sou · GPB392 · 2002-01-01 00:00:00 — Dessa brister anges bl.a. avse vissa frågor avseen- de utlämnande av uppgifter från registren samt sammanblandningen av belastnings- och misstankeuppgifter i person- och belastningsregistret. 2.3Avvägningen mellan effektivitetshänsyn och integritetsskydd Hinder för ett rationellt utnyttjande av datorstöd bör inte ställas upp i större utsträckning än vad som är nödvändigt med hänsyn till intresset av skydd för den personliga integriteten. De nya tekniska möjligheterna att behandla uppgifter automatiserat medför ofrånkomligt ökade risker för intrång i den enskildes personliga integritet. Integritetsskyddet är emellertid ingen företeelse som bör ses isolerad för sig utan måste vägas mot andra samhällsintressen. Kravet på effektivitet när det gäller att förebygga, förhindra och utreda brott måste t.ex. beaktas. Det integritetsintrång som en behandling av 78 Några utgångspunkter för vårt arbete personuppgifter medför måste också ställas mot det integritetsintrång som det innebär att inte kunna röra sig fritt av rädsla för att bli utsatt för brott. En målsättning för lagstiftningen om behandling av personuppgifter i polisens verksamhet har varit att finna en lämplig avvägning mellan polisens rätt att använda modern teknik och den enskildes integritet. I förarbetena till polisdatalagen sägs beträffande balansgången mellan integritet och effektivitet att utgångspunkten bör vara att hinder för ett rationellt utnyttjande av datorstöd inte bör ställas upp i större utsträckning än vad som är nödvändigt med hänsyn till intresset av skydd för den personliga integriteten (SOU 1997:65 s. 77 och prop. 1997/98:97 s. 63). Enligt vår mening saknas det skäl att nu ompröva den avvägning som kommit till uttryck i nämnda förarbets- uttalanden. Syftet med den lagreglering vi föreslår i det här betänkandet är att fastställa principer till skydd för enskildas personliga integritet. En självklar utgångspunkt för oss är att integritetsskyddet skall ligga på en hög nivå. Det måste finnas ett tydligt behov i verksamheten av att behandla personuppgifterna. Slentrianmässig behandling av person- uppgifter, i synnerhet av känsliga personuppgifter, skall inte före- komma. Behandling av personuppgifter bara för att uppgifterna kan vara bra att ha får inte ske. 3Behandling av personuppgifter inom polisen – en inventering I uppdraget ingår att inventera de register som förs inom polisen. I detta kapitel redovisar vi resultatet av denna inventering. Registerstrukturen har uppkommit som följd av Datainspektionens tillstånd för polisen att föra olika enskilda register och är således inte ett resultat av någon övergripande planering. Detta medför bl.a. att samma uppgifter förekommer i flera olika system. Polisens register kan indelas i tre grupper beroende på vilka bestämmelser som styr behandlingen, nämligen –register som förs med stöd av särskilda regler i lagstiftningen, –register som förs med stöd av personuppgiftslagen och de allmänna bestämmelserna i polisdatalagen, och –register som enligt övergångsbestämmelserna till polisdatalagen förs med stöd av tillstånd från Datainspektionen. En annan uppdelning kan göras mellan centrala och lokala register. De centrala registren förs av och innehåller uppgifter från hela riket. De lokala registren förs däremot av en polismyndighet och innehåller därmed bara uppgifter från ett polisdistrikt. I avsnitt 3.3 och 3.4 redovisar vi de register som är särskilt reglerade i lagstiftningen. Avsnitt 3.5 innehåller en redogörelse för Säkerhets- polisens system. Därefter redogör vi i avsnitt 3.6 för övriga centrala system av betydelse och i avsnitt 3.7 för vissa lokala system med nationell spridning. Polisen utvecklar kontinuerligt nya system för att stödja verksamheten. En redovisning av polisens register kan därför aldrig bli helt fullständig. Redovisningen i det här kapitlet tar dock upp alla nuvarande system av större betydelse i polisens verksamhet. Själva begreppet register är i viss mån föråldrat. Vi inleder därför inventeringen med att beröra detta begrepp. 80 Behandling av personuppgifter inom polisen – en inventering Genom datalagens (1973:289) införande introducerades begreppet personregister som ett centralt begrepp i svensk datalagstiftning. Med personregister avsågs i den lagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den allmänt använda termen för ADB-baserade uppgifts- samlingar har därför sedan datalagens införande varit register. Ordet återfinns i många författningar som reglerar myndigheters användande av automatisk databehandling i verksamheten, t.ex. i polisdatalagen. Det traditionella registerbegreppet har kritiserats. En orsak har varit att begreppet även har en teknisk anknytning och därför kan ha olika innebörd för olika yrkesgrupper. Vidare för det tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställ- ningar. Sökning i sådana filer görs inte efter särskilda bestämda sökord utan genom fritextsökning. Personuppgiftslagen har anpassats till de nya förhållandena. I lagen används inte begreppet register utan det talas i stället om behandling av personuppgifter. Det skulle i och för sig vara möjligt att även i special- författningar undvika begreppet register utan att ersätta det med något specifikt alternativ, dvs. endast tala om behandling av personuppgifter. uttalade dock i sitt betänkande Offentlighet, Integritet, Informationsteknik (SOU 1997:39 s. 340), att tillämpnings- problem inte hindrar att det som är ett regelrätt datoriserat register också kallas för det. Denna fråga behandlades också vid tillkomsten av polisdatalagen. Regeringen tog där upp kritiken mot registerbegreppet, men framhöll att det inte helt bör undvikas eftersom polisen måste ha tillgång till traditionella register för att kunna bedriva sin verksamhet och att det därför även i fortsättningen bör finnas särskilda bestämmelser rörande upprättandet och förandet av sådana register (prop. 1997/98:97 s. 102). Det kan konstateras att flera av polisens samlingar av person- uppgifter i elektronisk form är att se som register i ordets mer egentliga bemärkelse, dvs. uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord. Detta gäller i först hand de äldre system som förs med stöd av Datainspektionens tillstånd. Nya system som kan betraktas som register är misstankeregistret, belastningsregistret och den nationella enheten av Schengens Behandling av personuppgifter inom polisen – en inventering 81 Registerbegreppet har således fortfarande relevans i vissa fall. Dagens system inom polisen byggs dock företrädesvis som ärende- hanteringssystem och inte som traditionella register. I dessa ärende- hanteringssystem registreras hela aktmaterial. Grundtanken vid utvecklingen av nya system inom polisen är att man i så stor utsträck- ning som möjligt bara skall anteckna en uppgift en enda gång samt att uppgiften, om det behövs, därefter skall vidarebefordras automatiserat till andra ärendehanteringssystem. Vi finner inte anledning att utforma definitioner av begreppen register och ärendehanteringssystem. Inte heller anser vi att det finns skäl att i lagstiftningen ersätta begreppet register som beteckning för vissa fastställda informationsmängder med något annat begrepp. I betänkandet gör vi därför heller inte någon strikt skillnad mellan begreppen register och ärendehanteringssystem. 3.3Register som regleras särskilt i polisdatalagen Polisdatalagens och polisdataförordningens bestämmelser om kriminalunderrättelseregister Med kriminalunderrättelseverksamhet förstås i polisdatalagen den polisverksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. . I lagen anges att begreppet inte innefattar den underrättelse- verksamhet som bedrivs av Säkerhetspolisen. För inne- håller lagen särskilda bestämmelser. Automatisk databehandling av personuppgifter får för det första förekomma i s.k. särskilda undersökningar, som får inledas efter sär- skilt beslut om det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas. Sådana undersökningar sker med syfte att ge underlag för beslut om förundersökning eller för beslut om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. I särskilda undersökningar får även uppgifter om icke misstänkta personer behandlas, men uppgifterna måste förses med upplysning om att personen inte är misstänkt. Vidare får föras kriminalunderrättelse- register för att ge underlag för beslut om särskilda undersökningar 82 Behandling av personuppgifter inom polisen – en inventering avseende allvarlig brottslig verksamhet eller för att underlätta till- gången till allmänna uppgifter med anknytning till underrättelseverk- samhet. Kriminalunderrättelseregister får föras av eller av en polismyndighet. Den myndighet som för registret är personuppgifts- ansvarig för behandlingen av personuppgifter i registret. Ett kriminalunderrrättelseregister får innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna ger anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas. Med allvarlig brottslig verksamhet menas verksamhet som innefattar brott för vilket är föreskrivet fängelse eller däröver. Det krävs vidare att den person som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den allvarliga brottsliga verksamheten. Uppgifter om transportmedel eller varor som kan antas ha samband med allvarlig brottslig verksamhet eller om hjälpmedel som kan ha använts i samband med sådan verksamhet får dock registreras, även om uppgifterna kan hänföras till en enskild person som det inte finns någon misstanke mot. Uppgifterna skall då förses med upplysning om att det inte finns några misstankar mot denne. Lagen talar om vilka uppgifter som får finnas i ett kriminalunder- rättelseregister. Ett sådant register får endast innehålla –upplysningar om varifrån den registrerade uppgiften kommer och om uppgiftslämnarens trovärdighet, –uppgifter om särskilda bestående fysiska kännetecken, –de omständigheter och händelser som ger anledning att anta att den registrerade utövat eller kan komma att utöva allvarlig brottslig verksamhet, –uppgifter om varor, brottshjälpmedel och transportmedel, –hänvisning till en särskild undersökning där uppgifter om den registrerade behandlas och till register som förs av polis- och tullmyndighet i vilket uppgifter om den registrerade förekommer. Uppgifter i ett kriminalunderrättelseregister skall gallras senast efter det att en uppgift om personen som kan föranleda registrering sista gången infördes. Om det har inletts en särskild undersökning av underrättelsekaraktär får uppgifterna stå kvar tills undersökningen har avslutats. Regeringen, eller den myndighet som regeringen bestämmer, får vidare meddela föreskrifter om att uppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. och polismyndigheterna får enligt polisdata- förordningen ha direkt åtkomst till kriminalunderrättelseregistren. Behandling av personuppgifter inom polisen – en inventering 83 Åtkomsten till registren skall vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till information om sådana uppgifter som behandlas i registren. Uppgifter ur ett kriminalunderrättelseregister får lämnas ut till och , en tullmyndighet eller en skattemyndighet. Utlämnande får dock endast ske om uppgiften kan antas ha särskild betydelse för en pågående undersökning i myndig- hetens brottsutredande verksamhet eller för andra brottsbekämpande åtgärder. Det centrala kriminalunderrättelseregistret – KUR Inom har utvecklats ett nytt ärendehanteringssystem för kriminalunderrättelseregistrering (KUR). Genom det systemet har skapats en nationell, gemensam databas som varje polismyndighet har tillgång till. Kriminalunderrättelsetjänsterna i hela landet har därigenom ett system för att lagra och återfinna handlingar vilket medför betydande samordningsvinster och skapar möjligheter för ett mera utvecklat nationellt arbetssätt. Endast sådana befattningshavare som är knutna till enheter eller rotlar som sysslar med kriminalunderrättelsetjänst har behörighet att behandla uppgifter i registret. Uppgifterna i KUR är insamlade enbart för ändamålet att bearbetas i det registret. Någon överföring av uppgifter från andra register förekommer inte. Innehållet i KUR består av underrättelseinformation som kommit in till en länsunderrättelserotel från polismän på alla nivåer i myndig- heten. Informationen kan också ha kommit fram vid det interna arbetet på roteln eller genom underrättelser från något annat land. I KUR finns personuppgifter som avser personer mot vilka det föreligger skäliga misstankar om att de utövar eller har utövat allvarlig brottslig verksamhet. Misstankarna behöver inte avse konkreta brott. KUR innehåller härigenom mycket integritetskänslig information. Vi diskuterar i kapitel 10 polisdatalagens reglering av kriminal- underrättelseverksamhet och kriminalunderrättelseregister. 3.3.2Register med uppgifter om DNA-analyser i brottmål DNA är ett ämne som finns i varje cell i människokroppen och som är så sammansatt att det är unikt för varje individ, utom för enäggs- 84 Behandling av personuppgifter inom polisen – en inventering Med DNA-analys kan personer identifieras genom analys av mycket små mängder blod, saliv eller sperma eller genom analys av hårstrån. Med stöd av bestämmelserna om kroppsbesiktning i 28 kap 12 § kan provtagning för DNA-analys genomföras mot en misstänkt persons vilja. Med stöd av polisdatalagen får DNA-register och spårregister inrättas. får innehålla uppgifter om identifierade personer spårregistret uppgifter som inte har kunnat hänföras till en viss person. Ändamålet med registren skall vara att underlätta identifie- ring av personer i samband med utredning av brott. får innehålla uppgifter om resultatet av DNA-analyser som har gjorts under utredning av ett brott och som avser personer som dömts för vissa brott. Det rör sig om sådana brott mot en persons liv eller hälsa, personliga integritet eller säkerhet som avses i 3, 4, 6, 8, 12 eller 17 kap. eller ett allmänfarligt brott som avses i 13 kap. , allt under förutsättning att brottet kan leda till fängelse . Det kan även röra sig om försök, förberedelse, stämpling, anstiftan eller medhjälp till ett sådant brott. får endast innehålla uppgifter om DNA-analyser som har gjorts under utredning av ett brott och som inte kan hänföras till en identifierbar person. Uppgifterna får endast jämföras med analysresultat som inte kan hänföras till en identifierbar person eller som finns i eller som kan hänföras till en person som är misstänkt för brott. Uppgifter om en person i skall gallras när de inte längre behövs och senast när uppgifterna om den registrerade har gallrats ur belastningsregistret. Uppgifter i spårregistret skall gallras när de inte längre behövs och senast efter registreringen. , polismyndigheter och åklagarmyndigheter får ha direkt åtkomst till register med uppgifter om DNA-analyser i brottmål. Polismyndigheternas och åklagarmyndig- heternas åtkomst skall dock begränsas till uppgifter om huruvida någon förekommer i register med uppgifter om DNA-analyser i brottmål eller inte. för ett spårregister. är personuppgiftsansvarig för registret. och laboratoriet arbetar också med att utveckla ett DNA-register, men det arbetet är ännu inte helt slutfört. Tre olika sökningar kan göras med hjälp av spårregistret enligt följande: – en misstänkt jämförs med spårregistret och man får därigenom reda på om den misstänkte kan kopplas till spår från ett eller flera ouppklarade brott, Behandling av personuppgifter inom polisen – en inventering 85 –ett spår jämförs med och man får därigenom reda på om spåret kan kopplas till en individ som finns i , –ett spår jämförs med spårregistret och man får därigenom reda på om en och samma individ kan vara gärningsman i flera ouppklarade brott. I avsnitt 12.2 tar vi upp vissa frågor om automatiserad behandling av DNA-analyser i brottmål. Enligt 28 kap 14 § samt förordningen (1992:824) om fingeravtryck m.m. skall fingeravtryck och fotografi alltid tas av den som häktats. I vissa uppräknade fall skall fingeravtryck och fotografi också tas av den som är anhållen. Fingeravtrycket och fotografiet skall enligt 7 § i förordningen skyndsamt sändas till () tillsammans med en beskrivning av personen. för ett fingeravtryckregister och ett signalements- och känneteckensregister, med stöd av tillstånd från Datainspektionen. Signalements- och känneteckensregistret innehåller uppgifter om ungefär 166 000 personer. Polisdatalagen innehåller bestämmelser om fingeravtrycks- och signalementsregistrens ändamål, om vad registren får innehålla och om gallring. Uppgifter får behandlas i sådana register för ändamålet att underlätta identifiering av personer i samband med brott. Registren får användas för identifiering av okända personer även i andra fall. Registeruppgifterna får också behandlas i automatiserade för- undersökningar och särskilda undersökningar. De ändamål som anges i polisdatalagen överensstämmer i stort med den hittillsvarande användningen beträffande ifrågavarande register. Innehållet i registren har begränsats för att stämma överens med reglerna i polisdatalagen, t.ex. beträffande angivande av vissa brotts- koder. Polisdatalagen innehåller nämligen ingen bestämmelse, som anger att brottskoder får registreras. Signalements- och känneteckensregistret innehåller också känsliga personuppgifter, bl.a. sådana som avslöjar personers hälsa och etniska ursprung. För att sådana uppgifter skall få registreras måste de enligt polisdatalagen vara oundgängligen nödvändiga för syftet med behandlingen. Polisdatalagens regler om gallring säger att uppgifter i finger- avtrycksregister och signalementsregister om en misstänkt person skall gallras när förundersökning eller åtal mot personen läggs ned eller när åtal mot personen ogillas. Uppgifterna får dock bevaras längre om andra uppgifter om den registrerade skall behandlas med stöd av 86 Behandling av personuppgifter inom polisen – en inventering polisdatalagens regler om behandling av uppgifter om kvarstående misstankar. Om den registrerade döms skall uppgifterna gallras senast då uppgifterna gallras ur belastningsregistret. har meddelat föreskrifter om behörighet för åtkomst och uppdatering. I avsnitt 12.3 tar vi upp frågor om utformningen av reglerna om fingeravtrycks- och signalementsregister. 3.4Belastningsregistret, misstankeregistret och Schengens informationssystem 3.4.1En uppdelning av uppgifter om belastningar och misstankar I rekommendation, No. R (87) 15, om användning av personuppgifter inom polissektorn anges att olika kategorier av uppgifter så långt det är möjligt skall hållas åtskilda efter graden av riktighet och tillförlitlighet. I propositionen Riktlinjer för registreringen av påföljder m.m. (prop. 1994/95:144) uttalade regeringen att det finns starka skäl att hålla uppgifter om påföljder och uppgifter om misstankar åtskilda och att en uppdelning skulle göras genom att person- och belastningsregistret skulle ersättas av ett belastningsregister, i vilket endast påföljder och liknande skulle tas in, och ett misstankeregister. , som uttalat sig för en sådan uppdelning, godkände regeringens förslag (bet. 1994/95:JuU21, rskr. 1994/95:378). Genom införandet av lagen (1998:620) om belastningsregister och av lagen (1998:621) om misstankeregister genomfördes de nämnda intentionerna. Det övergripande syftet med belastningsregistret är att olika myndig- heter, framför allt de brottsbekämpande och rättsvårdande myndig- heterna, på ett enkelt sätt skall få tillgång till de uppgifter som behövs i deras verksamhet. är personuppgiftsansvarig för behandlingen av personuppgifter i registret. De myndigheter som härvid avses är de allmänna domstolarna, förvaltningsdomstolarna, åklagarmyndigheterna, polis-, skatte- och tull- SOU 2001:92 Behandling av personuppgifter inom polisen – en inventering 87 myndigheterna samt övriga myndigheter i den utsträckning det föreskrivs av regeringen. Alla påföljder för brott registreras i belastningsregistret. Registret innehåller 800 000–1 000 000 personer och omkring 1 200 000 noteringar om påföljder. De allra flesta av dessa noteringar avser bötespåföljder som fastställts genom föreläggande av ordningsbot. Integritetsaspekten tillgodoses genom begränsningar i utlämnandet. Uppgifter om brott som endast föranlett penningböter lämnas bara ut till de myndigheter som behöver dessa uppgifter, t.ex. för att pröva körkortsfrågor. innehåller också uppgifter om den som meddelats åtalsunderlåtelse. Även uppgifter om den som skall utvisas eller utlämnas enligt någon av utlämningslagarna eller som har meddelats besöksförbud finns i registret. En stor del av lagen om belastningsregister upptas av regler om utlämnande. Domstolarna och de övriga rättsvårdande myndigheterna har rätt att få ut de uppgifter som är nödvändiga för att de skall kunna bedriva sin verksamhet. Vidare har den registrerade alltid rätt att få ut de uppgifter som finns registrerade om honom eller henne. Även enskilda har rätt att i den utsträckning som regeringen föreskriver få ut uppgifter om andra enskilda från registret om det behövs för att pröva fråga om en anställning eller ett uppdrag i en verksamhet som avser vård eller som är av betydelse för att förebygga eller beivra brott. Vidare får uppgifter i vissa fall lämnas till utländska myndigheter och till myndigheter för statistik. Uppgifter i belastningsregistret gallras när förutsättningarna för registrering inte längre föreligger, t.ex. om den registrerade blir frikänd efter överklagande eller ordningsbot undanröjs. Vid frikännande dom plockas den tidigare domen bort direkt. Uppgifter ur belastnings- registret gallras vidare när förflutit, i regel . Personuppgiftslagens bestämmelser om rättelse och skadestånd gäller för behandlingen av personuppgifter i registret. övergripande syfte är att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs för verksamheten hos polis-, åklagar-, skatte- och tullmyndigheter. Miss- tankeregistret förs enligt lagen för att underlätta tillgången till sådana uppgifter om brott som behövs för att samordna förundersökningar mot en misstänkt person och för att förebygga, upptäcka och utreda brott. Registret får även användas av andra myndigheter vid sådan lämplighetsprövning, tillståndsprövning eller annan prövning som 88 Behandling av personuppgifter inom polisen – en inventering anges i författning samt – i den utsträckning regeringen föreskriver – för att till enskild lämna uppgifter som är av särskild betydelse i dennes verksamhet. innehåller uppgifter om den som har fyllt och som är skäligen misstänkt antingen för något brott mot eller för något annat brott för vilket svårare straff än böter är föreskrivet. Uppgifter förs också in om den som är skäligen misstänkt för ett motsvarande brott utomlands, om frågan om lagföring för brottet skall avgöras i . Registret innehåller vidare uppgifter om den mot vilken det har inletts talan om förvandling av böter och om den som begärts utlämnad för brott. De myndigheter för vars räkning registret förs samt övriga myndigheter i den utsträckning det föreskrivs av regeringen skall oavsett sekretess ha rätt till uppgifter ur registret.