sou · GQB3113d2 · 2003-01-01 00:00:00 — Flera statliga myndigheter har tillgång till datorbaserade personregister som används både som informationsdatabaser vid handläggning av ärenden och som lagringsenheter för elektroniskt upprättade eller inkomna handling- ar. En utveckling mot sådana mer avancerade datorsystem pågår även inom i dess brottsbekämpande verksamhet. En väsentlig skillnad mellan databehandling i personregister och vanlig ordbehandling, är att registren utnyttjas gemensamt i verksamheten inom en myndighet. Medan ordbehandling kan sägas vara ett tekniskt hjälpmedel för handläggare och andra i själva upprättandet av handlingar, utgör personregistren ett allmänt informations- hjälpmedel vid handläggningen av ärenden m.m. genom att de underlättar framtagandet av underlag för olika beslut. Enligt vår mening måste det för finnas särskilda regelverk för sådan automatiserad behandling av personuppgifter som inte utgörs av t.ex. vanlig ordbehandling eller e-post- kommunikation och som inte är av helt tillfällig natur. De stora gemensamma uppgiftssamlingar hos statliga myndigheter som dagens personregister och ärendehanteringssystem utgör innebär – Författningsregleringen av behandling av uppgifter på grund av såväl antalet personer som har tillgång till uppgifterna som de tekniska möjligheterna att söka i materialet och göra sammanställningar om registrerade personer – en påtaglig risk för otillbörliga intrång i enskildas personliga integritet. Den risken blir än större ju mer avancerade system som utvecklas. Från integritetssynpunkt finns det därför enligt vår mening starka skäl för att skapa tydliga regler om vad som är tillåtet i fråga om sådan behandling. I och med genomförandet av dataskyddsdirektivet i svensk lagstiftning har den rättsliga begreppsapparaten vid datoranvänd- ning ändrats. I personuppgiftslagen talas det inte längre om förande av personregister som i datalagen, utan om behandling av personuppgifter. För att särskilja den rättsliga regleringen av sådan automatiserad behandling som görs i uppgiftssamlingar för gemensamt bruk, dvs. personregister och ärendehanteringssystem, från den automatiserade behandling av uppgifter som förbehålls enskilda tjänstemän eller avgränsade projektgrupper, t.ex. ordbehandling och vanlig e-posthantering, har vi valt att införa det rättsliga begreppet databas i lagstiftningen (se avsnitt 10.5). Avgörande för vilka gallringsfrister och sökbegränsningar som gäller samt i vilken omfattning känsliga personuppgifter får behandlas m.m., bör bl.a. vara om uppgifter behandlas i en databas eller inte. I teorin skulle en databas för en viss verksamhet kunna delas in i två undergrupper. Databaser, som vi ser dem, kan nämligen sägas bestå av dels en eller flera samlingar av enskilda kortfattade uppgifter som används för att få fram underlag till beslut i verksamheten (informationsdatabaser), dels handlingar som kommer in eller upprättas i ett ärende och som bearbetas och lagras i ett ärendehanteringssystem (ärendedatabaser). Traditionellt har personregister i praktiken utgjorts av egentliga informations- databaser, men i och med framväxten av avancerade ärendehante- ringssystem har även ärendedatabaser inordnats i lagstiftning om personregister i statlig verksamhet. Vi har emeller- tid inte funnit anledning att i den av oss föreslagna lagstiftningen göra någon begreppsmässig åtskillnad mellan olika funktioner i en databas. Däremot finns det enligt vår mening skäl för att i vissa delar ha olika regler för de olika funktioner som består av å ena sida hanteringen av enskilda s.k. fältuppgifter, t.ex. namn och adress m.m., och å andra sidan hanteringen av elektronisk handlingar. Det gäller frågor om vilka uppgifter respektive elektroniska handlingar Författningsregleringen av behandling av uppgifter som får registreras samt i vilken omfattning direktåtkomst skall tillåtas, och olika sökbegrepp få användas, till uppgifterna och handlingarna. Vi återkommer till detta längre fram i kapitlet. Sammanfattningsvis måste det enligt vår mening finnas särskilda regler för sådan automatiserad behandling av personuppgifter som inte utgörs av vanlig ordbehandling e.d. och som inte är av helt tillfällig natur. Av integritetsskäl bör det skapas tydliga regler om vad som är tillåtet vid sådan behandling. För en databas bör därför särskilda bestämmelser gälla för vilka uppgifter som får behandlas, vilka sökbegrepp som får användas, när uppgifter får lämnas ut elektroniskt samt när uppgifterna skall gallras. För den resterande behandlingen av uppgifter kan enligt vår uppfattning ett enklare regelverk vara tillräckligt. Det gäller alltså sådan mer tillfällig behandling som sker för den enskilde tjänstemannens bruk eller som i vart fall är förbehållen avgränsade projektgrupper e.d. på ett sådant sätt att uppgifter inte kan sägas användas gemensamt i den brottsbekämpande verksamheten. 11.2.2Gränsdragningen mellan gemensam behandling i en databas och annan behandling av uppgifter För att begreppet databas skall vara praktiskt användbart på vissa särreglerade uppgiftssamlingar inom , krävs att det är möjligt att avgöra var gränslinjen går mellan behandling i en databas för gemensamt bruk och annan mer avgränsad behandling, t.ex. vanlig ordbehandling. En grundläggande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är enligt vår mening att uppgiften används gemensamt i en viss verksamhet för de ändamål som styr behandlingen av uppgifter inom verksamheten. Det väsentliga är inte på vilket sätt uppgiften tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. Det avgörande för om en uppgift används gemensamt inom brottsbekämpande verksam- het och därmed utgör en beståndsdel i en tullbrottsdatabas, är således om den behandlas på ett sätt som medför att den utgör allmän egendom i verksamheten. Att olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer inom , förtar enligt vår uppfattning i sig inte uppgifternas egenskap som Författningsregleringen av behandling av uppgifter Detsamma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en viss region vid . Vi anser att det bör finnas en gemensam databas för den brottsbekämpande verksamheten inom . Det betyder dock inte att en uppgift nödvändigtvis måste vara tillgänglig hos samtliga enheter vid samtliga regioner för att ingå i databasen. Det är tillräckligt att en uppgift görs tillgänglig för handläggarna vid en viss region. En uppgift som registreras och lagras i ett datorsystem på ett sådant sätt att tjänstemännen inom en eller flera regioner har möjlighet att vid behov och i olika sammanhang – t.ex. i samband med handläggningen av förundersökningsärenden eller vid fram- tagandet av riskprofiler i underrättelseverksamhet – ta del av uppgiften direkt på automatiserad väg måste således anses gemensamt tillgänglig. Uppgiften utgör därmed en del av en databas. Detta är vad som gäller för de uppgifter som lagras inom ramen för olika författningsreglerade personregister hos . Som exempel kan nämnas underrättelseregistret, tullmålsjournalen samt beslags- och analysregistret. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn skall användas av andra än den som utför behandlingen. Det förhållandet att systemadministratören – eller en annan tjänsteman vid – kan få åtkomst till uppgiften genom ett visst tekniskt förfarande, kan inte anses innebära att uppgiften som sådan är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en uppgift behandlas tillfälligt i en dator med det uttalade syftet att den senare skall matas in i systemet och göras gemensam, att den är en del av databasen. Däremot kommer uppgiften att omfattas av det särskilda regelverket för en databas när den väl är registrerad i det gemensamma systemet. Ett exempel på en sådan situation kan vara att en sammanställning av inkomna tips arbetas fram med hjälp av ordbehandling och därefter registreras i ett allmänt underrättelse- register som är gemensamt tillgängligt för tullens underrättelse- sektioner. I de flesta fall ser vi inga problem med att bedöma om en uppgift behandlas gemensamt eller inte. I princip görs samma gränsdrag- Författningsregleringen av behandling av uppgifter ning när det skall avgöras om en uppgift ingår i ett visst författningsreglerat personregister eller inte. En tjänsteman på kan utan svårigheter avgöra om han eller hon för tillfäl- let arbetar med uppgifter direkt i ett gemensamt personregister som underrättelseregistret eller med uppgifter i ett ordbehandlings- dokument. Det kan förväntas, och ställas krav på, att dator- systemen inom en myndighetsorganisation konstrueras på ett sådant sätt att några tvivel om huruvida en viss uppgift ingår i en databas inte uppstår i samband med att den förs in. Den personuppgiftsansvarige har naturligtvis, tillsammans med ansvarig systemleverantör, också ett ansvar för att gränsdragningsproblem inte uppstår på grund av brister i den tekniska utformningen av ett datorsystem. Det kan emellertid förekomma situationer där gränsdragningen mellan behandling i databaser och annan behandling inte vid en första anblick är helt självklar. Det gäller främst när de behandlade uppgifterna inte ingår i ett för gemensamt nätverk, men ändå är tillgängliga för flera tjänstemän inom en eller flera tullregio- ner. Som exempel kan tas den situationen att en projektgrupp – bestående av ett antal tjänstemän vid en eller flera regioner – samarbetar i ett underrättelseprojekt för att kartlägga en viss typ av smuggling. Att en sådan grupp tjänstemän gemensamt behandlar uppgifter i t.ex. tillfälligt upprättade projektregister, medför inte att uppgifterna kan anses ingå i tullbrottsdatabasen. När en projektgrupp är avgränsad på ett sådant sätt att det kan förutses att endast ett begränsat antal personer kan ta del av de uppgifter som behandlas och detta sker för ett begränsat och bestämt syfte, kan uppgifter enligt vår mening nämligen inte anses gemensamt använda inom . Om uppgifterna däremot behandlas i ett för myndigheten gemensamt system, t.ex. i ett allmänt under- rättelseregister, och åtkomsten till uppgifterna inte är begränsad till projektgruppen utan även andra tjänstemän kan ta del av dem för olika syften, måste behandlingen anses ske inom den rättsliga ramen för databasen. När uppgifter som är införda i ett datorsystem och gemensamt tillgängliga i en viss verksamhet, dvs. ingår i en databas, sambearbe- tas med varandra i det gemensamma systemet, skall behandlingen göras i enlighet med det för databasen gällande regelverket. Som exempel kan nämnas att en tullkriminalenhet gör sammanställ- ningar av icke avslutade förundersökningar gällande en viss typ av brott, genom att i ett sökprogram som används i ett gemensamt Författningsregleringen av behandling av uppgifter ärendehanteringssystem ge variabler som utgörs av uppgifter införda i databasen, t.ex. brottsrubricering och uppgift om att handläggning inte är avslutad. Framtagandet av en sådan samman- ställning utgör en eller flera behandlingar i databasen och de särskilda bestämmelserna som gäller för sådan behandling skall därför tillämpas. Om däremot uppgifter som är införda i en databas sambearbetas med externa uppgifter – dvs. uppgifter som inte är registrerade i databasen – genom att hämtas från databasen och därefter, utanför det gemensamma systemet, behandlas tillsammans med de externa uppgifterna, skall i stället de allmänna bestämmelserna om behand- ling av personuppgifter i myndighetens verksamhet tillämpas. En sådan situation kan uppstå när en tjänsteman vill jämföra eller på andra sätt bearbeta uppgifter som samlats in i ett underrättelse- projekt med uppgifter som har förts in i ett underrättelse- register i databasen. Uppgifter som ingår i databasen kan då i förväg kopieras från det gemensamma datorsystemet till en dator som används av en enskild tjänsteman eller en avgränsad grupp av tjänstemän och därefter behandlas tillsammans med de externa uppgifterna. Exempelvis kan tidigare registrerade namn och uppgifter om personer hämtas från det gemensamma systemet för att arbetas in i ett tillfälligt register som används i ett särskilt underrättelseprojekt och därför är tillgängligt endast för en avgränsad grupp tjänstemän. Situationen kan jämföras med att uppgifter i en databas lämnas ut på medium för automatiserad behandling till en utomstående myndighet och därefter behandlas i den senares verksamhet. Även i en sådan situation kommer andra bestämmelser att gälla när uppgifterna lämnat databasen. Det skulle emellertid strida mot syftet med den föreslagna lagstiftning- en att kopiera delar av en databas och vid sidan av det gemensamma datorsystemet utföra behandlingar som normalt utförs i systemet, endast för att på det sättet kringgå bestämmelser som gäller för behandling av uppgifter i databasen. Det är inte möjligt att i lagstiftningen dra någon exakt gräns för när en viss behandling skall anses ske i en databas och därmed omfattas av det särskilda regelverket för denna. Inte minst beror detta på att det inte är möjligt att förutse den tekniska utvecklingen inom datorområdet och de möjligheter som kan komma att öppna sig i fråga om informationsöverföring. Enligt vår uppfattning måste det från fall till fall avgöras om uppgifter som behandlas automati- Författningsregleringen av behandling av uppgifter serat är gemensamma eller inte. Svårigheterna med att göra den bedömningen skall dock inte överdrivas. Sammanfattningsvis är det enligt vår mening en grundläggande förutsättning för att elektroniskt lagrade uppgifter skall anses ingå i tullbrottsdatabasen, att uppgifterna av en eller flera regioner inom används gemensamt i en viss verksamhet för de ändamål som skall styra behandlingen av uppgifter inom den brottsbekäm- pande verksamheten. Särskilt om koncept och minnesanteckningar m.m. Enligt 2 kap. 3 § tryckfrihetsförordningen är en handling allmän när den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. Handlingar i form av upptag- ningar som kan uppfattas endast med hjälp av tekniskt hjälpmedel, t.ex. elektroniskt lagrade uppgifter, anses förvarade hos en myndighet om upptagningarna är tillgängliga för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att de kan läsas eller på annat sätt uppfattas. Enligt 2 kap. 6 och 7 §§ tryckfrihetsförordningen är en handling upprät- tad hos en myndighet när den har expedierats av myndigheten, medan den – i fråga om tekniska upptagningar – anses inkommen till en myndighet när den har gjorts tillgänglig där på ett sådant sätt att den kan anses förvarad av myndigheten. Av 2 kap. 9 § framgår att minnesanteckningar och koncept inte anses som allmänna handlingar, om de inte expedieras eller tas om hand för arkivering. Innebörden av nämnda bestämmelser är att upptagningar som görs gemensamt tillgängliga för flera myndigheter i ett datorsystem anses utgöra allmänna handlingar hos samtliga dessa myndigheter. Det spelar i det avseendet ingen roll om upptagningarna utgör en del av ett beslutskoncept eller minnesanteckningar. Om ett beslutskoncept görs gemensamt tillgängligt för flera myndigheter, utgör det alltså enbart av den anledningen en allmän handling. Att hantera elektroniska uppgifter på ett sådant sätt skulle emellertid inte ligga i linje med myndigheternas generella skyldighet att upprätthålla en god offentlighetsstruktur bland sina handlingar. Med god offentlighetsstruktur avses grovt förenklat bl.a. att allmänna handlingar skall kunna särskiljas från arbetsmaterial och att offentliga handlingar skall kunna särskiljas från sådana som kan bli föremål för sekretess (en utförlig diskussion kring begreppet Författningsregleringen av behandling av uppgifter god offentlighetsstruktur förs i Offentlighets- och sekretess- kommitténs lämnade betänkande Ordning och reda bland allmänna handlingar, SOU 2002:97). Den gemensamma och effektiva användningen av datorsystem får därför inte sträckas så långt att beslutskoncept eller andra handlingar som inte fått sin slutliga utformning görs gemensamt tillgängliga. Detsamma gäller naturligtvis även för arbetsmaterial, minnesanteckningar o.d., som i många fall inte alls bör göras allmänna utan rensas innan handlingarna i ett ärende tas om hand för arkivering. 11.3Särskilt om uppgifter och handlingar i databasen Vårt förslag: I tullbrottsdatabasen skall få behandla uppgifter om personer för de primära ändamål som gäller för den brottsbekämpande verksamheten. De kategorier av uppgifter som skall få behandlas i tullbrottsdatabasen skall anges uttryckligen i lag. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om vilka uppgifter som får behandlas. Som framgår av avsnitt 11.2 definieras en databas som en samling uppgifter och handlingar som med hjälp av automatiserad behand- ling används gemensamt i en verksamhet. En begreppsmässig uppdelning görs således mellan elektroniska uppgifter och elektro- niska handlingar, men någon definition av begreppen föreslår vi inte i lagen. Anledningen till detta är att det enligt vår bedömning varken är möjligt eller lämpligt att ge en exakt legaldefinition av begreppen. Att åtskillnad alls görs mellan uppgifter och handlingar beror på att vi i vissa avseenden föreslår skilda regler för behandlingen, t.ex. i fråga om direktåtkomst och sökbegrepp. Med uppgifter avser vi enskilda ord eller mindre samman- ställningar av ord som är bärare av en begränsad informations- mängd och som enligt särskilda fastställda rutiner kan registreras på ett bestämt sätt i ett datorsystem. Som exempel kan nämnas Författningsregleringen av behandling av uppgifter enskilda uppgifter om namn och adress samt en större mängd uppgifter om de omständigheter och händelser som är orsaken till att uppgifter registreras om en person, vilka samtliga registreras som särskilda fältuppgifter i ett strukturerat system. Med handlingar avser vi något förenklat sammanställningar av uppgifter utan en i förväg klart fastställd struktur. Exempel på handlingar kan vara vanliga ordbehandlingsdokument eller e-postmeddelanden som lagras och är tillgängliga i ett gemensamt datorsystem. En närmare genomgång av elektronisk handlings- och dokument- hantering finns i avsnitt 11.3.2. Personer om vilka uppgifter får behandlas Personuppgifter definieras i personuppgiftslagen som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Förutom personuppgifter kan det i en databas vid förekomma uppgifter som är hänförliga till juridiska personer. Gemensamt för i stort sett samtliga uppgifter är att de kan hänföras till någon eller några personer som är eller har varit föremål för åtgärder från sida eller som av andra skäl omfattas av verksamheten. Vad som gäller för uppgifter av rent teknisk eller administrativ karaktär återkommer vi till längre fram i detta avsnitt. Eftersom ett av de främsta syftena med lagstiftning om behandling av personuppgifter är att skydda mot otillbörliga intrång i den personliga integriteten, måste enskilda direkt i lag kunna få en rimlig överblick av om de kan finnas registrerade vid . Enligt vår mening bör det därför i lag slås fast för vilka personer det över huvud taget kan bli aktuellt att behandla personuppgifter eller andra uppgifter. Även om det inte på samma sätt går att åberopa integritetsskäl för det, bör enligt vår mening den för behandling aktuella personkretsen anges även i de fall då den registrerade är en juridisk person. De personer om vilka uppgifter bör få behandlas i brottsbekämpande verksamhet är sådana som omfattas av verksam- heten, så som den definieras genom de av oss föreslagna primära ändamålen för behandling av uppgifter. En genomgång av vilka personer det rör och hur uppgifter om dem får behandlas lämnas i avsnitt 11.4.2–4. Författningsregleringen av behandling av uppgifter Uppgiftskategorier som får behandlas I avsnitt 10.4 diskuterar vi frågan om detaljreglering av vilka uppgifter som får behandlas automatiserat vid i den brottsbekämpande verksamheten. Vår inställning är att den främsta uppgiften för en lag om behandling av personuppgifter bör vara att slå fast grundläggande principer för behandlingen, inte att i detalj reglera vad som får registreras. Det främsta skälet för en sådan ordning är att det i de flesta fall – på grund av förändringar i materiell lagstiftning och verksamhetsinriktning – är omöjligt att förutse exakt vilka uppgifter en myndighet kan behöva registrera för att verksamheten skall fungera på ett tillfredsställande sätt. Detaljreglering i lag skulle leda till återkommande lagändringar efter hand som nya uppgifter behöver tillföras. För att en sådan detaljreglering av innehållet i en databas skall kunna undvikas krävs dock enligt vår uppfattning att de ändamål för vilka uppgifter får behandlas är tydliga och konkreta (se avsnitt 11.1.4). Vi är även av den bestämda uppfattningen att det är viktigt att uppgifter får registreras endast för att tillgodose de primära ändamålen med en databas, nämligen att vara till hjälp i den verksamhet som den registrerande myndigheten bedriver. Uppgif- ter skall således inte få föras in i en viss databas endast av det skälet att de kan vara till nytta för andra myndigheter än den som är personuppgiftsansvarig. Ett motsatt ställningstagande skulle enligt vår uppfattning kunna leda till en icke önskvärd sammanblandning av uppgifter som behandlas på automatiserad väg inom olika verksamheter. Detta markeras av att det uttryckligen anges att uppgifter får behandlas i databasen för de i lagen angivna primära ändamålen. För att det redan på en övergripande nivå skall gå att utläsa vad som finns eller kan finnas registrerat om enskilda i en databas, bör enligt vår mening i lag anges en ram för det tillåtna vid sidan av ändamålsbestämmelserna. Vi anser det lämpligt att ange vilka kategorier av uppgifter som får finnas i en databas, medan en närmare beskrivning av vilka uppgifter som ingår i varje kategori – om en sådan precisering behövs – bör återfinnas i en förordning eller i myndighetsföreskrifter. Vi föreslår att det i en komplet- terande förordning anges att det åligger att meddela de närmare föreskrifter som behövs om vilka uppgifter som får behandlas i tullbrottsdatabasen. Författningsregleringen av behandling av uppgifter De kategorier av uppgifter som enligt vår mening behöver kunna behandlas i tullbrottsdatabasen är följande. –uppgifter om en fysisk persons identitet, arbetsplats och yrke samt adress, telefonnummer och andra liknande uppgifter som behövs för kommunikation med personen, –uppgifter om en juridisk persons identitet, firmatecknare, säte och verksamhet samt adress, telefonnummer och andra liknande uppgifter som behövs för kommunikation med personen, –upplysningar om varifrån en uppgift kommer och om uppgifts- lämnarens trovärdighet, –de omständigheter och händelser som är orsaken till att uppgifter om en person behandlas, –uppgifter om särskilda fysiska kännetecken, –uppgifter om varor, brottshjälpmedel och transportmedel, –varning om att en person tidigare varit beväpnad, våldsam eller flyktbenägen, –ärendenummer, ärendekoder, ärendemening och andra uppgifter som beskriver ett ärende, –händelser och åtgärder i ett ärende, –uppgifter som är nödvändiga för att skall kunna fullgöra det arbete som åligger verket enligt lagen (2000:1219) om internationellt tullsamarbete, samt