sou · GQB3113d2 · 2003-01-01 00:00:00 — Ett flertal faktorer – främst omfattningen av verksamheten, dess inriktning med ingripande myndighetsutövning samt de mycket känsliga uppgifter och behandlingar som förekommer inom brottsbekämp- ningen – utesluter att personuppgiftslagen kan vara den enda författning som reglerar informationshanteringen. När det däremot gäller den interna administrativa förvaltningen, exempelvis lokal- och personalfrågor, är situationen en helt annan. I administrationen förekommer ingen myndighetsutövning mot utomstående personer, utan verksamheten påminner mestadels om hanteringen av information hos vilken större arbetsgivare som helst. Internt administrativt arbete vid en myndighet är normalt inte reglerad i registerförfattningar för annan offentlig verksamhet och vi kan inte se annat än att personuppgiftslagens regler är fullt tillräckliga för att hantera behandlingen av personuppgifter i t.ex. löneregister. 10.4Lag, förordning eller myndighetsföreskrifter Vårt förslag: De grundläggande principerna för behandling av personuppgifter i brottsbekämpande verksamhet skall regleras i lag. Kompletterande bestämmelser skall meddelas av regeringen eller den myndighet som regeringen bestämmer. Vi konstaterar i avsnitt 10.3 att behandling av personuppgifter i den brottsbekämpande verksamheten måste författningsregleras särskilt, främst av integritetsskäl men också av effektivitetsskäl. En viktig fråga är i vilken form en sådan författningsreglering skall ske; genom lag, förordning eller myndighetsföreskrifter. I brottsbekämpande verksamhet behandlas mängder av uppgifter om enskilda personer i olika register eller datorsystem. Uppgifterna är i många fall mycket känsliga, inte minst i under- rättelseverksamhet, och det är därför viktigt att de behandlas på ett sådant sätt att vederbörlig hänsyn tas till misstänktas och andra inblandades personliga integritet. Frågor om regleringen av personregister har behandlats av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48), en uppfattning som även regeringen har gett uttryck för (se bl.a. prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Enligt vår uppfattning är den automatiserade behandling av personuppgifter som förekommer i brottsbekämpande verksamhet utan tvekan av sådan karaktär och omfattning att de grundläggande principerna för behandlingen skall slås fast i lag. De bestämmelser som vi anser måste framgå av lag är främst sådana som anger för vilka ändamål personuppgifter får behandlas, vilka uppgiftskategorier som får behandlas, i vilken omfattning uppgifter skall få lämnas ut i elektronisk form, när uppgifter skall gallras samt vilka rättigheter enskilda har. I vissa fall bör sådana bestämmelser vara ovillkorliga, medan regeringen i andra fall bör kunna medge undantag. Regeringen bör dessutom kunna meddela vissa kompletterande bestämmelser. Härigenom undviks att detalj- regler som kan komma att behöva ändras ofta, t.ex. som en följd av ändrade villkor för verksamheten, måste prövas av . Avgörande för på vilken konstitutionell nivå föreskrifter bör meddelas, är enligt vår uppfattning vilken betydelse bestämmelser- na har från integritetssynpunkt. Det kan i vissa fall vara lämpligt att regeringen delegerar rätten att meddela kompletterande föreskrifter till eller . 10.5Grundläggande begrepp – databas eller register Vårt förslag: Det traditionella registerbegreppet skall inte förekomma i författningarna om behandling av personuppgifter i brottsbekämpande verksamhet. I stället skall begreppet databas användas som en juridisk beteckning på automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka särskilda handlingsregler gäller. Databaser i stället för register Med personregister avsågs enligt gamla datalagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den i författningar allmänt använda termen för elektroniska uppgiftssamlingar har sedan datalagens införande 1973 varit register. Det traditionella registerbegreppet har dock kritiserats , främst eftersom det för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar osv. Även framväxten av Internet har tydliggjort behovet av en översyn av traditionella begrepp i datorsammanhang, som t.ex. register- begreppet. Ytterligare en grund för kritik har varit att begreppet register inte används i personuppgiftslagen, som ersatt datalagen. Det finns därför enligt vår uppfattning anledning att inte använda registerbegreppet i en ny lag om hantering av personuppgifter i brottsbekämpande verksamhet. I personuppgiftslagen talas det om behandling av personuppgif- ter och inte om förande av register. Det skulle enligt vår bedömning vara möjligt att även i specialförfattningar undvika begreppet register utan att ersätta det med något specifikt alternativ, dvs. endast tala om behandling av personuppgifter, men det är inte självklart att det är det bästa alternativet. Det finns flera elektroniska samlingar av personuppgifter som enligt vår bedömning måste ses som register i ordets egentliga bemärkelse, dvs. uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord e.d. Det kan därför finnas anledning att inte helt frångå registerbegreppet. Som exempel kan nämnas att begreppet register har sin naturliga plats i t.ex. lagen (1998:621) om misstankeregister och lagen (1998:620) om belastningsregister. Dessa lagar reglerar nämligen register i en mer traditionell mening. Registerbegreppet är emeller- tid inte lämpligt när det gäller datorsystem som innefattar elektronisk ärendehantering, där inkomna handlingar kan skannas och beslut upprättas med automatiserad behandling, för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Att endast tala om behandling av personuppgifter kan i vissa fall föranleda att lagtexter tyngs och blir svårhanterliga, t.ex. när man inte avser behandling i allmänhet utan endast behandling i fastställda samlingar av uppgifter för vilka särskilda handlingsregler gäller. Som exempel kan nämnas att när en tjänsteman vid behandlar personuppgifter på elektronisk väg, kan det göras t.ex. med ordbehandling vid framställning av dokument eller via terminalfunktioner i särskilda gemensamma register. Det är inte helt enkelt att i en lag om behandling av personuppgifter klart uttrycka att man i motsvarande situationer avser att vissa bestämmelser endast skall gälla för den senare behandlingen och inte för den tidigare, något som vi anser att det finns behov av. Ett alternativ till registerbegreppet är termen databas, som förekommer i olika sammanhang, bl.a. i den lag som gäller för den fiskala hanteringen av personuppgifter inom (se prop. 2000/01:33). Vi anser att det även för den brottsbekämpande verksamheten finns behov av ett särskilt begrepp för att beskriva vissa uppgiftssamlingar som är föremål för automatiserad behand- ling. Begreppet databas, som språkligt har mer naturlig anknytning till automatiserade sammanställningar av uppgifter, är i det här sammanhanget att föredra framför register. Databasbegreppet underlättar en teknikoberoende lagstiftning I vårt lagförslag avser vi med begreppet databas något annat än egentliga register. En databas består av en uppgiftssamling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den kan innehålla ett antal egentliga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska handlingar i ett ärendehanteringssystem. En av våra målsättningar är att skapa ett regelverk som är mer teknikoberoende än många av de registerförfattningar som finns . Detta kan göras genom att begreppet databas ges en juridisk innebörd utan direkt teknisk anknytning. Vi anser att en databas skall definieras som en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksam- het, något som gäller för bl.a. fiskala verksamhet. En definition av begreppet databas som den angivna utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en persondator från behandlingar i datorsystem som är särskilt reglerade till sitt innehåll och användning, något som vi utvecklar närmare i kapitel 11. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkande och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. Med andra ord skulle automatiserade register kunna sägas vara en specialform av databaser, nämligen databaser vars innehåll är systematiserade på ett visst sätt enligt särskilda kriterier. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Om samtliga uppgifter i en databas finns samlade i ett enda datorsystem i en enda server inom och är tillgängliga för de olika regionerna enligt vissa kriterier (behörighetskoder o.d.) eller om uppgifterna delas upp så att de rent tekniskt förvaras i olika servrar – och i form av flera datorsystem eller register – i regionerna, saknar alltså betydelse. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av . Dessa tankegångar har som utgångspunkt att en lag om behandling av personuppgifter inte skall reglera hur uppgifterna tekniskt organiseras, utan endast utgöra en rättslig ram för vilka uppgifter som får behandlas och på vilket sätt de får användas för att bl.a. säkerställa ett gott integritetsskydd. Detta innebär att regleringen av en databas i brottsbekämpande verksam- het kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register och datorsystem, utan att det för den sakens skull anges hur uppgifterna skall organiseras eller delas in i grupper. Om det i en lag anges att en sådan databas får innehålla samtliga uppgifter som behandlas i olika datorsystem eller register (t.ex. i underrättelseregistret och tullmålsjournalen), så tar man därigenom inte ställning till den tekniska utformningen. Det kan alltså i princip bli fråga om ett stort centralt eller flera små lokalt anordnade datorsystem eller register eller en blandning av båda alternativen. Det väsentliga är att de krav lagen ställer på behandlingen för att säkerställa enskildas integritet kan efterlevas. 11Författningsregleringen av behandling av uppgifter 11.1Lagstiftningens systematik och allmänna tillämpningsområde m.m. 11.1.1Den nya lagens systematik Vårt förslag: Den gällande lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet skall ersättas av en ny lag om behandling av uppgifter i brottsbekämpande verksamhet. Den nya lagen skall delas in i tre kapitel: –allmänna bestämmelser som i huvudsak är tillämpliga på all behandling av uppgifter som omfattas av lagen, –särskilda bestämmelser som endast gäller automatiserad behandling av uppgifter och handlingar i en gemensam databas, samt –bestämmelser om enskildas rättigheter vid behandlingen av personuppgifter. Som vi redovisar i kapitel 9 anser vi att det behövs så stora förändringar av den lagstiftning som skall reglera informations- hanteringen i brottsbekämpande verksamhet, att vi föreslår en ny lag som skall ersätta den gällande lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet. Vi har också övervägt hur en sådan helt ny lag bör struktureras. Det finns ingen enhetlig systematik bland de registerförfatt- ningar som gäller inom skilda myndighetsområden. Vilken systematik som väljs kan vara beroende av olika faktorer, exempelvis hur omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för Författningsregleringen av behandling av uppgifter Vi har valt att för brottsbekäm- pande verksamhet välja en författningsstruktur som till så stor del som möjligt stämmer överens med den som tillämpas i lagen (2001:185) om behandling av uppgifter i verksamhet, dvs. den lag som gäller för den fiskala verksamheten. Det innebär att det i ett första kapitel finns bestämmelser som skall tillämpas generellt på all behandling av uppgifter i den brottsbekämpande verksamheten, oavsett om det gäller e-post- hantering, enkel ordbehandling eller förandet av omfattande och för myndigheten gemensamma personregister. I ett andra kapitel återfinns regler som gäller endast för den särskilda form av automatiserad behandling av uppgifter och handlingar som utförs i en databas för gemensam användning i verksamheten. Till denna kategori hör främst myndighetens gemensamma personregister och ärendehanteringssystem. I ett avslutande kapitel samlas de bestämmelser som gäller vilka rättigheter enskilda har gentemot den personuppgiftsansvariga myndigheten, dvs. Vårt förslag: Lagen skall tillämpas vid behandling av personuppgifter i brottsbekämpande verksamhet, om behandlingen är helt eller delvis automatiserad. Även behandling av personuppgifter i register skall omfattas av lagens tillämpningsområde. De bestämmelser i lagen som reglerar ändamålen med och ansvaret för behandlingen, gallring och bevarande av uppgifter samt behandling av uppgifter i särskilda gemensamma automatiserade uppgiftssamlingar (databaser), skall vara tillämp- liga även vid behandling av uppgifter om juridiska personer. verksamhet kan delas in i två huvudsakliga delar, den fiskala och den brottsbekämpande verksamheten. Dessutom finns, som vid alla myndigheter, en intern administrativ verksamhet. Som exempel på administrativa arbetsområden kan nämnas personal- och lokalfrågor. Vi anser att det inte är nödvändigt med en specialreglering för att kunna hantera behandlingen av Författningsregleringen av behandling av uppgifter personuppgifter i den administrativa verksamheten (se avsnitt 10.3). För behandling av uppgifter som rör administrativa frågor, t.ex. i löneregister, skall alltså personuppgiftslagen tillämpas fullt ut. För den fiskala verksamheten med uttag av tullar, skatter och avgifter finns särskilda bestämmelser i lagen (2001:185) om behandling av uppgifter i verksamhet. Vi bedömer det som mest ändamålsenligt om dessa bestämmelser även fortsätt- ningsvis finns samlade i en egen lag. Den lag som vi nu föreslår skall därför reglera endast den behandling av uppgifter som rör den brottsbekämpande verksamheten inom . Gränsdragningen mellan tillämpningsområdena för den lag som reglerar fiskal verksamhet och den av oss föreslagna lagen som skall reglera brottsbekämpande verksamhet, måste utläsas av de ändamål som gäller för respektive lag. Vilka ändamål som gäller för behandling av uppgifter i brottsbekämpande verksamhet, och som alltså avgränsar lagens tillämpningsområde gentemot den fiskala verksamheten, redovisar vi i avsnitt 11.1.4. I vissa fall kan det vara tveksamt om en uppgift i ett datorsystem är hänförlig till den materiella eller den administrativa verksam- heten. Det är exempelvis vanligt att det i ett ärendehanterings- system finns uppgifter om vem som handlägger ett visst ärende och när denna person har semester samt till vilken avdelning, enhet eller sektion inom myndigheten som ett ärende hör. Den typen av uppgifter, som kan användas för att få till stånd en smidig handläggning av de ärenden som myndigheten hanterar, är enligt vår uppfattning rent administrativa. De hänför sig till den interna administrationen av myndighetens verksamhet och inte till de enskilda som kan vara föremål för myndighetens åtgärder. Behandlingen av sådana uppgifter berörs alltså inte av den av oss föreslagna lagstiftningen. EU:s dataskyddsdirektiv är inte tillämpligt på sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av EG-rätten, t.ex. statens verksamhet på straffrättens område. Det är i fråga om den brottsbekämpande verksamheten inom inte självklart vad som omfattas av direktivet. Stora delar av behandlingen av personuppgifter torde falla utanför tillämpningsområdet såsom hörande till just straffrättens område. Författningsregleringen av behandling av uppgifter Inom skilda processer i brottsbekämpande verksamhet ingår emellertid flera arbetsuppgifter som har mycket nära anknytning till uttag av skatter och tullar. Stora delar av arbetet med brottsbekämpning är dessutom direkt kopplat till EU-regler om det fria flödet av varor inom unionen. Enligt vår uppfattning bör en lag om behandling av uppgifter i brottsbekäm- pande verksamhet täcka alla arbetsuppgifter som kan anses falla inom ramen för brottsbekämpningen, oavsett om de faller inom tillämpningsområdet för dataskyddsdirektivet eller inte. Vi har därför inte funnit några skäl för att närmare analysera vid vilka behandlingar är bundna av dataskyddsdirektivet. Utgångs- punkten är i stället att lagen inte skall strida mot de grundläggande och bindande principerna i dataskyddsdirektivet, även om det i vissa avseenden skulle vara EG-rättsligt möjligt. För att uppfylla dataskyddsdirektivets krav anser vi att författningarna för skall omfatta samma grundläggande behandling som personuppgiftslagen, dvs. helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (register). Personuppgiftslagen gäller endast vid behandling av person- uppgifter, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer inte alls omfattas av lagen. behandlar stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. företag, myndigheter och andra organisationer som förekommer i ärenden. Dessa kategorier av juridiska personer har av naturliga skäl inte samma behov av integritetsskydd som levande fysiska personer. När man föreslår författningar som reglerar vad myndigheter får och inte får registrera i sina datorsystem och hur uppgifterna sedan får användas, finns det enligt vår uppfattning ändå anledning att låta författningarna omfatta även andra än levande fysiska personer. Vi föreslår därför att även juridiska personer skall omfattas av de bestämmelser i lagen som anger ändamålet med och ansvaret för behandlingen samt som reglerar hur länge uppgifter får bevaras. När uppgifter behandlas i gemensamma datorsystem (se avsnitt 11.2 om databaser) skall även bestämmelser om innehåll samt utlämnande av, åtkomst till och sökning efter uppgifter och handlingar omfatta juridiska personer. Författningsregleringen av behandling av uppgifter Vårt förslag: Bestämmelser i personuppgiftslagen skall tillämpas på behandling av personuppgifter i brotts- bekämpande verksamhet endast när det anges särskilt. De bestämmelser i personuppgiftslagen som skall vara allmänt tillämpliga är de om definitioner, förhållandet till offentlighets- principen, grundläggande krav på behandling, säkerheten vid behandling, överföring av personuppgifter till tredje land, personuppgiftsombudets uppgifter, upplysningar till allmän- heten om vissa behandlingar, tillsynsmyndighetens befogenheter samt straff. I vissa fall skall även bestämmelsen om användning av personnummer vara tillämplig. En viktig fråga är i vilken omfattning personuppgiftslagens bestämmelser skall vara direkt tillämpliga på den brottsbekämpande verksamheten. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter och den kommer därför att gälla i verksamhet, om det inte finns avvikande bestämmelser i lag eller förordning. Som vi nämner i avsnitt 10.3 behövs det avvikande bestämmelser för . Det innebär att det i den lag som vi föreslår kommer att finnas vissa uttryckliga bestämmel- ser som avviker från personuppgiftslagen. uppstår frågan hur man skall hantera de regler som inte skall avvika från personuppgiftslagen. I tidigare lagstiftningsärenden har olika varianter förekommit. En modell är att i en särskild författning över huvud taget inte nämna personuppgiftslagen eller klart ange att den särskilda författningen gäller utöver den lagen. I bägge fallen gäller avvikande bestämmelser i den särskilda författningen före personuppgiftslagen. När reglering saknas i den särskilda författ- ningen kommer däremot personuppgiftslagens bestämmelser att vara tillämpliga. Nackdelen med en sådan modell är att lagtillämpa- ren kan ha svårt att få en överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i den särskilda författningen finns bestämmelser som kanske endast delvis avviker från personuppgiftslagens regler. Modellen används bl.a. i polisdatalagen (1998:622), och det har visat sig att modellen Författningsregleringen av behandling av uppgifter har mött kritik inom polisväsendet just på grund av att den anses svår att tillämpa. har därför i betänkandet Behandling av personuppgifter i polisens verksamhet (SOU 2001:92) föreslagit en annan modell. modell innebär att de bestämmelser i personuppgiftslagen som skall vara tillämpliga skrivs ut i klartext i den särskilda författningen om behandlingen av personuppgifter. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens behöva gå till personuppgiftslagen. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att man därigenom inför en onödig form av dubbelreglering, eftersom personuppgiftslagens bestämmelser ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgifts- lagen att motsvarande justeringar måste göras i den särskilda författningen. Den särskilda lagen kan även komma att bli onödigt omfattande till formatet. En tredje modell innebär att de bestämmelser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som skall vara tillämpliga. Denna metod tillämpas bl.a. i den lagstiftning om behandling av personuppgifter som gäller inom fiskala verksamhet och inom skatteförvaltningen. Fördelarna är enligt vår mening att lagstiftningen blir mer överskådlig, tydlig och lättillämpad än om inga hänvisningar görs till personuppgiftslagen. Metoden fick emellertid kritik av lagrådet, som bl.a. ansåg att lagstiftningstekniken var riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagarna som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller missvisande (se prop. 2000/01:33, s. 345 f.). Det finns enligt vår uppfattning ett stort värde i att inte lämna lagtillämparen utan vägledning när det gäller tolkningen av vilka bestämmelser i personuppgiftslagen som är tillämpliga. Det visar inte minst de tidigare nämnda problem som förekommer inom polisväsendet med tolkningen av vilka bestämmelser i person- uppgiftslagen som är tillämpliga vid sidan av polisdatalagen. Vi anser vidare att man inte skall överdriva den av lagrådet påtalade risken att hänvisningar kan bli felaktiga vid lagändringar. Vår bedömning är att de ovan nämnda fördelarna med en metod som innebär att det i varje lag ges uttryckliga hänvisningar till de