sou · GQB3113d1 · 2003-01-01 00:00:00 — Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare för att bl.a. följa genomförandet av lagstiftningen om register i brottsbekämpande verksamhet. förordnade chefen för , statsrådet , kammarrättslagmannen att från vara särskild utredare. Som experter har från medverkat verksjuristen , statsåklagaren , specialisten , överdirektören , enhetschefen , tullinspektören , kammarrättsassessorn , numera kanslirådet , kammarrättsassessorn , ämnessakkunnige , verksjuristen , utvecklingschefen , numera polisintendenten och departementssekreteraren . entledigades som expert . Regionchefen förordnades som expert från och kammarrättsassessorn från . Sekreterare åt utredningen har varit kammarrättsassessorn och från även . Utredningen har antagit namnet (Fi 2001:06). Härmed överlämnar utredningen sitt betänkande BROTTSBEKÄMPNING Integritet – Effektivitet (SOU 2002:113). Arbetet har bedrivits i nära samråd med experterna som i allt väsentligt står bakom förslagen. Betänkandet är därför skrivet i vi- form. Utredningens uppdrag är härmed slutfört. BAKGRUNDEN TILL VÅRA FÖRSLAG organisation och verksamhet ....................... Organisationen i stort.............................................................. Den centrala organisationen......................................... Den regionala organisationen....................................... 2.2.3 Föreslagna och planerade förändringar........................ De operativa processerna......................................................... utvecklingsarbete och samarbetsprojekt............. Övergripande rättslig reglering av behandling av 3.3.2 Bestämmelser om när personuppgifter får 3.3.3 Information och rättelse m.m...................................... Anmälan till tillsynsmyndighet ................................... 3.3.5 Överföring av personuppgifter till tredje land ........... 3.5Europeiska unionens stadga om de grundläggande 3.6.1 Allmänt om lagen och dess tillämpningsområde........ 3.6.2 Förutsättningar för behandling av 3.6.3 Information och rättelse m.m...................................... Säkerhet vid behandlingen ........................................... 3.6.5 Överföring av personuppgifter till tredje land ........... 3.6.6 Anmälan till Datainspektionen m.m........................... 4Rättslig reglering av behandling av personuppgifter i den brottsbekämpande 4.1 Internationella överenskommelser ......................................... EU:s tullinformationssystem (TIS) ............................ 4.2Lag (2001:85) om behandling av personuppgifter i Lagens tillämpningsområde (1 §)................................ Definitioner (2 §) ......................................................... Ändamål (3 §)................................................................ Personuppgiftsansvarig (4 §)........................................ Behandling av känsliga personuppgifter (5 §)............. Utlämnande av uppgifter (6–8 §§)............................... Rättelse och skadestånd (9 §)....................................... ( 10–13 §§)............................... (14–17 §§)........................................ Underrättelseverksamhet (18–19 §§) .......................... 4.2.11 Uppgifter om kvarstående brottsmisstankar (20–21 §§).................................................................... 4.2.12 Gallring (22–23 §§)..................................................... 4.2.13 Överklagande (24 §) ................................................... 5.1Register och andra datasystem som förs i 5.1.3 Behandling i särskild undersökning........................... 5.2Register och andra datasystem som förs i (TMJ)............................................ (EnVis) ........................................................................ Beslags- och analysregistret (BAR) ........................... register i den fiskala verksamheten.................... 5.3.1 TDS och dess stödsystem........................................... Behandling av personuppgifter i löpande text...................... Nya planerade databaser och ärendehanteringssystem för den brottsbekämpande verksamheten .................... Registersystem i analysprocess ()............ Ett nytt underrättelseregister..................................... Pregedosan – av kontrollresultat Tullens integrerade brottsutredningsregister ()...... Samarbete och informationsutbyte mellan de brottsbekämpande myndigheterna m.m....................... Skattemyndigheterna och skattebrottsenheterna..... Åtgärder för ett förbättrat brottsbekämpande arbete......... Rättsväsendets informationsförsörjning – RIF- 7.3.3 Ny strategi mot den ekonomiska brottsligheten ..... 2001/02:4 .................................................................... problem med och behov av 9.1Informationshanteringen i den egna brottsbekämpande 9.1.1 Behandling av uppgifter i register m.m...................... 9.1.2 Ärendebaserad handläggning och gallring................. Gränsdragningsproblem i verksamheten................... Interna delgivningsproblem inom ........... 9.2Behov av åtkomst till TDS i den brottsbekämpande Allmänt om TDS......................................................... Analysenhetens (underrättelsesektionens) behov 9.2.3 Gränsskyddsenheternas behov av TDS ..................... 9.2.4 Tullkriminalenhetens behov av TDS ......................... 9.3 Samverkan och informationsutbyte med andra 9.3.1 Allmänt om beslagsstatistik m.m........... 9.3.2 Statsmakternas syn på samverkan över 9.3.3 Tullens behov av samverkan och 9.4 Sekretessproblem inom ....................................... 9.4.2 Sekretess mot andra myndigheter.............................. 9.5 Behovet av ny lagstiftning ..................................................... Behovet av datorstöd............................................................. Skyddet för den personliga integriteten............................... Lag, förordning eller myndighetsföreskrifter...................... Grundläggande begrepp – databas eller register .................. Författningsregleringen av behandling av uppgifter....... Lagstiftningens systematik och allmänna 11.1.1 Den nya lagens systematik......................................... 11.1.3 Förhållandet till personuppgiftslagen ....................... 11.1.4 Tillåtna ändamål för behandling av uppgifter ........... Behandling i databas och annan behandling av uppgifter ... 11.2.1 En databas för automatiserad behandling och 11.2.2 Gränsdragningen mellan gemensam behandling i en databas och annan behandling av uppgifter ......... Särskilt om uppgifter och handlingar i databasen................ 11.3.1 Behandling av uppgifter ............................................. 11.3.2 Elektronisk ärendehantering ..................................... Behandling för skilda ändamål .............................................. 11.4.1 Gemensamma bestämmelser om behandling av 11.4.2 Förhindra eller upptäcka brottslig verksamhet (underrättelseverksamhet m.m.) ............................... 11.4.3 Utreda eller beivra brott ............................................ 11.4.4 Arbete i internationella förhållanden ........................ 11.4.5 Kombinerade register i tullbrottsdatabasen.............. Elektroniskt inhämtande och utlämnande av uppgifter 11.5.1 Elektroniskt inhämtande............................................ 11.5.2 Elektroniskt utlämnande ............................................ Direktåtkomst till databasen ................................................. 11.6.1 Direktåtkomst och sekretess...................................... 11.6.2 Allmänt om sekretess och informationsutbyte mellan brottsbekämpande myndigheter .................... 11.6.3 Direktåtkomst för myndigheter med polisiära 11.6.4 Direktåtkomst för åklagarmyndigheter..................... 11.6.5 Direktåtkomst i internationella förhållanden............ 11.6.6 Sekretessbrytande bestämmelser för att Sökbegränsningar i databasen................................................ 11.7.1 Begränsningar vid sökning efter uppgifter i 11.7.2 Begränsningar vid sökning efter elektroniska handlingar i tullbrottsdatabasen................................. 11.7.3 Sökning efter uppgifter och handlingar hos en Bevarande och gallring ........................................................... 11.8.1 Allmänt om bevarande och gallring ........................... 11.8.2 Gallring av uppgifter och handlingar i databasen...... 11.8.3 Gallring av uppgifter som behandlas på annat sätt än i databasen............................................................... 11.8.4 Särskilt om bevarande och gallring av uppgifter och handlingar i förundersökningar och om behandling av kvarstående misstankar....................... 11.9.2 Rättelse och skadestånd.............................................. Direktåtkomst för till Tulldatasystemet (TDS) i den brottsbekämpande verksamheten .............. synpunkter på användningen av fiskala datasystem för brottsbekämpning......................................... behov av direktåtkomst till TDS i den Skyddet för den personliga integriteten............................... Sekretessregler och direktåtkomst till TDS......................... 12.4.1 Kort om direktåtkomst och sekretess....................... 12.4.2 Sekretess inom .......................................... Direktåtkomst till TDS och artikel 6 i Europa- 12.5.1 Inledande om artikel 6................................................ 12.5.2 Begreppet anklagelser för brott ............................. 12.5.3 Begreppet rättvis rättegång (fair trial) och 12.5.4 Tullagens regler om vitesförbud vid 12.5.5 Våra slutsatser avseende direktåtkomst till TDS och artikel 6 ................................................................ Sammanfattning och överväganden om direktåtkomst till TDS m.m. ......................................................................... Ikraftträdande- och övergångsbestämmelser................. Konsekvenser av våra förslag...................................... Förslag till lag om behandling av uppgifter i Förslag till lag om ändring i sekretesslagen (1980:100) ...... Förslag till lag om ändring av lagen (2001:85) om behandling av uppgifter i verksamhet............... Kommittédirektiv (dir. 2001:28)..................................... Enkät till övriga EU-stater samt och ....... Process- och organisationsskiss för .............. Skiss över sakområdes- och organisationsgränser inom och skattemyndigheterna .................... Några allmänna utgångspunkter för uppdraget trädde personuppgiftslagen (1998:204) i kraft. Lagen har sin utgångspunkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Mot bakgrund av den nämnda regleringen trädde lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet i kraft . Vi har haft i uppdrag att följa genomförandet av den nya lagstiftningen om register i brottsbekämpande verksamhet, som har medfört att verket fått ökade möjligheter att hantera personuppgifter. Vi har också haft att se över de befintliga register som för eller annars har tillgång till samt sätta oss in i och granska det arbete som pågår inom med att upprätta nya databaser och ärendehanteringssystem för den brottsbekämpande verksamheten. Vårt uppdrag har också inne- fattat utredning av om fiskala tulldatasystem (TDS) bör få användas i brottsbekämpande verksamhet. Det har även ingått i uppdraget att vid behov lämna förslag till förändringar. En viktig utgångspunkt för vårt arbete har varit att skall ges förutsättningar att lösa sina uppgifter och uppnå de mål som regeringen har ställt upp för verkets arbete. Andra viktiga utgångspunkter har varit att den personliga integriteten skall skyddas och värnas samt att förslag till nya regler skall vara enkla, tydliga och anpassade till den tekniska utvecklingen på ett sådant sätt att de tillgodoser behovet av ett effektivt IT-stöd i det brottsbekämpande arbetet och ärendehanteringen inom . problem med och behov av informationshantering Som ett led i arbetet med att se över informationshanteringen och behandlingen av personuppgifter i brottsbekämpande verksamhet har ett flertal studiebesök gjorts hos de skilda regionerna inom . Med utgångspunkt i dessa besök samt ett flertal möten med företrädare för ledning, , och andra brottsbekäm- pande myndigheter, har vi analyserat vilka behov av och problem med informationshanteringen som har i det brotts- bekämpande arbetet. –Det finns behov av att på ett mer flexibelt sätt kunna avgöra hur uppgifter skall registreras, t.ex. i spanings- och underrättelse- register, och hur uppgifterna skall kunna användas i de olika delarna av verksamheten. –Det finns behov av lagstiftning som är anpassad till en datoriserad ärendehantering och som tillåter hantering av elektroniska handlingar, exempelvis digitala bilder. –Det förekommer problem med gränsdragningen mellan olika verksamheter, främst i samband med det arbete som utförs i underrättelseverksamhet. Dessa problem kan delvis hänföras till verkets organisatoriska uppbyggnad, delvis till att lagstiftningen är oklar. –Det finns ett stort behov av utökat och tekniskt utvecklat samarbete och informationsutbyte mellan och andra brottsbekämpande myndigheter. –Det förekommer problem med att avgöra var sekretessgränserna går mellan olika verksamheter inom . –Det föreligger sekretessproblem vid informationsutbyte i underrättelseverksamhet mellan de skilda brottsbekämpande myn- digheterna. –Det råder en utbredd okunskap bland personalen inom om hur TDS får användas i den brottsbekämpande verksamheten, vilket i vissa fall leder till att systemet används på ett enligt vår uppfattning otillåtet sätt. –Det är ett problem från effektivitetssynpunkt att uppgifter från TDS, som behövs i stor omfattning i den brottsbekämpande verksamheten, inte kan inhämtas snabbt genom direktåtkomst eller bearbetas direkt i systemet genom s.k. spärrläggning. Av våra erfarenheter drar vi slutsatsen att dagens lagstiftning om behandling av personuppgifter i brottsbekämpande verksamhet inte på ett tillfredsställande sätt kan uppfylla de krav som verksamhet ställer eller kommer att ställa på automatiserad behandling av uppgifter. Flera av de förändringar som behövs är så grundläggande att det är mest ändamålsenligt med en helt ny lagstiftning. Övergripande principer för ny lagstiftning Utvecklingen inom datorområdet visar att lagstiftning som reglerar användningen av datorstöd måste vara teknikoberoende och flexibel, för att inte hindra den effektivisering av verksamheterna som kontinuerligt pågår. är det mycket viktigt att det i lagstiftningen tas hänsyn till enskildas personliga integritet. I den brottsbekämpande verksamheten inom hanteras stora mängder information som kan vara av känslig natur för de inblandade personerna. I takt med att datorstödet byggs ut och stora uppgiftsmängder görs enkelt sökbara, ökar riskerna för att enskilda skall drabbas av oacceptabla intrång i den personliga sfären. Det är med andra ord viktigt att inte hamna i en situation där den tekniska utvecklingen styr den rättsliga regleringen eller där den sistnämnda onödigt hämmar effektiviseringen. Det måste vara möjligt att i stor omfattning använda sig av ny digital teknik som ett led i brottsbekämpningen, utan att det innebär att integritetsskyddet blir eftersatt. För att garantera såväl integritetsskyddet som möjligheterna till fortlöpande effektivisering av verksamheten, är det enligt vår mening nödvändigt med en lagstiftning som tar sikte på principiellt viktiga frågor, men så långt som möjligt lämnar detaljregleringen därhän. Vi föreslår därför att de grundläggande principerna för behandling av personuppgifter i brottsbekämpande verksamhet skall regleras särskilt i lag, medan kompletterande bestämmelser skall meddelas av regeringen eller den myndighet som regeringen bestämmer. För behandling av personuppgifter i administrativ verksamhet, t.ex. i arbetsgivarfrågor, anser vi att det är tillräckligt med personuppgiftslagens bestämmelser och vi föreslår därför ingen särskild reglering inom det området. Lagstiftningens systematik och tillämpningsområde m.m. Vi föreslår att den nya lagen om behandling av personuppgifter i brottsbekämpande verksamhet skall delas in i tre kapitel. I ett första kapitel finns allmänna bestämmelser som i princip är tillämpliga på all behandling av uppgifter som omfattas av lagen, oavsett om det gäller hantering av enskild e-post, ordbehandling eller registrering i centrala register. Det andra kapitlet innehåller särskilda bestämmelser som endast gäller automatiserad behandling av uppgifter och handlingar i en gemensam databas, t.ex. i ärendehanteringssystem och centrala eller regionala underrättelseregister. I ett avslutande kapitel samlas bestämmelser om enskildas rättigheter i anknytning till behand- lingen av personuppgifter, nämligen om information, rättelse, skadestånd och överklagande. Lagstiftningen skall tillämpas vid behandling av personuppgifter i brottsbekämpande verksamhet, om behandlingen är helt eller delvis automatiserad eller om den utförs i register. Grundläggande bestämmelser i lagen, exempelvis om ändamålen med och ansvaret för behandling, skall vara tillämpliga även vid behandling av uppgifter om juridiska personer. Lagen skall gälla i stället för personuppgiftslagen, vars bestämmelser skall tillämpas på behandling av personuppgifter hos endast när det anges särskilt. De bestämmelser i personuppgiftslagen som skall vara allmänt tillämpliga är de om definitioner, förhållandet till offentlighetsprincipen, grundläggande krav på behandling, säkerheten vid behandling, överföring av personuppgifter till tredje land, personuppgiftsombudets uppgifter, upplysningar till allmänheten om vissa behandlingar, tillsyns- myndighetens befogenheter samt straff. skall vara personuppgiftsansvarigt för den behandling som verket utför eller som det åligger verket att utföra. För behandling av uppgifter i register som regleras särskilt i annan författning, t.ex. polisens belastnings- och misstankregister, gäller emellertid vad som sägs där om personuppgiftsansvar. Behandling för skilda och uttryckliga ändamål behandling av personuppgifter skall enligt vår uppfattning styras av fyra särskilt angivna primära ändamål. Förhindra eller upptäcka brottslig verksamhet En viktig del av arbete med brottsbekämpning är att upptäcka och förhindra brottslig verksamhet som innefattar brott som har befogenhet att ingripa mot. I begreppet brottslig verksamhet ligger att det inte är fråga om att klara upp ett konkret begånget brott, utan i stället att avslöja om viss brottslighet har förekommit, pågår eller kan förutses. Utgångs- punkten för arbetet är i huvudsak att ta fram underlag för vilken inriktning den brottsbekämpande verksamheten skall ha eller för att initiera konkreta brottsutredningar. Ändamålet omfattar alltså främst det som normalt kallas underrättelseverksamhet, dvs. arbete med insamling, bearbetning och analys av information för att komma åt brottslig verksamhet när det inte finns konkreta misstankar om att ett brott redan har begåtts. Insamling av information kan ske på flera sätt, t.ex. genom egna spaningsinsatser, samarbete med andra brottsbekämpande myndigheters underrättelseverksamhet eller tips från allmänheten. Ändamålet omfattar emellertid mer än enbart underrättelsearbete. Här ryms även den gränskontrollerande verksamheten på plats i t.ex. ett tullfilter, innan den situationen har uppstått att exempelvis ett konkret smugglingsbrott faktiskt har upptäckts eller kan misstänkas. Även det urvalsarbete som utförs av selekterings- grupper inför kontroller av containertrafik m.m. omfattas av ändamålet, under förutsättning att det inte finns misstankar om att ett konkret brott faktiskt har förövats. Utreda eller beivra brott Inom utreds och beivras i stor omfattning brott som har befogenhet att ingripa mot. Med detta avses i första hand arbete inom ramen för en förundersökning enligt 23 kap. eller lagen (2000:1225) om straff för smuggling, exempelvis spaning, förhör och informationsbearbetning. Ända- målet omfattar emellertid även annat utredande eller beivrande av ett konkret brott, som förenklade förfaranden med utfärdande av strafföreläggande eller ordningsbot. I ändamålet innefattas också behandling som sker med stöd av 23 kap. 3 och 8 §§ rättegångs- balken, innan förundersökning har inletts samt andra åtgärder som vidtas i syfte att samla in underlag för beslut om förundersökning skall inledas eller inte, s.k. primärutredning eller förutredning. Avgörande för om en viss behandling faller in under det angivna ändamålet är alltså om åtgärderna sker med anledning av att ett konkret brott har eller misstänks ha begåtts. Det saknar med andra ord betydelse om förundersökning har hunnit inledas eller inte eller om ett brott utreds i förenklad form. Inom bedrivs mycket arbete med internationell anknytning. I många fall är det svårt eller närmast omöjligt att förutse vilka uppgifter som kommer att åligga , inte minst inom ramen för EU-samarbetet. Att i lag definiera ett ändamål som garanterar att kan behandla de uppgifter i internationella sammanhang som krävs för att åtaganden skall kunna fullgöras, låter sig därför inte göras på ett enkelt och säkert sätt. I lagen (2000:1219) om internationellt tullsamarbete finns emellertid samlat de uppgifter som åligger i sådana sammanhang. Det är enligt vår uppfattning inte lämpligt att med en ändamålsbestämmelse i en lag om behandling av personuppgifter riskera att begränsa möjligheter att fullgöra det arbete som i en annan lag har ålagt verket. Det är därför både enkelt och lämpligt att direkt hänvisa till lagen om internationellt tullsamarbete i fråga om behandling av personuppgifter i det internationella arbetet. Vi föreslår genomgående att den nya lagstiftningen skall tillåta olika former av behandling av uppgifter om det är nödvändigt för att skall kunna fullfölja sina skyldigheter enligt nämnda lag. Planera, följa upp och utvärdera verksamheten Inom ramen för detta ändamål får uppgifter behandlas om det behövs för den administrativa interna tillsynen, kontrollen och uppföljningen m.m. av den brottsbekämpande verksamheten inom . Det innebär att har möjlighet att behandla uppgifter för att utveckla organisationen och de former som den bedrivs i samt planera för åtgärder som behöver vidtas för att t.ex. effektivisera handläggning och annan verksamhet. Behandling i databaser och annan behandling Vid i stort sett samtliga myndigheter behandlas personuppgifter med datorstöd på i huvudsak två principiellt och tekniskt skilda sätt. För det första används persondatorer av enskilda tjänstemän för att upprätta promemorior och besluts- underlag m.m. samt för att skicka och ta emot e-post. Ofta sker då behandlingen så att endast en eller ett fåtal personer kan ta del av informationen, t.ex. i personliga filer på en hårddisk eller i en server. För det andra används i stor utsträckning allmänt åtkomliga dataregister med information som behövs i myndighetens verksam- het samt – vid vissa myndigheter – även stora och komplexa elektroniska ärendehanteringssystem. Den senare formen av datorstöd i form av gemensamma system anser vi bör omgärdas av särskilda skyddsregler, eftersom integritetsriskerna ökar när stora mängder information behandlas gemensamt. Vi föreslår att sådan behandling skall samlas under det rättsliga begreppet databas. Behandling av uppgifter som utförs med datorer, men där uppgifterna inte är gemensamt åtkomliga utan används av enskilda tjänstemän, behöver däremot inte omgärdas av samma skyddsregler. När inrättar centrala eller regionala dataregister för exempelvis underrättelse- eller spaningsändamål, skall enligt vår uppfattning särskilda regler gälla av integritetsskäl.