sou · GPB392 · 2002-01-01 00:00:00 — Till statsrådet och chefen för Regeringen beslutade att tillsätta en särskild utredare med uppdrag att följa genomförandet av den nya polisregister- lagstiftningen. Till särskild utredare förordnades regeringsrådet fr.o.m. . Som experter förordnades fr.o.m. den biträdande chefsjuristen , polismästaren , hovrättsassessorn , verksjuristen och tillsynsdirektören . entledigades från sitt uppdrag fr.o.m. och fr.o.m. förordnades numera rättschefen som expert. Fr.o.m. entledigades från sitt uppdrag och fr.o.m. förordnades avdelningsdirektören som expert. Till sekreterare åt utredningen förordnades fr.o.m. hovrättsassessorn . Utredningen har antagit namnet . Härmed överlämnas utredningens betänkande Behandling av personuppgifter i polisens verksamhet (SOU 2001:92). Arbetet har bedrivits i nära samverkan med experterna i utredningen. Experterna har i huvudsak ställt sig bakom de förslag som läggs fram. Betänkandet är därför skrivet i vi-form. Särskilt yttrande har avgetts av . Utredningens uppdrag är härmed slutfört. Förslag till polisdatalag ................................................................ Förslag till lag om ändring i sekretesslagen (1980:100)............... Förslag till lag om ändring i säkerhetsskyddslagen (1996:627) ... Förslag till lag om ändring i lagen (2000:344) om Schengens Förslag till polisdataförordning .................................................... Förslag till förordning om ändring i sekretessförordningen (1980:657) .................................................................................... Förslag till förordning om ändring i förordningen (1989:773) med instruktion för ......................................... Förslag till förordning om ändring i folkbokförings- förordningen (1991:749)............................................................... Förordning om ändring i förordningen (1996:730) med Utredningens uppdrag och arbete............................................. Några utgångspunkter för vårt arbete ..................................... Utvecklingen av datorstöd i polisens verksamhet ........................ Den nya rättsliga ramen för informationsbehandling ................... Regleringen i huvudsak..................................................... Den nya polisregisterlagstiftningen .................................. 2.2.4 Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna ................. personuppgifter inom polissektorn m.m. ......................... Avvägningen mellan effektivitetshänsyn och integritetsskydd Behandling av personuppgifter inom polisen – en Uppläggningen av inventeringen.................................................. Register och ärendehanteringssystem........................................... Register som regleras särskilt i polisdatalagen............................. 3.3.2 Register med uppgifter om DNA-analyser i brottmål....... Fingeravtrycks- och signalementsregister......................... 3.4Belastningsregistret, misstankeregistret och Schengens 3.4.1 En uppdelning av uppgifter om belastningar och Databaser och ärendehanteringssystem ............................ Systemet för hemlig teleavlyssning och hemlig Övriga centrala system ................................................................. Det allmänna spaningsregistret......................................... Beslags- och analysregister............................................... Finanspolisens analys- och spaningsregister .................... Digitalt referensbibliotek över barnpornografiska (ViCLAS)........ Efterlysningssystem för fordon m.m............................... Registret för identifiering av försvunna personer ........... Disaster Victim Identification......................................... 3.6.14 Register med anknytning till det statliga person- och Lokala system med nationell spridning ...................................... Datoriserad utredningsrutin – Tvångsmedel................... Nya arbetsmetoder och ny teknik ........................................... behandling – automatiserad behandling...................... Ett brottsförebyggande perspektiv.............................................. 4.2.1 En förändrad inriktning av polisverksamheten............... 4.2.2 Uttalanden från regering och riksdag.............................. Åtgärder på myndighetsnivå........................................... 4.2.4 Det brottsförebyggande arbetssättet ur ett integritets- Digital bild- och ljudbehandling................................................. 4.3.2 Användningsområdet för digitala bilder och ljud ........... 4.3.3 Lagreglering av digitala bilder och ljud.......................... Lagreglering av KUT-Info.............................................. Informationsutbytet med Europol .......................................... Grundtanken bakom Europol...................................................... Europols målsättning och behörighet ......................................... Arbetsregister för analysändamål ................................... 5.5.5 Skyldighet att tillföra registren uppgifter ....................... Regler om integritetsskydd......................................................... Regler om användning av data och om sekretess ...................... 5.8Sveriges åtgärder för att uppfylla konventionens krav rörande 5.8.1 Behovet av datorstöd för informationsutbytet ................ 5.8.2 Förhandskontroll av systemet DocPol ............................ Konsekvenser av den nya lagstiftningen .................................... En nordisk jämförelse .............................................................. Översikt över regleringen ............................................... Översikt över regleringen ............................................... 6.2.3 Lagen om polisens personregister................................... Översikt över regleringen ............................................... Sammanfattande slutsatser av jämförelsen................................. Behovet av nya författningar................................................... Behovet av författningsreglering utöver personuppgiftslagen ... En ny polisdatalag ...................................................................... 7.2.1 En särreglering för polisen behövs ................................. Tillämpningssvårigheter med polisdatalagen ................. Lagarna om belastningsregister, om misstankeregister och om Schengens informationssystem.......................... Den nya polisdatalagens tillämpningsområde ....................... Den nya lagens förhållande till personuppgiftslagen ................. Syftet med lagen ............................................................. 8.4.2 Polisverksamhet som lagen skall tillämpas på................ Bild och ljud ............................................................................... 8.5.1 Analog och digital teknik................................................ Viss behandling undantas från lagens tillämpnings- Det digitala referensbiblioteket över barnpornografiska Myndighetens rätt att behandla personuppgifter 8.6.3 Polisdatalagen bör inte omfatta . Grundläggande bestämmelser om behandling av personuppgifter i den nya polisdatalagen .............................. Grundläggande krav på behandlingen av personuppgifter ......... Korrekt och laglig behandling i enlighet med god sed ... Ändamålen med behandlingen........................................ Personuppgifternas kvalitet och omfattning ................... 9.2.5 Gallringsreglerna i personuppgiftslagen bör inte gälla uppgifter i en förundersökning ....................................... Den personuppgiftsansvariges skyldigheter ................... roll som personuppgiftsansvarig ..... När behandlingen av personuppgifter är tillåten ........................ Den nuvarande regleringen............................................. Nya regler om när polisen får behandla personuppgifter 174 Behandling av känsliga personuppgifter .................................... Behandling av personnummer .................................................... Behandling av uppgifter om kvarstående misstankar................ Personuppgifter på Internet ........................................................ Information till den enskilde....................................................... Bestämmelserna i personuppgiftslagen .......................... 9.9.2 Två ytterligare undantag från informationsskyldigheten Den registrerade – den enskilde...................................... Säkerheten vid behandling.......................................................... Direkt åtkomst till uppgifter ........................................... Förhållandet till offentlighetsprincipen ...................................... Utlämnande av uppgifter ............................................................ Anmälan till tillsynsmyndigheten............................................... 9.15Upplysningar till allmänheten om behandlingar som inte Behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot 10.1En författningsreglering som ger polisen möjlighet att arbeta Polisdatalagens reglering i huvuddrag............................ 10.2.3 Tillämpningssvårigheter med regleringen i polisdata- 10.3En särskilda reglering om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot ....... 10.4Utformning av regler om behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot ....... 10.4.1 Den nya regleringen i huvuddrag.................................... 10.4.2 Övergripande syften........................................................ 10.4.3 Personuppgifter som får behandlas................................. 10.4.4 Upplysningar om uppgiftslämnarens trovärdighet.......... 10.4.5 Behandling av personuppgifter för övervakning av personer som kan antas komma att begå brott............... 10.4.6 Villkor för behandlingen................................................. Det allmänna spaningsregistret............................................... 11.1.1 Kort historik över ................................................... 11.1.2 Användningsområdet för ........................................ 11.1.3 Några statistikuppgifter .................................................. 11.1.4 Kan ersättas av några andra register? 11.1.5 I vilken utsträckning har kränkningar av enskilda personers integritet påtalats i ? En lagreglering av .............................................................. 11.2.1 bör vara kvar även i fortsättningen......................... 11.2.2 Hur bör lagregleras? 11.3.1 Förhållandet till övriga bestämmelser i den nya 11.3.5 Utlämnande av uppgifter ................................................ Ytterligare bestämmelser om register m.m. .......................... Författningsreglering av register ................................................ Register med uppgifter om DNA- analyser i brottmål ............... 12.2.1 Innehållet i de nya bestämmelserna ................................ Fingeravtrycks- och signalementsregister .................................. Säkerhetspolisens organisation och uppgifter ........................... 13.1.1 Säkerhetspolisens uppgifter ............................................ 13.1.2 Säkerhetspolisens organisation ....................................... 13.3Utformning av regler om behandling av personuppgifter i 13.3.1 Den nya regleringen i huvuddrag.................................... 13.3.2 Syften med behandlingen av personuppgifter ................ 13.3.3 Behandling av uppgifter om kvarstående misstankar ..... 13.3.4 Behandling av uppgifter om enskilda personer som det inte finns någon misstanke om brott mot........................ Konsekvensanalyser enligt kommittéförordningen ................... Konsekvenser för det brottsförebyggande arbetet ..................... Förslag till polisdatalag .............................................................. Förslag till lag om ändring i sekretesslagen (1980:100)............ 16.3Förslag till lag om ändring i säkerhetsskyddslagen (1996:627) 259 16.4Förslag till lag om ändring i lagen (2000:344) om Schengens Skrivelser som regeringen överlämnat till utredningen.............. Utredningens direktiv innebär ett uppdrag att följa genomförandet av den nya polisregisterlagstiftningen och att påtala eventuella brister särskilt från integritetssynpunkt. Utredningen skall överväga om det behöver vidtas några åtgärder, t.ex. i form av författningsändringar eller genom ökade möjligheter till insyn eller kontroll, för att lagstiftningen skall uppnå sitt syfte att öka möjligheten till effektiv brottsbekämpning och värna om den enskildes personliga integritet. gäller en ny lag om behandling av person- uppgifter hos polisen, polisdatalagen (1988:622). Den nya lagen bygger på personuppgiftslagen (1998:204) och innehåller bara de särregler som ansetts nödvändiga i polisens verksamhet. Polisdatalagen utgör en del av den nya lagstiftningen om behandling av personuppgifter i polisens verksamhet. Övriga lagar inom detta område utgörs av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstanke- register och lagen (2000:344) om Schengens informationssystem. Nämnda lagar har utgjort utgångspunkten för vårt arbete. Bland övriga rättskällor av betydelse bör särskilt nämnas Europolkonven- tionen, Europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna samt rekommen- dation om användningen av personuppgifter inom polissektorn m.m. Målsättningen med våra förslag är att de skall utgöra en lämplig avvägning mellan polisens rätt att använda modern teknik och den enskildes integritet. En utgångspunkt för oss i arbetet har varit att hinder för ett rationellt utnyttjande av datorstöd inte bör ställas upp i större utsträckning än vad som är nödvändigt med hänsyn till intresset av skydd för den personliga integriteten. Vi har i enlighet med direktiven inventerat de register som förs inom polisen. Den befintliga registerstrukturen har uppkommit främst som följd av Datainspektionens tillstånd för polisen att föra olika enskilda register och är således inte resultatet av någon övergripande planering. Ett stort antal register förs, såväl centralt som lokalt. Registren kan indelas i tre grupper beroende på vilka bestämmelser som styr behandlingen, nämligen –register som förs med stöd av särskilda regler i lagstiftningen, –register som förs med stöd av personuppgiftslagen och de allmänna bestämmelserna i polisdatalagen, och –register som enligt övergångsbestämmelserna till polisdatalagen förs med stöd av tillstånd från Datainspektionen. Det traditionella registerbegreppet har kritiserats. Dagens system inom polisen byggs företrädesvis som ärende- hanteringssystem och inte som traditionella register. I ärende- hanteringssystem lagras hela aktmaterial. Systemen är anpassade för fritextsökning. Vi finner dock inte anledning att i lagstiftningen ersätta begreppet register som beteckning för vissa fastställda informations- mängder med något annat begrepp. Nya arbetsmetoder och ny teknik Inom en mycket snar framtid lär praktiskt taget allt skrivarbete komma att utföras med hjälp av datorer. En realistisk lagstiftning måste ta hänsyn till de nya förhållandena. behandling av information, däribland personuppgifter, är inte längre ett realistiskt alternativ till automatiserad behandling av information. Den omständigheten att mängden automatiserat behandlade personuppgifter kraftigt ökat gör det ännu viktigare att en lagstiftning om behandling av personuppgifter i polisens verksamhet ger ett tillfredsställande skydd för den enskildes personliga integritet. Polisen skall enligt nyare uttalanden från statsmakterna arbeta problemorienterat och verka brottsförebyggande. Arbetet skall vara proaktivt och inte reaktivt inriktat. För att kunna verka brottsföre- byggande måste dock polisen inhämta och bearbeta information om enskilda personer i större utsträckning än som skedde vid ett traditio- nellt reaktivt arbetssätt. Det ligger därför i sakens natur att en brotts- förebyggande arbetsmetod innebär ett ökat intrång i den enskildes personliga integritet i förhållande till ett reaktivt arbetssätt. Användningen av digital teknik för behandling av ljud och bild är i hög grad ägnad att höja kvaliteten på polisens brottsutredningar. Detta gäller framför allt beträffande digitala bilder. Eftersom den digitala tekniken får anses utgöra automatiserad behandling blir dock bestämmelserna i personuppgiftslagen tillämpliga i den utsträckning behandlingen avser digitala bilder eller ljud som innehåller personupp- gifter. Polisens intranät används i första hand för att sprida verksamhets- relaterad information inom polismyndigheterna. har anslutit sig till Europolkonventionen. Europols främsta uppgift är att vara ett kriminalunderrättelseorgan för de brotts- bekämpande myndigheterna i medlemsländerna inom EU. Som sådant är Europol en knutpunkt för utbyte av information och underrättelser mellan medlemsländerna. Europol fungerar så att medlemsländerna tillhandahåller Europol uppgifter främst ur sina . Dessa uppgifter bearbetas och analyseras sedan hos Europol. Resultatet av bearbetningen och analyserna delges därefter medlemsländerna. Polisdatalagen medger inte att personuppgifter som härrör från kriminalunderrättelseverksamhet behandlas automatiserat annat än i särskilda undersökningar eller kriminalunderrättelseregister. Härigenom har informationsutbytet med Europol kommit att allvarligt försvåras. Som underlag för våra överväganden har vi inhämtat upplysningar om vilka regler som gäller i , och beträffande automatiserad behandling av personuppgifter i polisens verksamhet. Jämförelsen visar att den svenska lagstiftningen är mer restriktiv för polisen än de regleringar som gäller i de övriga nordiska länderna. I enlighet med direktiven för utredningen har vi analyserat konsekven- serna av den nya regleringen om polisens rätt att behandla person- uppgifter automatiserat. Vi har vid vår analys av lagstiftningen kommit fram till att det behöver göras ändringar av regleringen i polisdatalagen. Ändringarna som vi anser erfordras är relativt omfattande. Vi anser därför att en ny lag om behandling av personuppgifter i polisens verksamhet som ersätter den nuvarande polisdatalagen bör införas. Även den nya lagen bör ges namnet polisdatalagen. De särskilda lagarna om belastningsregister, om misstankeregister och om Schengens informationssystem bör vara kvar oförändrade. Den nya polisdatalagen bör vara heltäckande och upprepa de bestämmelser i personuppgiftslagen som skall vara tillämpliga i polisens verksamhet. Den nya lagens syfte bör liksom personuppgiftslagen vara att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Den nya lagen bör gälla vid behandling av personuppgifter i sådan polisverksamhet som avses i 2 § 1–3 polislagen (1984:387), dvs. i den egentliga polisverksamheten. Lagen bör gälla vid behandling av personuppgifter i form av bilder eller ljud, dock ej vid sådan behandling som består i insamling av personuppgifter genom upptagning av bilder eller ljud. Lagen bör inte gälla vid insamling av personuppgifter genom teleavlyssning, teleöver- vakning eller kameraövervakning. Det digitala referensbiblioteket över barnpornografiska framställ- ningar som förs av behöver inte regleras särskilt i lagstiftningen. Den nya polisdatalagen bör gälla enbart i polisens verksamhet. Lagen bör därför inte omfatta . Grundläggande bestämmelser om behandling av personuppgifter i den nya polisdatalagen Personuppgiftslagens definitioner av begreppen behandling av person- uppgifter, blockering av personuppgifter, mottagare, personuppgifter, personuppgiftsansvarig, personuppgiftsbiträde, personuppgiftsombud, tillsynsmyndigheten och tredje man samt polisdatalagens definition av begreppet DNA-analys bör finnas med även i en ny lag för polisen. Bestämmelsen i 9 § personuppgiftslagen om grundläggande krav på behandling av personuppgifter bör även i fortsättningen gälla i polisens verksamhet. Även särbestämmelsen om gallring i 13 § polisdatalagen bör vara kvar. bör även i fortsättningen vara ensam personupp- giftsansvarig för de centrala registren i polisens verksamhet. En be- stämmelse som ger möjlighet att besluta verkställig- hetsföreskrifter bör ingå i en ny polisdataförordning. Personuppgifter bör få behandlas endast om behandlingen är nödvändig för att polisen skall kunna utföra polisverksamhet som består i att 1.förebygga brott och andra störningar av den allmänna ordningen och säkerheten, 2.övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana inträffat eller 3.bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Den nya lagen bör inte hindra att personuppgifter diarieförs eller behandlas i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Bestämmelsen i 5 § polisdatalagen om behandling av känsliga personuppgifter bör gälla även i fortsättningen. Bestämmelsen i 22 § personuppgiftslagen om behandling av personnummer och samordningsnummer bör gälla på polisområdet. Dock bör samtycke inte kunna åberopas som grund för behandling. I 10 och 11 §§ polisdatalagen finns bestämmelser om behandling av uppgifter om kvarstående misstankar. Dessa bestämmelser bör oförändrat gälla även i fortsättningen. Någon bestämmelse om förbud mot överföring av personuppgifter till tredje land motsvarande 33 § personuppgiftslagen bör inte gälla i den egentliga polisverksamheten. En följd av detta blir att offentliga personuppgifter kan spridas på Internet. Av integritetsskäl bör dock en efterlysning av en person med anledning av att han eller hon avvikit från verkställande av påföljd för brott eller med anledning av att han eller hon misstänks för brott, få ske på Internet endast om 1.domen eller misstanken avser ett brott för vilket inte lindrigare straff än fängelse är föreskrivet, eller 2.personen kan antas vara farlig för annans personliga säkerhet. Reglerna i 23–27 §§ personuppgiftslagen om information till regist- rerade bör även i fortsättningen gälla i polisens verksamhet. Det behövs dock därutöver ytterligare två undantag från polisens informa- tionsplikt. I fall uppgifter om en enskild person samlas in från personen själv, bör information heller inte behöva lämnas, om – det finns bestämmelser om antecknandet eller utlämnandet av personuppgifter i författning, eller – uppgifterna samlas in i samband med larm eller annan liknande underrättelse och larmet eller underrättelsen kräver omedelbara insatser från den personuppgiftsansvarige. I stället för att som avse registrerade bör bestämmelserna i den nya lagen om information avse enskilda. Bestämmelserna i 28 § personuppgiftslagen om rättelse bör även i fortsättningen gälla på polisområdet. Bestämmelserna bör dock avse den enskilde i stället för den registrerade. När det gäller säkerheten vid behandling bör liksom bestämmelserna i 30–32 §§ personuppgiftslagen gälla i polisens verk- samhet. Regeln i 32 § om tillsynsmyndighetens rätt att besluta om säkerhetsåtgärder bör dock meddelas genom förordning. Därutöver bör det i den nya lagen finnas en bestämmelse som föreskriver att direkt åtkomst till personuppgifter skall vara förbehållen de personer inom polisen som på grund av sina arbetsuppgifter behöver tillgång till information om uppgifterna. Bestämmelsen i 8 § personuppgiftslagen om förhållandet till offentlighetsprincipen bör liksom gälla för polisen. I 6–8 §§ polisdatalagen och i 15–16 §§ polisdataförordningen finns bestämmelser om utlämnande av uppgifter. Bestämmelserna bör oförändrade föras över till en ny polisdatalag respektive en ny polis- dataförordning.