sou · GQB3113d2 · 2003-01-01 00:00:00 — Det innebär att om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade, så gäller inte de ovan redovisade bestämmelserna i personuppgiftslagen om information. Information om elektroniska handlingar i databaser En viktig del av vårt förslag till lag om behandling av uppgifter i brottsbekämpande verksamhet gäller möjligheten att behandla elektroniska handlingar i tullbrottsdatabasen. Under förutsättning att det konstrueras datorsystem för , som innefattar en avancerad elektronisk ärendehan- tering, kommer stora mängder handlingar att kunna finnas elektroniskt lagrade i databasen. Det kan gälla elektroniska dokument i form av upprättade beslut, handlingar från enskilda eller myndigheter som skannats och lagrats som bilder samt digitala ljud- och bildupptagningar. Liknande system finns vid vissa myndigheter. När en registrerad begär att få information enligt personuppgiftslagen kan det, utan särskilda bestämmelser för elektroniska handlingar, bli nödvändigt för att skriva ut Författningsregleringen av behandling av uppgifter och skicka papperskopior av samtliga dessa elektroniska handlingar till den registrerade. Vi ifrågasätter värdet av en sådan informationshantering. Enligt vår uppfattning finns det inte några starka skäl från integritets- synpunkt för att informera en registrerad om genomförd behand- ling genom att skicka ut kopior av handlingar som han eller hon redan har tagit del av under ett ärendes handläggning, exempelvis en förundersökning som är delgiven. Eftersom antalet elektroniska handlingar i olika databaser med stor sannolikhet kommer att öka väsentligt , finns det dessutom en risk att den som begär information om vilka uppgifter som behandlas om honom eller henne hos olika myndigheter, får del av så stora mängder uppgifter att det kan vara svårt att tillägna sig informationen. Under förutsättning att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från finns registrerade samt att han eller hon får en förteckning över dessa handlingar, finns det enligt vår mening inte några starka argument mot att göra undantag för de elektroniska handlingarna. För att en bestämmelse om ett sådant undantag skall vara tillämpbar i praktiken bör det vara tillräckligt att finner det sannolikt att den registrerade har tagit del av handlingarnas innehåll. I fråga om handlingar som inte har skickats in av den enskilde själv, bör det således räcka att det hos myndigheten finns anteckningar om att handlingen har expedierats till den registrerade. Den beskrivna modellen har accepterats av bl.a. i och med införandet av den lag om behandling av personuppgifter som gäller för fiskala verksamhet (se prop. 2000/01:33, bet. 2000/01:SkU20, rskr. 2000/01:76 ). Vi anser att samma regler bör gälla för den brottsbekämpande verksamheten, och föreslår därför att elektroniska handlingar inte behöver lämnas ut till en enskild i samband med att fullgör sin informationsskyldighet enligt 26 § personuppgiftslagen, om den enskilde har tagit del av handlingens innehåll. Vi anser emellertid att enskilda inte helt skall fråntas rätten att med tillämpning av 26 § personuppgiftslagen ta del av elektroniska handlingar som de har gett in eller som har expedierats till dem. Det är i och för sig möjligt för enskilda att ta del av handlingarna med stöd av bestämmelserna i 2 kap. tryckfrihetsförordningen. Till skillnad från vad som gäller enligt 26 § personuppgiftslagen ger emellertid inte dessa bestämmelser den enskilde rätt till kostnadsfri Författningsregleringen av behandling av uppgifter Dessutom ger de inte heller den enskilde rätt till särskild och direkt upplysning om vilka handlingar som lagras elektroniskt. I viss mån kan enskilda få sådan information genom de förteckningar över handlingar som en myndighet skall föra enligt 15 kap. 11 § sekretesslagen och 6 § 2 arkivlagen, men inte i den omfattning som följer av informationsskyldigheten enligt personuppgiftslagen. Tryckfrihetsförordningens bestämmelser kan enligt vår uppfattning därför inte ersätta personuppgiftslagens bestämmelse om rätt till information om elektroniska handlingar. Vi föreslår därför att fullständig information om vilka uppgifter som behandlas, således även utskrifter av elektroniska handlingar, skall lämnas om den enskilde särskilt begär det. I detta sammanhang bör något sägas om informationsskyldig- heten vid behandling av personuppgifter om enskilda i ett ärende som inte primärt gäller dem, t.ex. vittnen eller andra personer som förekommer i en förundersökning utan att vara misstänkta. Personer som finns omnämnda i elektroniska handlingar som hör till ett ärende som inte primärt rör dem, omfattas inte av en sådan undantagsbestämmelse som vi föreslår, om de inte själva har gett in en handling. De har nämligen med största sannolikhet inte fått del av handlingarna i ärendet genom delgivning eller på annat sätt. Det innebär emellertid inte med nödvändighet att de har rätt att enligt 26 § personuppgiftslagen få information om behandlingen. Vi föreslår att endast ett fåtal uppgifter skall vara tillåtna som sökbegrepp vid sökning efter elektroniska handlingar i en databas, nämligen namn och personnummer, datum då en handling kom in eller upprättades, diarienummer, till vem handlingen har expedierats eller från vem den har kommit in samt i korthet vad handlingen rör (se avsnitt 11.7.3). Det innebär att kan komma att sakna rättsliga befogenheter, och kanske även tekniska möjligheter, att kontrollera i vilken omfattning uppgifter om en person behandlas i elektroniska handlingar som hör till ett ärende som inte primärt rör honom eller henne. I de fallen har enligt vår mening en person som är registrerad på ett sådant sätt inte heller rätt att kräva att myndigheten gör den typen av kontroller. Slutligen kan det vara värt att påpeka att information inte behöver lämnas om elektroniska handlingar som ännu inte är färdigställda, dvs. beslutskoncept och liknande, oavsett att den registrerade inte har fått del av handlingarna. Som vi nämner tidigare i detta avsnitt görs nämligen i 26 § personuppgiftslagen Författningsregleringen av behandling av uppgifter undantag för uppgifter i löptext som inte fått sin slutliga utformning. Detsamma gäller för minnesanteckning eller liknande. Vårt förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall tillämpas på motsvarande sätt vid behandling av personuppgifter i brottsbekämpande verksamhet. Personuppgiftslagens bestämmelse om rättelse I korthet innebär bestämmelsen i 28 § personuppgiftslagen om rättelse att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte behandlats i enlighet med lagstiftningen. När en personuppgiftsansvarig vidtar rättelse i fråga om en personuppgift skall underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Det är enligt vår uppfattning av väsentlig betydelse att person- uppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten skall undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller special- bestämmelser som gäller för . Vi föreslår därför att bestämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av personuppgifter i brottsbekämpande verksamhet. När skall rättelse vidtas? En personuppgift skall rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange Författningsregleringen av behandling av uppgifter vad som är felaktig behandling är därför inte möjligt, men något förenklat anser vi att en indelning av olika fel kan göras i två grupper. Felaktig behandling kan för det första bestå i att personuppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). Felaktig behandling kan även bestå i att personuppgifter, oavsett om de är korrekta eller inte, används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifter används (oriktig användning). Oriktig användning kan exempelvis innebära att en uppgift används på ett sätt som är oförenligt med de ändamål för vilket den samlades in, att en otillåten uppgift förs in i en databas eller att en uppgift inte gallras inom föreskriven tid. Även underlåtenhet att behandla en personuppgift torde i vissa fall kunna innebära oriktig användning. Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter i brottsbekämpande verksamhet. I fråga om oriktiga uppgifter är det vanligtvis inte svårt att avgöra om det föreligger en felaktig behandling. Typiska exempel på oriktiga uppgifter är att fel personnummer eller fel adress har angetts för en person. Sådana fel är det ofta enkelt att konstatera på ett objektivt sätt och det torde sällan råda någon oenighet i fråga om uppgiften är fel eller inte. Det är emellertid inte i alla situationer självklart om en uppgift är oriktig. Som exempel kan tas följande situation. Under ett förhör som dokumenteras genom digital ljudupptagning i en förundersökning uppger den misstänkte att han befann sig på en viss plats. under förhöret ändrar han sin utsaga och klargör att han sa fel och egentligen var på en annan plats. Är den ursprungliga uppgiften då att anse som oriktig? Den kan självfallet vara oriktig så till vida att den inte korrekt återger ett verkligt sakförhållande, men riktig på så sätt att den korrekt återger vad den misstänkte faktiskt sa. Motsvarande situation kan uppstå i flera olika sammanhang när uppgifter behandlas elektroniskt. Enligt vår uppfattning måste bedömningen av om en uppgift i ett fall som det ovanstående skall anses vara oriktig eller inte, dvs. om uppgiften skall rättas, göras mot bakgrund av vilka krav verksamheten ställer på uppgiftsbehandlingen. I exemplet är det uteslutet att den ursprungliga uppgiften skall rättas i den digitalt lagrade ljudupptagningen. Förutom att det skulle innebära att en allmän handling manipuleras, kan uppgiften behövas i den fortsatta Författningsregleringen av behandling av uppgifter Under förutsättning att den ursprungliga uppgiften lagras och i övrigt behandlas i överensstämmelse med de bestämmelser som gäller för behandling av personuppgifter vid , kan enligt vår uppfattning inga krav ställas på rättelse. Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att man bör ha som utgångspunkt att en uppgift – trots att den inte återger en korrekt bild av ett sakförhållande – inte är oriktig i den bemärkelsen att den skall rättas, om den korrekt återger ett händelseförlopp i verksamheten och dessutom behövs i densamma. Det får emellertid bli en fråga för framtida praxis att ge närmare lösningar på problemen med att avgöra under vilka förutsättningar rättelse skall göras. Det bör påpekas att endast fysiska personer kan åberopa bestämmelsen om rättelse i personuppgiftslagen. Om en juridisk person anser att en uppgift är fel och påtalar detta för , bör verket naturligtvis ändå kontrollera påståendet och, om det finns anledning till det, även rätta uppgiften. Hur skall rättelse vidtas? Rättelse kan göras genom att en uppgift rättas, blockeras eller utplånas. Att en personuppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter skall vara förknippade med information om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. I personuppgiftslagen finns inga bestämmelser om när en viss form av rättelse skall vidtas, utan det bör vara upp till den personuppgiftsansvarige att avgöra om en uppgift skall rättas, blockeras eller utplånas. Det torde vanligtvis inte vara några problem att avgöra hur rättelse skall göras. Om en uppgift har blivit felaktig i samband med registreringen, t.ex. angivande av felaktig adress till en misstänkt, bör felet givetvis åtgärdas genom att uppgiften rättas, dvs. i nämnda exempel att korrekt adress anges. Om en uppgift som enligt lagstiftningen över huvud taget inte får behandlas i en databas ändå har registrerats, är den rimliga åtgärden att uppgiften gallras, t.ex. genom att utplånas. När en uppgift befinns vara oriktig, men ändå är av betydelse i verksamheten, kan ett alternativ Författningsregleringen av behandling av uppgifter vara att uppgiften kompletteras med nya och korrekta uppgifter som den ursprungliga uppgiften blockeras. Någon närmare vägledning om hur rättelse skall göras är enligt vår mening inte möjlig att ge. En bedömning av vilken åtgärd som är mest ändamålsenlig får göras i de enskilda fallen. Enskildas rätt till skadestånd Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Rätten till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda bestämmelserna i vårt lagförslag. Vi förslår därför att bestämmelserna om skadestånd i 48 § personuppgiftslagen skall tillämpas på motsvarande sätt när personuppgifter behandlas i strid med den lag som reglerar behandling av uppgifter i brottsbekämpande verksamhet. I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skadestånd endast fysiska personer. En juridisk person får i stället i den ordning som gäller för statlig verksamhet i allmänhet vända sig till Justitiekanslern – eller till allmän domstol – om personen anser att behandling av uppgifter vid har vållat skada. Vårt förslag: beslut om rättelse och om information som skall lämnas efter begäran av en registrerad skall, med vissa undantag, kunna överklagas hos allmän förvaltningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Beslut av en myndighet som direkt berör en enskild och som inte är av rent intern administrativ karaktär, bör enligt vår uppfattning i allmänhet kunna överklagas. I fråga om behandling av person- uppgifter i brottsbekämpande verksamhet gäller det framför allt beslut att avslå en ansökan om information om pågående behandlingar samt beslut att avslå en begäran om rättelse. Överklagande bör enligt vår uppfattning vara möjligt i båda fallen. Författningsregleringen av behandling av uppgifter Den normala ordningen när en myndighet fattar ett beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol och att det krävs prövningstillstånd för vidare överklagande till kammar- rätten. Detta är också vad som generellt gäller för nyare författningar om behandling av personuppgifter i offentlig verksamhet, t.ex. i fiskala verksamhet. Enligt vår mening är det den logiska ordningen även för den brottsbekäm- pande verksamheten. Vårt förslag är därför utformat på det sättet. 12Direktåtkomst för till Tulldatasystemet (TDS) i den brottsbekämpande verksamheten I avsnitt 5.3 beskriver vi det fiskala Tulldatasystemet (TDS) och vilka uppgifter som får behandlas i systemet. Vi lämnar också en kort redogörelse för hur regleringen av behandling av uppgifter inom fiskala verksamhet ser ut. I avsnitt 9.2 redogör vi för de behov som anser sig ha av direktåtkomst till TDS i den brottsbekämpande verksamheten. Behovsbeskrivningen grundar sig på information som har inhämtats vid våra studiebesök och efter särskilda förfrågningar till de olika regionerna. I detta kapitel redovisar vi vår uppfattning i frågan om i sin brottsbekämpande verksamhet bör ha direktåtkomst till TDS eller inte. Frågan om användning av fiskala register för brottsbekämpande verksamhet genom direktåtkomst har varit föremål för diskussion , såvitt avser både skatteförvaltningen och . Kapitlet inleds därför med en redogörelse för vissa tidigare ståndpunkter i frågan. Därefter behandlas frågan om i den brottsbekämpande verksamheten behöver direkt- åtkomst till TDS och andra fiskala register samt hur en sådan åtkomst skulle påverka verksamhetens effektivitet. Förutom att ett reellt behov av direktåtkomst till TDS måste kunna påvisas och att åtkomsten måste medföra avsevärda möjligheter till effektivitets- vinster, krävs enligt vår uppfattning att ytterligare förutsättningar är uppfyllda för att direktåtkomst skall tillåtas. För det första måste ett tillfredsställande skydd för den personliga integriteten kunna garanteras. Vidare måste det säkerställas att fiskal information som på grund av sekretesslagstiftningen inte får lämnas ut till den brottsbekämpande verksamheten utan föregående sekretesspröv- ning, inte görs åtkomlig genom direktåtkomsten. Slutligen måste det klargöras att direktåtkomst till TDS i brottsbekämpande verksamhet inte i något avseende strider mot bestämmelserna i artikel 6 i . Direktåtkomst för till Tulldatasystemet Det skall poängteras att när vi i kapitlet talar om direktåtkomst till TDS, avser vi genomgående även övriga fiskala stödsystem i den tulldatabas som förs med stöd av lagen (2001:185) om behandling av uppgifter i verksamhet och i vilken TDS är det dominerande systemet (se avsnitt 5.3). 12.1Tidigare synpunkter på användningen av fiskala datasystem för brottsbekämpning I betänkandet Integritet – Effektivitet – Skattebrott (SOU 1998:9) redovisade sina synpunkter på bl.a. användningen av fiskala skatteregister i skattebrottsenheternas arbete. Utredningen konstaterade att skattebrottsenheterna behöver tillgång till skatteregistren för att kunna bedriva sitt arbete så effektivt som möjligt. Enligt utredningen gäller detta främst i de fall då enheterna inte arbetar med att biträda åklagare i förunder- sökningar, och behovet är sannolikt störst i t.ex. underrättelse- verksamhet och analysarbete. Störst effektivitet uppnås enligt utredningen om direktåtkomst tillåts, dvs. att skattebrotts- enheterna inte behöver gå via de fiskala enheterna för att få relevant information. Utredningen framhöll att effektivitetsvinsterna med att skattemyndigheterna övertar polisens roll i fråga om att bekämpa skattebrott delvis skulle komma att gå förlorade om direktåtkomst inte medgavs. Utredningen anförde vidare att behovet av direktåtkomst inte var det enda argumentet för att skattebrottsenheterna borde ges sådan tillgång till registren. Även det faktum att skattebrottsenheterna, redan med stöd av de då gällande bestämmelserna, kunde ta del av de flesta av de sökta uppgifterna efter en sekretessprövning, om än inte genom direktåtkomst, borde vägas in i bedömningen. Det påpekades även att direktåtkomst skulle innebära att färre personer får del av känsliga uppgifter om personer som är misstänkta för skattebrott. Dessutom finns det enligt utredningen en nära koppling mellan beskattningsverksamhet och ekonomisk brottslighet på skatte- området. Direktåtkomst för till Tulldatasystemet Utredningen framhöll också att direktåtkomst inte innebär att det starka sekretesskyddet för uppgifterna enligt 9 kap 1 § sekretesslagen skulle försvagas och att skattebrottsenheterna inte skulle tillåtas att utnyttja de urvalssystem som används i den fiskala verksamheten för att fritt kunna fiska efter intressant informa- tion i skatteregistren. Det ansågs vara helt oförenligt med förutsättningarna för behandling av personuppgifter i brottsbekäm- pande verksamhet, eftersom det oundvikligen skulle innebära behandling av information om personer som inte hade eller kunde misstänkas ha någon som helst anknytning till skattebrott. För att förhindra en sådan användning av registren vid direktåtkomst föreslog utredningen att endast sådana uppgifter som är adekvata och relevanta i förhållande till ändamålet med behandlingen, skulle få behandlas. Behandlingen föreslogs inte heller få omfatta fler uppgifter än vad som är nödvändigt för ändamålet med behand- lingen. Sammantaget talade dessa omständigheter enligt utredning- en för att skattebrottsenheterna borde få direktåtkomst till det centrala skatteregistret. Flera remissinstanser avstyrkte utredningens förslag i denna del. Remissinstanserna anförde bl.a. att om skattebrottsenheterna skulle ges direktåtkomst till skatteregistret, så skulle prövningen av utlämnande av uppgifter mellan myndigheter komma att kringgås. Det förhållandet att skattebrottsenheterna skulle få direktåtkomst ansågs vidare vara ägnat att minska tilltron till att dessa enheter och skattemyndigheternas fiskala sida hölls åtskilda. Den föreslagna öppenheten skulle innebära att det knappast kunde sägas råda någon egentlig åtskillnad mellan den fiskala och den brottsut- redande verksamheten. Enligt några av remissinstanserna innebar åtkomsten risk för integritetsintrång. Förslaget bedömdes av vissa även kunna komma i konflikt med artikel 6 i . Det framhölls också att skattebrottsenheterna inte borde ha större tillgång till det centrala skatteregistret än vad polisen har. hade däremot inget att erinra mot utredningens förslag om direktåtkomst och påpekade att sekretessbestämmel- serna torde utgöra ett fullgott skydd för den enskildes integritet. Regeringen delade inte utredningens uppfattning att skatte- brottsenheterna borde få direktåtkomst till det centrala skatte- registret (prop. 1998/99:34). Det fanns enligt regeringens mening i och för sig ingen tvekan om att skattebrottsenheternas arbete skulle kunna bedrivas effektivare om de medgavs direktåtkomst. Emellertid kvarstod enligt regeringens uppfattning det ofrånkom- Direktåtkomst för till Tulldatasystemet liga, nämligen att risken för otillbörligt integritetsintrång ökar när fler myndigheter och befattningshavare får tillgång till skatte- registret. Behovet av direktåtkomst måste vägas mot denna risk. För att skattebrottsenheterna skall få direktåtkomst måste således behovet av att de snabbt och enkelt får tillgång till uppgifter i skatteregistret väga tyngre än den risk från integritetssynpunkt som åtkomsten medför. Regeringen anförde vidare att den redan i samband med inrättan- det av de särskilda skattebrottsenheterna hade uttalat att enheterna organisatoriskt skulle hållas åtskilda från skatteutredningar. Skälet till detta var dels att den enskildes rättssäkerhet skulle säkerställas, dels att den s.k. ändamålsprincipen skulle upprätthållas, dvs. den princip som innebär att det inte är tillåtet att med stöd av regelverket för skatteutredningar ta fram uppgifter som inte behövs i beskattningsverksamheten utan endast i brottsutredningar och vice versa. Regeringen framhöll särskilt att brottsutredningar och skatteutredningar har olika syften och regleras av olika regelverk. Det ansågs vidare vara väsentligt att det inte råder något tvivel om att den fiskala och den brottsutredande verksamheten inom skatte- myndigheten bedrivs åtskilda. Utredningens förslag om direkt- åtkomst innebar, enligt regeringens uppfattning, att den prövning av utlämnande av uppgifter mellan myndigheter som skall ske inte görs. Om direktåtkomst medgavs skulle det därför föreligga en risk för otillbörligt intrång i den enskildes integritet. Det bedömdes vidare finnas risk för att andra brottsbekämpande myndigheter kunde komma att hävda att även de har behov av direktåtkomst till det centrala skatteregistret för sin verksamhet.