sou · GPB392 · 2002-01-01 00:00:00 — Bestämmelserna i 30–32 §§ personuppgiftslagen om säkerheten vid behandling bör gälla också för polisen. I fråga om Datainspektionens rätt att besluta om säkerhetsåtgärder bör bestämmelserna dock med- delas i förordning och inte i lag. Skälen härför tar vi upp i anslutning till att vi diskuterar Datainspektionens befogenheter (avsnitt 9.16). Grundläggande bestämmelser om behandling av personuppgifter 187 9.11.2Direkt åtkomst till uppgifter Med direktåtkomst inom en myndighetsorganisation avses att en person inom myndigheten via en direktuppkopplad terminal kan gå in och söka uppgifter från den egna myndigheten eller från annan myndighet inom myndighetsorganisationen (jfr SOU 1999:105 s. 259 ff.). Från integri- tetssynpunkt är det angeläget att åtkomsten inte är vidare än nödvändigt. Detta gäller i synnerhet vid direkt åtkomst där det, till skillnad från annan användning, saknas möjlighet för den personuppgiftsansvarige att kontrollera nyttjandet. Endast de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna bör därför ha direkt åtkomst till dem. Inom polisen sker en omfattande behandling av personuppgifter med ett ofta mycket integritetskänsligt innehåll. Det är därför särskilt angeläget att uppgifterna som behandlas inom polisen begränsas till en snäv personkrets. Detta bör uttryckligt framgå i den nya lagen. I 7 och 9 §§ polisdataförordningen finns bestämmelser som föreskriver att direkt åtkomst till uppgifter i särskilda undersökningar och i kriminal- underrättelseregister skall vara förbehållen de personer inom polisen som på grund av sina arbetsuppgifter måste ha tillgång till information om uppgifter i de särskilda undersökningarna respektive i kriminal- underrättelseregistren. Enligt vår mening bör det i den nya lagen finnas en motsvarande bestämmelse som omfattar samtliga personuppgifter som behandlas inom polisen. Det kan i sammanhanget nämnas att en reglering i författning av tillhandahållande av personuppgifter avser det sätt på vilket uppgifterna får tillhandahållas och inte om uppgifterna får lämnas ut. En första förutsättning för att någon skall ha rätt att ta del av personuppgifter inom polisen är således att uppgifterna inte är sekretessbelagda i förhållande till den som vill ta del av dem. En regel om direkt åtkomst bryter alltså inte reglerna om sekretess. Om ett utlämnande av personuppgifter till en annan myndighet kan ske, blir det aktuellt för den personuppgiftsansvarige att med beaktande av lagens bestämmelser om direktåtkomst och utlämnande på medium för automatiserad behandling ta ställning till på vilket sätt uppgifterna skall tillhandahållas. I vårt förslag till ny polisdataförordning föreslår vi vissa regler om direkt åtkomst till uppgifter ur det allmänna spaningsregistret och ur register med DNA-analyser i brottmål (se avsnitt 11.3.5 och 12.2.1). 188 Grundläggande bestämmelser om behandling av personuppgifter Bestämmelsen i 8 § personuppgiftslagen om förhållandet till offent- lighetsprincipen bör liksom gälla för polisen. I 2 kap. tryckfrihetsförordningen finns de grundläggande bestämmel- serna om offentlighetsprincipen. I 1 § sägs sålunda att varje svensk medborgare har rätt att ta del av allmänna handlingar. Denna rätt får enligt 2 § begränsas endast om det är påkallat av vissa uppräknade speciella intressen, bl.a. intresset av att förebygga eller beivra brott och skyddet för enskilds personliga eller ekonomiska förhållanden. Begränsningar i rätten att ta del av allmänna handlingar skall noga anges i en särskild lag eller annan lag som den särskilda lagen hänvisar till. Den särskilda lag som åsyftas är sekretesslagen. I 8 § personuppgiftslagen finns en bestämmelse om förhållandet till offentlighetsprincipen. Det sägs i första stycket att bestämmelserna i personuppgiftslagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. I lagrummets andra stycke sägs att bestämmelserna i personuppgiftslagen inte heller hindrar att en myn- dighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsens förhållande till regeln om gallring i 9 § första stycket personuppgiftslagen har berörts i avsnitt 9.2.4. Offentlighetsprincipen som den regleras i tryckfrihetsförordningen gäller naturligtvis även för polisen. Vi anser dock att det ligger ett värde i att den nya lagen innehåller en upplysning som tydligt anger att offentlighetsprincipen gäller även i polisens verksamhet. En be- stämmelse med samma sakliga innehåll som i 8 § personuppgiftslagen bör därför ingå i den nya polisdatalagen. Bestämmelserna i 6–8 §§ polisdatalagen och 15–16 §§ polisdata- förordningen om utlämnande av uppgifter bör vara kvar även i en ny lag respektive ny förordning om polisens verksamhet. Begränsningar i rätten att ta del av allmänna handlingar finns som nämnts i sekretesslagen. Inom polisens verksamhet hanteras stora mängder information som omfattas av sekretess. Grundläggande bestämmelser om behandling av personuppgifter 189 dock bestämmelser som innebär att uppgifter utan hinder av sekre- tessen får lämnas ut enligt vad som föreskrivs i polisdatalagen. Bestämmelserna härom finns i 5 kap. 7 §, 7 kap. 41 § och 9 kap. 17 § sekretesslagen. Polisdatalagen innehåller i anslutning härtill regler som innebär att uppgifter utan sekretessprövning får lämnas ut till den myndighet som ansvarar för rättsstatistiken och till en utländsk myndighet eller en mellanfolklig organisation om detta följer av en internationell överens- kommelse (6–7 §§). Dessutom föreskrivs i 8 § polisdatalagen att regeringen får meddela föreskrifter om att uppgifter får lämnas ut även i andra fall än som sägs i 6 och 7 §§. Dessa bestämmelser bör finnas med även i den nya lagen. Med anledning härav måste också hänvis- ningarna i sekretesslagen ändras till att avse den nya lagen. Med stöd av bemyndigandet i 8 § polisdatalagen har regeringen i 15–16 §§ polisdataförordningen meddelat vissa regler om utlämnande av uppgifter. Dessa regler bör ingå i en ny polisdataförordning. Bestämmelserna i 36–41 §§ personuppgiftslagen och 3–7 §§ person- uppgiftsförordningen om anmälan till tillsynsmyndigheten och personuppgiftsombudets uppgifter, i 13 § personuppgiftsförord- ningen om bemyndiganden, i 2 § polisdataförordningen om förhandskontroll, och i 14 § polisdataförordningen om under- rättelseskyldighet bör gälla även i fortsättningen för polisen. Om den personuppgiftsansvarige har utsett ett personuppgifts- ombud och anmälan därför inte behöver göras, bör anmälan i stället göras till personuppgiftsombudet. En ny lag för polisen bör innehålla en bestämmelse härom. Enligt 36 § personuppgiftslagen har den personuppgiftsansvarige en principiell skyldighet att anmäla alla helt eller delvis automatiserade behandlingar till tillsynsmyndigheten, alltså Datainspektionen. Den personuppgiftsansvarige har också möjlighet att tillsätta ett särskilt personuppgiftsombud. När en anmälan om att ett sådant ombud tillsatts har gjorts till Datainspektionen, behöver anmälningar om behandlingar enligt 37 § personuppgiftslagen inte längre göras. Med stöd av ett bemyndigande i tredje stycket av nämnda lagrum har regeringen dess- 190 Grundläggande bestämmelser om behandling av personuppgifter utom i 3–6 §§ personuppgiftsförordningen meddelat vissa ytterligare undantag från anmälningsskyldigheten. Undantagen gäller alltså även för det fall att personuppgiftsombud inte tillsatts. Undantagen före- skriver bl.a. att anmälningsskyldigheten inte gäller behandling i löpan- de text. Vi anser att de regler som vi redogjort för bör gälla även på polisområdet. Om den personuppgiftsansvarige har utsett ett personuppgiftsombud och anmälan till Datainspektionen därför inte behöver göras, skall anmälan i stället göras till personuppgiftsombudet. Enligt förarbetena till polisdatalagen är detta tanken med den nuvarande regleringen (prop. 1997/98:97 s. 56). Skyldigheten att i den angivna situationen göra anmälan till personuppgiftsombudet bör dock enligt vår mening framgå direkt av lagtexten i den nya lagen. I 41 § personuppgiftslagen finns ett bemyndigande till regeringen att meddela föreskrifter om att sådana automatiserade behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall förhandsanmälas till tillsynsmyndig- heten. Regeringen har i 2 § polisdataförordningen meddelat bestäm- melser om förhandskontroll. Enligt den paragrafen skall automatiserad behandling av personuppgifter som ger upplysning om att en person är dömd eller misstänkt för brott med vissa angivna undantag anmälas för förhandskontroll till Datainspektionen i förväg. De angivna bestämmelserna i 41 § personuppgiftslagen och i 2 § polisdataförordningen bör gälla för polisen även i fortsättningen. Polisdataförordningen innehåller också bestämmelser som innebär att Justitiekanslern och en domstol som förordnar om beslag på skrift på vilken tryckfrihetsförordningen skall tillämpas eller på en film eller annan upptagning av ljud eller bilder på vilken yttrandefrihetsgrund- lagen skall tillämpas skall underrätta om beslutet (14 §). I 13 § personuppgiftsförordningen bemyndigas Datainspektionen att i fråga om automatiserad behandling av personuppgifter meddela när- mare föreskrifter i vissa ämnen. Vi anser att bestämmelserna i 14 § polisdataförordningen och 13 § personuppgiftsförordningen bör gälla också i fortsättningen och att de därför bör finnas med i en ny polisdataförordning. Grundläggande bestämmelser om behandling av personuppgifter 191 I 38–40 §§ finns bestämmelser om personuppgiftsombudets uppgifter. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för denne. Personuppgiftsombudet skall dessutom föra en förteckning över de behandlingar som utförs av den personuppgifts- ansvarige och som omfattas av anmälningsskyldighet till tillsyns- myndigheten eller till personuppgiftsombudet. Vidare skall personupp- giftsombudet hjälpa enskilda att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofull- ständiga. Polisdatalagen innehåller inga särbestämmelser om personuppgifts- ombudets uppgifter. De angivna bestämmelserna gäller därför på polis- området. Enligt vår mening saknas det anledning att ändra reglerna om personuppgiftsombudets uppgifter. 9.15Upplysningar till allmänheten om behandlingar som inte anmälts Bestämmelsen i 42 § personuppgiftslagen om upplysningar till all- mänheten om behandlingar som inte anmälts bör gälla för polisen. I 42 § personuppgiftslagen finns en bestämmelse som föreskriver att den personuppgiftsansvarige är skyldig att till var och en som begär det lämna upplysningar om behandlingar av personuppgifter som inte anmälts till tillsynsmyndigheten. Den personuppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Polisdatalagen innehåller ingen särbestämmelse i förhållande till 42 § personuppgiftslagen. Vi anser att bestämmelsen liksom bör gälla på polisområdet. Bestämmelserna i 43–47 §§ personuppgiftslagen och i 2 § person- uppgiftsförordningen bör gälla på polisområdet. Bestämmelserna bör dock meddelas i förordning. 192 Grundläggande bestämmelser om behandling av personuppgifter Personuppgiftslagen innehåller vissa bestämmelser om tillsynsmyndig- hetens befogenheter (se 32 och 43–47 §§). kan bl.a. meddela beslut om skyddsåtgärder i enskilda fall. Tillsyns- myndigheten har också vissa möjligheter att förelägga vite. Enligt 2 § personuppgiftsförordningen är Datainspektionen tillsynsmyndighet enligt personuppgiftslagen. Polisdatalagen innehåller inga särskilda bestämmelser om tillsyns- myndighetens befogenheter och bestämmelserna i personuppgiftslagen gäller därför även för polisen. Vi anser att det inte finns skäl att ändra det förhållandet. Vårt förslag till ny lag för polisens verksamhet avser till skillnad från personuppgiftslagen bara polisens verksamhet. Mot den bakgrun- den anser vi att det är tillräckligt att bestämmelserna om Datainspek- tionens befogenheter meddelas i förordning. Det saknas därvid anledning att i författningstexten tala om tillsynsmyndigheten utan bestämmelserna bör avse Datainspektionen. Det kan här inflikas att även tillsynsverksamhet regleras i förordning, nämligen i förordningen (1996:730) med instruktion för . Bestämmelserna i 48 § personuppgiftslagen och i 9 § polisdatalagen om skadestånd bör gälla för polisen också i fortsättningen. Skade- ståndsregeln bör dock avse enskilda och inte registrerade. Personuppgiftslagen innehåller en bestämmelse som säger att den per- sonuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat (48 §). Enligt andra stycket av lagrummet kan ersättningsskyldigheten i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I 9 § andra stycket polisdatalagen finns en bestämmelse som innebär att regeln om jämkning inte gäller vid behandling av personuppgifter enligt konventionen om tillämpning av av . Vi finner inte anledning att införa några ändrade bestämmelser för polisen om skadestånd jämfört med vad som gäller . Liksom när det gäller bestämmelserna om information och om rättelse bör reglerna dock avse enskilda och inte registrerade. Grundläggande bestämmelser om behandling av personuppgifter 193 Någon straffbestämmelse motsvarande 49 § personuppgiftslagen behövs inte i den nya lagen. I 49 § personuppgiftslagen finns en bestämmelse om straff för vissa överträdelser av personuppgiftslagen. Lagarna om belastningsregister, om misstankeregister och om Schengens informationssystem innehåller inga straffbestämmelser. Enligt regeringen torde det inte bli aktuellt att tillämpa straffbestämmelsen i personuppgiftslagen mot polisen (prop. 1997/98:97 s. 109). Den som uppsåtligen eller av oaktsamhet gör sig skyldig till överträdelser av bestämmelserna i den nya lagen kan ådra sig ansvar för tjänstefel enligt 20 kap. 1 § . Vi bedömer att någon straffbestämmelse motsvarande 49 § personuppgiftslagen inte behövs för polisens del. Bestämmelserna i 51 § personuppgiftslagen om överklagande bör i sak gälla för polisen också i fortsättningen. Dessutom bör det i en ny lag föreskrivas att en myndighets beslut om rättelse och om information som skall lämnas efter ansökan skall överklagas hos kammarrätten. I 51 § personuppgiftslagen finns bestämmelser om överklagande samt en bestämmelse enligt vilken tillsynsmyndigheten, dvs. Datainspek- tionen, kan bestämma att dess beslut skall gälla , dvs. utan hinder av att det överklagas. Första stycket i lagrummet innebär att Datainspektionens beslut enligt personuppgiftslagen får överklagas om annat än föreskrifter till länsrätt. Med föreskrifter avses generella föreskrifter, vilket innebär att tillsynsmyndighetens normgivningsbeslut inte omfattas av denna bestämmelse om överklagande till länsrätt. Vi finner inte anledning att ändra vad som enligt 51 § personupp- giftslagen gäller för polisen . Regeln i den nya lagen måste dock anpassas till att reglerna om Datainspektionens befogenheter i vårt förslag meddelas genom förordning. När det gäller enskildas rätt att överklaga beslut om behandling av personuppgifter gäller de allmänna bestämmelserna om överklagande i förvaltningslagen (1986:223). Enligt 22 § förvaltningslagen får ett beslut överklagas av den som beslutet angår, om det gått honom eller 194 Grundläggande bestämmelser om behandling av personuppgifter henne emot och beslutet kan överklagas. För att ha rätt att överklaga ett beslut krävs det således bl.a. saklegitimation hos klaganden, dvs. att han eller hon har ett sådant intresse i saken som berättigar honom eller henne att överklaga. Vem som har klagorätt och vad som krävs för att ett beslut skall sägas ha gått någon emot får avgöras med hänsyn till omständigheterna i det enskilda fallet. Om klagorätt föreligger skall överklagandet enligt 22 a § förvaltningslagen göras till allmän förvalt- ningsdomstol, dvs. Beslut angående behandling av personuppgifter som direkt berör den enskilde kan alltså överklagas. En polismyndighets beslut kan avse avslag på en ansökan om information om pågående behandlingar av personuppgifter eller en ansökan om rättelse. Överklagande bör vara möjligt i bägge fallen. Sådana beslut, särskilt beslut om avslag på ansökningar om information, innefattar ofta prövning av sekretess- frågor och har därför ett nära samband med myndigheters beslut om avslag på ansökningar om utlämnande av handlingar enligt sekretess- lagen. En polismyndighets beslut att avslå en ansökan om utlämning av handling överklagas enligt 15 kap. 7 § första stycket sekretesslagen till kammarrätten. Det är därför naturligt att även beslut om rättelse och om information som skall lämnas efter ansökan överklagas till kammar- rätten och inte till länsrätten. Vi finner att en regel härom bör införas i den nya lagen. Enligt 10 § lagen (2001:454) om behandling av person- uppgifter inom skall visserligen beslut om information och rättelse enligt den lagen överklagas till länsrätten. Med hänsyn till vad vi anfört om det nära sambandet mellan frågor om sekretess och om information anser vi trots detta att aktuella beslut bör över- klagas till kammarrätten. Eventuella övriga beslut som berör enskilda och som därför ger rätt att överklaga bör enligt regeln i 22 a § förvaltningslagen överklagas till länsrätten. 10Behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot 10.1En författningsreglering som ger polisen möjlighet att arbeta brottsförebyggande Vid utformningen av en lag om behandling av personuppgifter i polisens verksamhet måste beaktas att polisens arbete skall vara inriktat främst på brottsförebyggande verksamhet. I avsnitt 4.2 har vi belyst den nya inriktningen av polisens verksamhet, vilken i stort går ut på att polisen skall arbeta brottsförebyggande. Regeringen har uttalat att det brottsförebyggande arbetet skall breddas och fördjupas samt att arbetet för att öka kunskapen om brottsförebyggande åtgärder skall fortsätta. Mot denna bakgrund är det nödvändigt att en reglering av polisens rätt att behandla person- uppgifter automatiserat ger polisen möjligheter att arbeta brottsföre- byggande. måste lagregleringen naturligtvis ta hänsyn till intresset av skydd för den enskildes personliga integritet. Det kan i detta sammanhang också sägas att all den brottsbekämpan- de verksamhet som sker i andra former än inom ramen för förundersök- ningar inte självklart kan beskrivas som brottsförebyggande. Inom polisen talar man t.ex. även om brottsavslöjande verksamhet och om brottsupptäckande verksamhet. Även andra begrepp förekommer. Det föreligger dock ingen klar skillnad mellan de olika begreppen, utan verksamheterna som avses sammanfaller helt eller delvis. Gemensamt för verksamheterna är dock att de inte är inriktade på sådant utred- ningsarbete som bedrivs i en förundersökning, dvs. utredning av en speciell händelse eller gärning som utgör brott. 196 Enskilda personer som det inte finns någon misstanke om brott mot SOU 2001:92 Som framgått i avsnitt 4.2 krävs det för ett framgångsrikt brotts- förebyggande arbete att polisen får rätt att i viss mån behandla uppgifter om personer som inte är misstänkta för att ha begått något konkret brott, men väl för att utöva brottslig verksamhet. Här bör framhållas skillnaden mellan brott och brottslig verksamhet. Med misstanke om brott avses en misstanke om att någon begått en specifik och individualiserad gärning som utgör brott, inte bara en misstanke om att vederbörande utövat eller utövar brottslig verksamhet som inte kunnat preciseras till en viss gärning. När vi i vårt förslag till ny polisdatalag talar om brott avser vi alltid konkreta brott och inte brottslig verksamhet. Konkret brott är det begrepp som används när man vill betona skillnaden mellan brott och brottslig verksamhet. Språkbruket överensstämmer också med det som används i lagstift- ningen i övrigt. Ett exempel är bestämmelsen i 23 kap 1 § rättegångs- balken, vilken innebär att förundersökning skall inledas om det finns anledning att anta att ett brott (dvs. konkret brott) har begåtts. Det ligger i sakens natur att en brottsförebyggande arbetsmetod innebär ett ökat intrång i den enskildes personliga integritet i förhållande till ett reaktivt arbetssätt. Bristen på samband med ett konkret brott kan leda till en vidlyftig registrering av personuppgifter. I polisdatalagen utgör reglerna om kriminalunderrättelseverksamhet och kriminalunderrättelseregister resultatet av en avvägning mellan intressena av effektivitet i brottsbekämpningen och av skydd för den enskildes personliga integritet. Närmast diskuterar vi reglerna härom. Begreppet kriminalunderrättelseverksamhet är inte definierat i någon annan lag än polisdatalagen. I delbetänkande Kriminalunderrättelseregister, DNA-register (SOU 1996:35) behandlas begreppet kriminalunderrättelseverksamhet ingående, se s. 35 ff. i betänkandet. Utredningen konstaterar att denna verksamhet har behandlats i olika sammanhang och att olika aspekter på verksamheten därvid lyfts fram och getts särskilda beteckningar. Sammanfattningsvis sägs i betänkandet att underrättelseverksamhet bedrivs för att identifiera och karaktärsbestämma hot mot allmän ordning och säkerhet. Den kan också syfta till att ge underlag för beslut att inleda SOU 2001:92 Enskilda personer som det inte finns någon misstanke om brott mot 197 förundersökning eller att vidta åtgärder för att förebygga eller förhindra brott. Verksamheten har getts olika benämningar. Som ett samlande begrepp använder uttrycket kriminalunderrättelse- verksamhet. introducerar också termen kriminalunder- rättelseregister, som används i polisdatalagen. Denna term används av utredningen som benämning för datoriserade personregister som inte har någon anknytning till ett visst brott (anfört betänkande s. 38) föreslog en definition av begreppet under- rättelseverksamhet enligt följande. Med underrättelseverksamhet avses i denna lag polisverksamhet som syftar till att klarlägga om brottslig verksamhet har förekommit, pågår eller kan förutses och inte utgör förundersökning enligt 23 kap. . Synpunkter i propositionen till polisdatalagen 1997/98:97 s. 115 ges en beskrivning av vad som avses med begreppet kriminalunderrättelseverksamhet. Det konstateras i proposi- tionen att polisens verksamhet för att förebygga, upptäcka och beivra brott kan bedrivas inom ramen för en förundersökning enligt regler, men att den också kan utgöra verksamhet som faller utanför en förundersökning. Den verksamhet som förekommer hos polisen innan förundersökning inleds brukar enligt propositionen benämnas kriminalunderrättelseverksamhet eller förspaning. Verksam- heten innebär enligt propositionen i korthet att polisen samlar in och bearbetar uppgifter om personer som kan antas ägna sig åt brottslig verksamhet utan att det finns misstanke om något konkret brott. Den i propositionen föreslagna och av antagna defini- tionen i 3 § polisdatalagen på underrättelseverksamhet lyder som följer. Med underrättelseverksamhet avses polisverksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. . Kriminalunder- rättelseverksamhet definieras i polisdatalagen som annan underrättelse- verksamhet än den som bedrivs av Säkerhetspolisen.