sou · GQB3113d2 · 2003-01-01 00:00:00 — Enligt vår bedömning finns det behov av klara och enkla regler om gallring i de lagar som skall reglera behandling av personuppgifter i myndighetsverksamhet. Hur dessa bestämmelser bör utformas kan bero på sådana omständigheter som omfattningen av och integritetskänsligheten hos de registrerade uppgifterna. Vi har för vår del övervägt två alternativ till hur gallrings- och bevarandefrågor kan regleras i speciallagstiftning för behandling av personuppgifter i brottsbekämpande verksamhet, nämligen –att inte ha några särbestämmelser över huvud taget, vilket innebär att arkivlagens regler gäller fullt ut, eller –att i lag ange att samtliga uppgifter skall gallras och när det skall göras, men ge regeringen eller möjlighet att besluta om undantag. Det första alternativet dominerar helt när det gäller traditionella pappersbaserade uppgifter i allmänna handlingar. Det finns starka skäl som talar för att samma förfarande bör gälla som huvudregel Författningsregleringen av behandling av uppgifter även i fråga om uppgifter som behandlas automatiserat, inte minst eftersom det blir allt vanligare att elektronisk information helt ersätter vanlig pappersbaserad information. Enligt vår bedömning kommer det i förlängningen inte att vara möjligt att som ha principiellt skilda bevarande- och gallringsregler för uppgifter på papper respektive digitala uppgifter. För integritetskänsliga uppgifter och handlingar, vilket det generellt är fråga om i brottsbekämpande verksamhet, är det enligt vår bedömning emellertid tveksamt om det är lämpligt att nu tillämpa det för pappersbaserade uppgifter normala alternativet som huvudregel i fråga om automatiserad behandling. Vi anser dock att det bör göras vad gäller information i förundersökningar (se avsnitt 11.8.4). Att generellt tillämpa den metoden skulle innebära att lagstiftaren inte hade någon direkt kontroll över gallringsförfarandet för de aktuella uppgifterna, utan de generella och allmänna bestämmelserna i arkivlagen skulle gälla fullt ut. Tekniken har i och för sig använts i annan lagstiftning som rör känsliga uppgifter, men det har då funnits särskilda skäl för det. I lagen (1998:543) om hälsodataregister saknas bestämmelser om gallring, vilket innebär att arkivlagens bestämmelser blir tillämpliga. Regeringen konstaterade i förarbetena att en alltför omfattande gallring kunde leda till att det inte finns tillräckligt med material för t.ex. epidemiologiska undersökningar, medan en alltför begränsad gallring kunde leda till att känsliga uppgifter om enskilda sparas i onödan. På grund av svårigheterna med att i lagform reglera flera olika register som förändras över tiden avseende innehåll m.m., valde regeringen att låta arkivlagens bestämmelser gälla (prop. 1997/98:108 s. 59 f.). Det andra alternativet är det vanligaste i nya registerförfattningar och metoden utgår från att det i lag ställs upp huvudregler för när gallring skall ske. Regeringen eller kan sedan besluta eller meddela föreskrifter om att uppgifter skall bevaras. Detta innebär en fördel från författningssynpunkt, eftersom särskild reglering behöver göras endast när det finns skäl för det. En ytterligare fördel med en sådan metod är att det direkt i lagtexten finns en säkerhetsventil mot att stora uppgiftssamlingar med känsliga uppgifter bevaras, trots att de inte har något faktiskt värde för verksamheten, men på grund av sin omfattning kan vara skadliga från integritetssynpunkt. Det bör dock noteras att eftersom vårt förslag – utom vad avser material i förundersökningar – i princip innebär att allt skall gallras om inte utfärdar Författningsregleringen av behandling av uppgifter föreskrifter om undantag, så ställs det krav på att efter hand tar ställning till hur nya typer av uppgifter skall hanteras. Uppgifter och handlingar kan annars komma att gallras helt, vilket innebär att inte något material bevaras för framtiden. 11.8.2Gallring av uppgifter och handlingar i databasen Vårt förslag: Uppgifter i tullbrottsdatabasen skall gallras , beroende på för vilka ändamål uppgifterna behandlas. Uppgifter som behandlas för att –förhindra eller upptäcka brottslig verksamhet skall gallras senast efter utgången av det kalenderår då den sista registreringen gjordes av en uppgift om att en person kan antas ha samband med misstänkt brottslig verksamhet, –utreda eller beivra brott utan att en förundersökning har inletts skall gallras senast efter utgången av det kalenderår då ärendet avslutades, –fullgöra internationella åtaganden skall gallras när uppgifterna inte längre behövs för sitt ändamål. Elektroniska handlingar i tullbrottsdatabasen skall gallras senast efter utgången av det kalenderår då ärendet avslutades. Regeringen eller den myndighet regeringen bestämmer skall få meddela föreskrifter om att uppgifter och handlingar får gallras eller bevaras. Den reglering som vi föreslår om behandling av uppgifter i brottsbekämpande verksamhet innebär att ett stort antal mycket integritetskänsliga uppgifter och handlingar kommer att samlas i tullbrottsdatabasen. Vi anser därför att det i fråga om gallring och bevarande av informationen i databasen är lämpligt att i lag ange huvudregler för när gallring skall ske, men ge regeringen eller den myndighet som regeringen bestämmer, dvs. , möjligheter att föreskriva om undantag när det anses motiverat (jfr avsnitt 11.8.1). En sådan lagstiftningsteknik gör det möjligt att ta hänsyn till såväl offentlighets- som integritets- intressena, utan att det kräver en mer omfattande eller tillkrånglad författningsreglering. Det är emellertid enligt vår Författningsregleringen av behandling av uppgifter uppfattning inte möjligt att bestämma en enhetlig och rimlig gallringstidpunkt för samtliga uppgifter och handlingar som behandlas i tullbrottsdatabasen. Gallringstider för uppgifter i databasen När det gäller uppgifter och handlingar som behandlas för ändamålet förhindra eller upptäcka brottslig verksamhet, har vi som utgångspunkt haft den gallringstidpunkt som gäller för underrättelseregister. När inga nya uppgifter om en person som förekommer i sådan verksamhet inom har registrerats efter att den senaste registreringen gjordes, saknas det normalt anledning att bevara uppgifterna. Om befintliga uppgifter avseende en viss person däremot kompletteras med nya uppgifter, är det ofta av stort värde att även bevara de äldre uppgifterna. Vi föreslår därför att sådana uppgifter om en person som behandlas för att skall kunna upptäcka eller förhindra brottslig verksamhet, skall gallras senast efter utgången av det kalenderår då den sista registreringen gjordes av en uppgift om att en person kan antas ha samband med misstänkt brottslig verksamhet. Uppgifter som behandlas i ett ärende på den grunden att utreder eller beivrar brott kan delas in i två huvudkategorier. Det är dels uppgifter i förundersökningar, dels uppgifter i s.k. förenklade förfaranden när ett brott kan beivras utan förundersökning. När brott beivras utan att förundersökning inleds, dvs. i samtliga de fall då ordningsbot eller strafföreläggande utfärdas, saknas det i normalfallet anledning att bevara uppgifter efter att ärendet är avslutat. Vi föreslår därför som huvudregel att alla uppgifter som behandlas för ändamålet brottsutredningar skall gallras senast efter utgången av det kalenderår då ärendet avslutades. När det gäller uppgifter och handlingar i förundersökningar bör materialet få bevaras i enlighet med arkivlagens bestämmelser. Material i sådana ärenden kan behöva användas i andra brotts- utredningar eller i anledning av resningsansökningar m.m. långt efter att ärendet är avslutat. I nedlagda förunder- sökningar eller åtal eller i ärenden där den misstänkte genom en lagakraftvunnen dom har frikänts, finns det emellertid av integritetsskäl anledning att ha begränsande bestämmelser för hur Författningsregleringen av behandling av uppgifter uppgifterna får behandlas. Om sådant förundersökningsmaterial lagras utan begränsningar i hur det får användas, kan det nämligen växa fram särskilda misstankeregister hos , vilket enligt vår uppfattning inte är acceptabelt. Vi anser att det är lämpligt att de särskilda behov som rör förundersökning- ar tillgodoses genom att det i förordning föreskrivs dels uttryckliga undantag från huvudregeln om gallring av uppgifter i brottsutred- ningar, dels särskilda integritetsskyddande bestämmelser avseende uppgifter i nedlagda förundersökningar och åtal (se avsnitt 11.8.4). behandlar också uppgifter för att skall kunna fullgöra sina internationella åtaganden. I princip är det omöjligt att i förväg bedöma hur länge sådana uppgifter måste finnas tillgängliga, eftersom det kan vara beroende av internationella överens- kommelser eller EG-rätt m.m. Vi föreslår därför att sådana uppgifter skall gallras när de inte längre behövs för sitt ändamål, dvs. den huvudregel som gäller enligt personuppgiftslagen för uppgifter som inte utgör allmänna handlingar. Gallringstider för elektroniska handlingar Elektroniska handlingar i ärenden i brottsbekämpande verksamhet kan enligt vår bedömning, som huvudregel, gallras senast efter utgången av det kalenderår då ärendet avslutades. På motsvarande sätt som för uppgifter skall dock handlingar i förundersökningar bevaras enligt arkivlagens regler (se avsnitt 11.8.4). 11.8.3Gallring av uppgifter som behandlas på annat sätt än i databasen Vårt förslag: Uppgifter som behandlas automatiserat i ett annat ärende än en förundersökning skall rensas eller gallras senast efter det att ärendet avslutades. Uppgifter som inte kan hänföras till ett särskilt ärende skall i stället rensas eller gallras senast efter att de behandlades automatiserat första gången. Regeringen eller den myndighet regeringen bestämmer skall få meddela föreskrifter om att uppgifter som behandlas automatiserat får bevaras. Författningsregleringen av behandling av uppgifter Uppgifter i register skall gallras i enlighet med bestämmelserna i arkivlagen ( 1990:782). Uppgifter som behandlas automatiserat Enligt vår uppfattning behövs särskilda gallringsbestämmelser i brottsbekämpande verksamhet inte bara i fråga om uppgifter och handlingar som behandlas i tullbrottsdatabasen. Även sådan automatiserad behandling av personuppgifter som enligt vårt förslag inte utförs inom ramen för tullbrottsdatabasen kan vara mycket integritetskänslig. Det gäller inte minst den information som behandlas inom särskilda projekt i underrättelse- verksamheten. Med den moderna teknik som används i den brottsbekämpande verksamheten , kan stora mängder uppgifter lätt lagras elektroniskt även på annat sätt än i ett särskilt reglerat register eller en databas. En stor del av det skriftliga material som produceras av utarbetas numera i datorer med hjälp av ordbehandlingsprogram. Även i de fall då slutprodukten skrivs ut på papper och tillfogas akten i ett ärende, sparas informationen vanligtvis genom att lagras elektroniskt. På detta sätt kan det på ganska växa fram omfattande informations- mängder hos en myndighet, information som dessutom ofta är lätt tillgänglig genom olika typer av sökprogram. Vi bedömer att det i allmänhet saknas starka skäl för att på elektronisk väg skall tillåtas bevara sådan informa- tion, utan att några åtgärder vidtas. Vi föreslår därför generellt att uppgifter som är föremål för automatiserad behandling i ett ärende – utan att behandlingen görs i tullbrottsdatabasen – skall gallras senast efter att ärendet har avslutats. I de fall uppgifter inte kan hänföras till ett särskilt ärende skall de i stället gallras senast efter att de behandlades automatiserat första gången. På motsvarande sätt som för behandling i databasen bör särskilda bestämmelser gälla för uppgifter i förundersökningar. Sådana uppgifter bör bevaras i enlighet med arkivlagens regler (se avsnitt 11.8.4). Om uppgifter som behandlas inte utgör allmänna handlingar skall de i stället definitionsmässigt rensas. Det som avgör om uppgifter skall gallras eller rensas följer med andra ord av bestäm- Författningsregleringen av behandling av uppgifter melserna om allmänna handlingar i 2 kap. tryckfrihetsförordning- en. Bestämmelsen om gallring innebär att information inte får lagras utan att på ett konkret sätt användas i verksamheten. Det skall med andra ord inte vara tillåtet att i elektronisk form lagra information som kan vara bra att ha . Om däremot åtgärder vidtas genom att informationen tillförs ett annat, pågående, ärende eller om ett nytt ärende öppnas med anledning av informationen, får den dock bevaras även efter ettårsfristen som en del av det nya ärendet. Detsamma blir fallet om uppgifterna registreras i tullbrotts- databasen enligt de särskilda bestämmelserna som gäller för den. Att uppgifterna skall gallras innebär att de kan föras över på papper, varefter den elektroniska informationen raderas. De uppgifter som finns kvar endast på papper omfattas då inte längre av den ettåriga gallringstiden som vi föreslår skall gälla för automatiserad behandling av uppgifter, utan av de allmänna bestämmelserna i arkivlagen. En promemoria som har upprättats av en tjänsteman och som denne vill spara får alltså tryckas ut på papper. Det kan finnas anledning att för vissa uppgifter tillämpa en annan tidpunkt för gallring. Vissa känsliga uppgifter kan det av integritetsskäl vara lämpligt att gallra , medan andra mindre känsliga uppgifter kan behöva lagras för att inte onödiga effektivitetsförluster skall uppstå i verksamheten. Det bör enligt vår uppfattning åligga regeringen eller att meddela föreskrifter om undantag från den annars gällande ettårsregeln. För personuppgifter som behandlas manuellt och som omfattas av den föreslagna lagstiftningen, dvs. strukturerade register, anser vi att de allmänna bestämmelserna i arkivlagen är tillräckliga för att säkerställa ett gott integritetsskydd. Det finns enligt vår uppfattning ingen anledning att göra åtskillnad mellan sådan behandling och annan behandling av uppgifter på papper (jfr avsnitt 11.8.1). Författningsregleringen av behandling av uppgifter 11.8.4Särskilt om bevarande och gallring av uppgifter och handlingar i förundersökningar och om behandling av kvarstående misstankar Vårt förslag: Uppgifter och handlingar i förundersökningar skall bevaras och gallras i enlighet med arkivlagens regler. Uppgifter och handlingar i ärenden om prövning av om förundersökning skall inledas, skall få behandlas även efter den i lagen om behandling av uppgifter i brottsbekäm- pande verksamhet angivna gallringstidpunkten. Uppgifterna och handlingarna skall dock få bevaras längst till utgången av det kalenderår då påföljd kan ådömas för de brott som omfattades av ärendet om prövning av om förundersökning skall inledas. Om en förundersökning har lagts ned på grund av bristande bevisning skall uppgifter och handlingar i förundersökningen få behandlas för andra ändamål än lagring endast om det behövs för att förundersökningen skall kunna tas upp på nytt eller om uppgifterna och handlingarna behövs i en ny förundersökning. Om ett åtal har lagts ned eller om den misstänkte genom en lagakraftvunnen dom har frikänts skall uppgifter och handlingar i förundersökningen få behandlas för andra ändamål än lagring endast om det behövs för att förundersökningen skall kunna tas upp på nytt, om uppgifterna och handlingarna behövs i en ny förundersökning eller för prövning av särskilt rättsmedel enligt 58 kap. . får uppgifter i en förundersökning bevaras i enlighet med arkivlagens bestämmelser, dvs. det finns inga särskilda gallrings- bestämmelser för sådana uppgifter i lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet. Det innebär att för uppgifter och handlingar i förundersökningar gäller samma regler oavsett om behandlingen sker på papper eller om den sker automatiserat. En anledning till att uppgifter i förundersökningar kan behöva behandlas även efter att ärendena har avslutats är att uppgifterna i ett senare skede, ofta tillsammans med ny information, kan läggas till grund för att på nytt ta upp en nedlagd förundersökning eller för att inleda en ny förunder- sökning. I sällsynta fall kan det också bli aktuellt att begära ny domstolsprövning genom en resningsansökan. Vi ser inga skäl att föreslå andra bestämmelser om bevarande och gallring av material i Författningsregleringen av behandling av uppgifter förundersökningar än de som gäller . Det innebär att uppgifter och handlingar i förundersökningar skall bevaras i enlighet med arkivlagens regler, oavsett om behandlingen utförs i tullbrotts- databasen eller på annat sätt. Det kan noteras att motsvarande regler enligt polisdatalagen gäller för bevarande av material i förundersökningar hos polisen och att inte föreslår någon förändring i den delen (se SOU 2001:92). Enligt vår uppfattning kan det finnas anledning att också bevara uppgifter och handlingar i ärenden om prövning av om förunder- sökning skall inledas, s.k. primärutredningar, . Uppgifter i sådana ärenden kan, då de inte leder till att en förundersökning inleds, behövas i ett senare skede då de tillsammans med ny information kan ligga till grund för att inleda en förundersökning. Enligt vår uppfattning bör det i förordning föreskrivas särskilda undantag från den huvudregel om gallring som vi föreslår skall anges i lag. Den enda tidpunkt efter vilken uppgifterna inte längre behövs och som klart kan pekas ut, är när det brott som primärutredningen avsåg har preskriberats, dvs. då någon påföljd kan ådömas för brottet. Vi föreslår därför att det i förordning tas in en bestämmelse om att uppgifter och handlingar i ärenden om prövning av om förundersökning skall inledas, får behandlas även efter den i lag angivna gallringstidpunk- ten. Uppgifterna och handlingarna får dock bevaras längst till utgången av det kalenderår då påföljd kan ådömas för de brott som omfattades av ärendet om prövning av om förundersökning skall inledas. I lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet finns särskilda bestämmelser om behandling av uppgifter om kvarstående misstankar. Bestämmelserna innebär att uppgifter i nedlagda förundersökningar eller åtal eller i ärenden då den misstänkte har frikänts genom en lagakraftvunnen dom, får sparas på samma sätt som information i andra förundersökningar, men endast under vissa förutsättningar behandlas efter nedläggningsbeslutet. Ofta kan uppgifter i förundersökningar vara av mycket integritetskänslig karaktär, särskilt när det finns kvarstående misstankar mot de personer som berörs. Det finns därför anledning att omgärda uppgifterna och handlingarna i nedlagda förunder- sökningar m.m. med särskilda skyddsregler. Det är enligt vår uppfattning mycket viktigt att uppgifter om personer som har figurerat i en förundersökning – eller ett åtal – som har lagts ned, Författningsregleringen av behandling av uppgifter inte används som ett allmänt misstankeregister vid sidan av det som förs av . Under förutsättning att det inte framkommer särskilda skäl för det, bör uppgifterna och handlingarna inte få användas i verksamheten. Informationen bör så att säga ligga i träda till dess att det framkommer skäl för att på nytt ta upp frågan om ansvar för de brott som förundersökningen omfattade. När det gäller förundersökningar som lagts ned på grund av bristande bevisning föreslår vi därför att uppgifter och handlingar i förundersökningarna får behandlas för andra ändamål än lagring endast om det behövs för att förundersökningen skall kunna tas upp på nytt eller om uppgifterna och handlingarna behövs i en ny förundersökning. På motsvarande sätt förslår vi för det fall att ett åtal har lagts ned eller att en misstänkt har frikänts genom en lagakraftvunnen dom, att uppgifter och handlingar i förundersökningen får behandlas för andra ändamål än lagring endast om det behövs för att förundersökningen skall kunna tas upp på nytt, om uppgifterna och handlingarna behövs i en ny förundersökning eller för prövning av särskilt rättsmedel enligt 58 kap. . Till skillnad från många bestämmelser i den lag vi föreslår, t.ex. de som avser tullbrottsdatabasen, är de särskilda bestämmelser om enskildas rättigheter som redovisas i detta avsnitt och som i den föreslagna lagen återfinns i kapitel 3 endast tillämpliga på behandling av personuppgifter. Det är med andra ord endast fysiska personer (jfr 3 § personuppgiftslagen) som kan kräva information om utförd behandling eller rättelse av felaktiga uppgifter, som kan överklaga beslut i sådana frågor och som med stöd av den lagstiftning vi föreslår kan kräva skadestånd av verket. Författningsregleringen av behandling av uppgifter Vårt förslag: Personuppgiftslagens bestämmelser om informa- tion som skall lämnas självmant till den registrerade när uppgifter har samlats in från honom eller henne själv och om information som skall lämnas efter ansökan av den registrerade, skall i huvudsak tillämpas vid behandling av personuppgifter vid . Information om elektroniska handlingar i ett ärende, som behandlas i tullbrottsdatabasen och som den enskilde har tagit del av, skall inte behöva omfatta annat än en uppgift om att handlingarna behandlas i databasen. Om den enskilde begär det skall dock informationen omfatta även de handlingar som behandlas. Personuppgiftslagens bestämmelser om information Innehållet i personuppgiftslagens bestämmelser om information till den registrerade redogör vi kortfattat för i avsnitt 3.6.3. Av 23 § personuppgiftslagen framgår att den personuppgifts- ansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är uppgifter om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Annorlunda är det med 24 § personuppgiftslagen, där det anges att den registrerade skall informeras även när uppgifter har samlats in från någon annan källa än honom själv. Sådan information behöver nämligen inte lämnas om det finns bestämmelser om registreringen i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som vi föreslår för , med bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen således inte att sådan information ges. Vi har inte funnit några skäl för att trots detta skall lämna sådan information. Bestämmelsen i 24 § personuppgiftslagen bör således inte tillämpas på behandling enligt den av oss föreslagna lagen. Författningsregleringen av behandling av uppgifter En av de från integritetssynpunkt viktigaste bestämmelserna i personuppgiftslagen återfinns i 26 §. Den innebär att enskilda efter ansökan har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I paragrafen anges även att information inte behöver lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgif- terna inte har lämnats ut till tredje man. Bestämmelsen i person- uppgiftslagen bör vara tillämplig vid behandling av personuppgifter enligt den av oss föreslagna lagen. I ett avseende anser vi emellertid att det finns skäl att ha särskilda regler om informations- skyldigheten, nämligen i fråga om information om elektroniska handlingar (se längre fram i detta avsnitt). Även 27 § personuppgiftslagen anser vi skall vara tillämplig på behandling av personuppgifter vid .