationen skall omfatta. Vidare finns det bestämmelser om när information skall lämnas efter ansökan. Reglerna överensstämmer i stort sett med vad som gäller enligt 23–27 §§ personuppgiftslagen. En viktig skillnad jäm- fört med den svenska regleringen är dock att de danska reglerna om information som skall lämnas självmant till registrerade, inte gäller vid behandling av personuppgifter i polisens verksamhet på straffrättens område. En nordisk jämförelse 137 Det finns i personoplysningsloven en regel om rättelse. Den innebär att felaktiga uppgifter eller uppgifter som inte behandlats enligt lagen skall rättas på lämpligt sätt. Regeln föreskriver också en skyldighet för den personuppgiftsansvarige att i vissa fall underrätta tredje man om rättelsen. Regeln motsvarar alltså vad som gäller enligt personupp- giftslagen, men den danska bestämmelsen gäller inte i polisens verksamhet på straffrättens område. Precis som personuppgiftslagen innehåller personoplysningsloven regler om säkerheten vid behandling, om anmälan till tillsynsmyndig- heten, om ett personuppgiftombuds uppgifter, om tillsyn och om dele- gation till regeringen att i viss omfattning meddela närmare föreskrifter m.m. Det föreligger härvid för polisens del inte några större principiella skillnader jämfört med den svenska regleringen. Det saknas därför anledning att i det här sammanhanget närmare redogöra för innebörden av personoplysningslovens regler i dessa delar. Utöver personoplysningsloven finns det för polisens verksamhet i den danska lagstiftningen inga särskilda lagregler om speciella typer av behandling av personuppgifter. Det finns således t.ex. ingen motsvarig- het till den svenska regleringen i polisdatalagen om behandling av personuppgifter i kriminalunderrättelseverksamhet. Sådan behandling styrs liksom annan behandling enbart av bestämmelserna i personop- lysningsloven. Det finns dock två bekendtgörelser som förtjänar att nämnas i det här sammanhanget och som kortfattat redovisas i det följande. Bekendtgörelse om behandling av personoplysninger i Det Centrale Kriminalregister (Kriminalregisteret) Det Centrale Kriminalregister (Kriminalregisteret) är ett kombinerat belastnings- och misstankeregister. Behandlingen av personuppgifter i registret styrs av bestämmelserna i bekendtgörelse om behandling av personoplysninger i Det Centrale Kriminalregister (Kriminalregisteret). Rigspolitichefen, som under justitieministeriet utgör den centrala nivån inom den danska polisorganisationen, är personuppgiftsansvarig för registret. Kriminalregisteret fyller i stort sett samma funktion som de svenska registren belastningsregistret och misstankeregistret. Ändamålen och uppgiftsinnehållen i registren är likartade. Det saknas anledning att här närmare redovisa de regler som skall iakttas vid behandling av person- uppgifter i registret. 138 En nordisk jämförelse Bekendtgörelse om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning Bestämmelserna i personoplysningsloven kompletteras för den offent- liga förvaltningens del av Bekendtgörelse om sikkerhedsforanstalt- ninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning. Bekendtgörelsen innehåller generella säkerhets- bestämmelser som skall tillämpas vid automatiserad behandling av personuppgifter i det allmännas verksamhet. Reglerna i bekendt- görelsen motsvarar i stort vad som i gäller enligt person- uppgiftslagen och personuppgiftsförordningen om säkerheten vid behandling. har också genomfört EG:s dataskyddsdirektiv. Detta har skett genom antagandet av personuppgiftslagen (523/1999). Lagen trädde i kraft . Personuppgiftslagen är tillämplig även i polisens verksamhet. Det finns dessutom en lag med särbestämmelser för polisens verksamhet, nämligen lagen om polisens personregister (509/1995). Den lagen trädde i kraft . Lagregleringen består dessutom av straffregisterlagen (770/1993). har även tillträtt Europolkonventionen och Schengen- konventionen. I följande avsnitt lämnas en kortfattad redovisning av innehållet i personuppgiftslagen. Framställningen koncentreras till skillnader gent- emot den svenska personuppgiftslagen. Den finska personuppgiftslagen utgör alltså liksom sin svenska mot- svarighet en implementering av EG:s dataskyddsdirektiv. Detta medför att de båda lagarna väsentligen har samma innehåll. Den finska personuppgiftslagen gäller vid behandling av person- uppgifter om inte annat bestäms någon annanstans i lag. Lagen till- lämpas på automatisk behandling av personuppgifter och också på En nordisk jämförelse 139 annan behandling av personuppgifter om personuppgifterna utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant. Lagen har bestämmelser liknande de svenska om allmänna principer för behandlingen av personuppgifter, om känsliga personuppgifter och personnummer, om information till den registrerade, om säkerhet vid behandling och om befogenheter m.m. I det följande tas upp några mer betydelsefulla skillnader jämfört med den svenska personuppgiftslagen. Den finska lagen har kvar begreppet register och lagen innehåller en definition av personregister. Enligt definitionen är ett personregister en datamängd som innehåller personuppgifter och som består av anteckningar som hör samman på grund av sitt användningsändamål, och som helt eller delvis behandlas med automatisk databehandling eller har ordnats som ett kartotek, en förteckning eller på ett annat motsvarande sätt så att information om en bestämd person kan erhållas med lätthet och utan oskäliga kostnader. Motsvarigheten till begreppet personuppgiftsansvarig är i den finska lagen begreppet register- ansvarig. En registeransvarig är enligt lagens definition en eller flera personer, sammanslutningar, inrättningar eller stiftelser för vilkas bruk ett personregister inrättas och vilka har rätt att förfoga över registret eller vilka enligt lag ålagts skyldighet att föra register. Det finns i lagen ett principiellt förbud mot att behandla känsliga personuppgifter, vilket dock kompletteras av ett stort antal undantag. Ett undantag som inte har någon motsvarighet i den svenska lagen säger att förbudet mot att behandla känsliga personuppgifter inte utgör hinder för sådan behandling av uppgifter som regleras i lag eller som föranleds av en uppgift som direkt har ålagts den registeransvarige i lag. Reglerna om information till registrerade skiljer sig från reglerna i den svenska personuppgiftslagen. Det finns i den finska lagen be- stämmelser om att information skall lämnas självmant till den registrerade. Utöver de undantag som finns i den svenska lagstiftningen får information underlåtas om det är nödvändigt bl.a. för att förebygga eller utreda brott. Enskilda har också en principiell rätt att efter ansökan få information om huruvida uppgifter om dem behandlas. Denna rätt till insyn gäller dock inte bl.a. om informationen kan försvåra förebyggande eller utredning av brott. 140 En nordisk jämförelse 6.2.3Lagen om polisens personregister Lagen innehåller till att börja med bestämmelser om att vissa särskilda register skall föras. Dessa register är datasystemet för polisärenden, datasystemet för förvaltningsärenden, datasystemet för misstänkta, skyddspolisens funktionella datasystem, den centrala databasen i Schengens informationssystem och Schengens nationella informations- system. Datasystemet för polisärenden är avsett för polisens riksomfattande bruk. Det finns inom systemet delregister för brottsanmälningar, efter- lysningar, identifieringar och signalement m.m. Datasystemet över förvaltningsärenden är också avsett för polisens riksomfattande bruk. Det har delregister för vapentillstånd, pass, väktare, ordningsvakter m.m. Datasystemet för misstänkta är ett personregister som är avsett för polisens riksomfattande bruk och som förs med hjälp av automatiserad databehandling. För registret över misstänkta får inhämtas och i registret införas uppgifter som behövs för förebyggande och utredning av brott och som gäller personer som skäligen kan misstänkas begå eller ha begått ett brott på vilket kan följa fängelse eller medverka eller ha medverkat till ett brott på vilket kan följa fängelse . Skyddspolisens funktionella datasystem är som namnet anger avsett för Skyddspolisens bruk. Skyddspolisen har i stort samma uppgifter som Säkerhetspolisen har i . I datasystemet får införas uppgifter som behövs för förebyggande eller utredning av förehavanden eller brott som äventyrar rätts- och samhällsordningen eller statens säkerhet. Regleringen av Schengen-systemen motsvarar i allt väsentligt vad som i gäller enligt lagen om Schengens informationssystem. Det finns närmare bestämmelser om systemen i förordningar. Inrättande av ytterligare personregister Andra personregister än de som beskrivits får beroende på användningsändamålet inrättas för polisens riksomfattande bruk, för en polisenhets bruk eller för att användas av en person som hör till polis- personalen eller av en arbetsgrupp som består av flera sådana personer. Då polisen beslutar att inrätta ett register skall registrets ändamål alltid anges. En nordisk jämförelse 141 Lagens huvudsakliga innehåll i övrigt I lagen finns särskilda bestämmelser om registrering av uppgifter som inte hänför sig till ett visst uppdrag. Information som har erhållits i samband med ett visst uppdrag som ankommer på polisen och som behövs föra att polisen skall kunna fullgöra sina uppgifter, men som inte hänför sig till uppdraget i fråga, får endast inhämtas för och regist- reras i datasystemet över misstänkta eller skyddspolisens system eller ett sådant register som är avsett för en persons eller en arbetsgrupps bruk. Det finns också särskilda regler om registrering av känsliga person- uppgifter. Uppgifter om en brottslig gärning eller straff eller annan påföljd för brott får registeras under förutsättning att de behövs med tanke på det ändamål som registret används för. Beträffande vissa andra kategorier av uppgifter är villkoren strängare. Uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuella läggning får registreras endast om det är nödvändigt för att ett visst uppdrag skall kunna fullgöras eller om det är nödvändigt för tryggande av den registrerades egen säkerhet eller polisens skydd i arbetet. Uppgifter som erhållits genom teknisk avlyssning och som inte hänför sig till ett brott eller om den hänför sig till något annat brott än det för vars förhindrande eller avbrytande avlyssningen får ske, får inte införas i ett personregister, såvida inte uppgiften gäller ett brott för vars förhindrande eller avbrytande avlyssning får ske. Särskilda bestämmel- ser om registrering av uppgifter som erhålls genom teleavlyssning eller hemlig teknisk teleavlyssning finns i tvångsmedelslagen. Förutom de bestämmelser som nämnts ovan finns i lagen om polisens personregister dessutom regler om polisens rätt till uppgifter ur vissa register, om andra myndigheters registrering av uppgifter i polisregistren genom direkt anslutning, om den registrerades rätt till insyn samt om utlämnande och användning av uppgifter. Straffregisterlagen säger att det vid justitieministeriet förs ett straff- register i enlighet med de regler som finns i lagen. I straffregistret behandlas sådana uppgifter som behövs för bestämmande och verkställighet av straffrättsliga påföljder. Ur straffregistret får uppgifter även lämnas ut för att användas vid en utredning och bedömning av en persons tillförlitlighet och personliga lämplighet. 142 En nordisk jämförelse innehållet i straffregistret motsvarar i stort vad som gäller i beträffande belastningsregistret. I har antagits en lag om behandling av personuppgifter, nämligen loven om behandling av personopplysninger (personopplys- ningsloven). Lagen är tillämplig även i polisens verksamhet. Den trädde i kraft . Det finns dessutom en lag med särbestämmelser som har betydelse för polisens verksamhet, nämligen straffregistreringsloven. Vidare har tillträtt Schengen- konventionen och har därför även en lag om Schengens informations- system. En statlig utredning håller på med en översyn av lagregleringen om polisens rätt att behandla personuppgifter automati- serat. En anledning till översynen är att straffregisterloven trädde i kraft och därför inte är anpassad till den nya regleringen i personopplysningsloven. I följande avsnitt lämnas en kortfattad redovisning av innehållet i personopplysningsloven. Framställningen koncentreras till skillnader gentemot den svenska personuppgiftslagen. Regleringen i personopplysningsloven överensstämmer i stort med bestämmelserna i och följaktligen då även med bestämmelserna i den svenska personuppgiftslagen. Personopplysningsloven gäller vid behandling av personuppgifter om inte annat bestäms någon annanstans i lag.