sou · GQB3113d2 · 2003-01-01 00:00:00 — –hänvisning till andra brottsbekämpande myndigheters databaser eller register i vilka det finns uppgifter om en person som förekommer i verksamhet. Vid behandling av personuppgifter intar känsliga personuppgifter en särställning. Vad som avses är uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Vi redovisar i avsnitt 11.4.1 hur vi anser att sådana uppgifter skall hanteras vid behandling i brottsbekämpande verksam- het. Redan här kan emellertid påpekas att vi för behandling i tullbrottsdatabasen föreslår särskilda regler om hur känsliga personuppgifter får hanteras i elektroniska handlingar (se avsnitt 11.3.2). Författningsregleringen av behandling av uppgifter Vi redovisar i avsnitt 10.5 våra grundläggande tankar bakom ett system med en för verksamheten teknikneutral och gemensam databas i stället för en reglering av skilda register. Innebörden är att inom ramen för tullbrottsdatabasen får föra de skilda register man önskar, under förutsättning att behandlingen utförs i enlighet med ändamålen för databasen och att endast de uppgifter som får behandlas förekommer i registren. Det finns med andra ord inga hinder mot att inrätta t.ex. ett kombinerat spanings- och underrättelseregister i stället för ett spaningsregister och ett underrättelseregister. Förutsättningen för ett sådant gemensamt register är dock att det klart och tydligt framgår för vilket ändamål en uppgift har registrerats. Vi återkommer till denna fråga i avsnitt 11.4.5. Administrativa och tekniska uppgifter har det i registerförfattningar och tillstånd från Datainspektionen angetts att ett personregister får innehålla de administrativa och tekniska uppgifter som behövs för den aktuella verksamheten. Behandling av uppgifter som inte kan hänföras till de registrerade personer som omfattas av brottsbekäm- pande verksamhet, utan endast till den administrativa skötseln av denna verksamhet, omfattas inte av den av oss föreslagna lagen. Enligt vår uppfattning utgör behandlingen av sådana uppgifter nämligen ett led i myndigheternas administrativa verksamhet (se avsnitt 10.3). Vid behandling av sådana uppgifter skall i stället personuppgiftslagen tillämpas. Det hindrar emellertid inte att administrativa uppgifter behandlas i samma datorsystem som de uppgifter vilka används gemensamt för den materiella verksam- heten. Administrativa uppgifter kan därför behandlas tillsammans med andra uppgifter i tullbrottsdatabasen utan särskilt stöd i den av oss föreslagna lagen, under förutsättning att behandlingen sker i enlighet med ändamålen för databasen. Som exempel på vad vi anser utgöra rent administrativa uppgifter kan nämnas uppgift om till vilken enhet eller sektion ett visst ärende hör, uppgift om vem som handlägger ett visst ärende eller uppgift om vilka special- kunskaper en handläggare besitter. Sådana uppgifter kan enligt vår Författningsregleringen av behandling av uppgifter uppfattning inte hänföras till en enskild person som omfattas av en viss verksamhet, utan de behandlas endast i syfte att fördela ärenden och kontrollera hanteringen inom . Däremot utgör en administrativ uppgift om en handläggare självfallet en personuppgift om handläggaren själv. De nu nämnda uppgifterna bör enligt vår mening, utan hinder av att det inte anges i lag, kunna behandlas tillsammans med andra uppgifter i ett ärende. Vissa uppgifter som behandlas av administrativa skäl, kan emellertid utgöra verksamhetsanknutna personuppgifter. Det kan t.ex. gälla en uppgift om särskild sekretessmarkering som registreras i samband med andra uppgifter om en person, och för vilken särskild försiktighet skall iakttas i samband med utlämnande. För sådana uppgifter bör vår lagstiftning vara tillämplig. Vi anser dock inte att det är nödvändigt att i lagstiftningen uttryckligt ange att sådana i första hand administrativa uppgifter får behandlas i tullbrottsdatabasen. Avgörande för bedömningen av om en administrativ uppgift som behandlas i ett gemensamt datorsystem omfattas av bestämmel- serna i vårt lagförslag, är således om uppgiften även kan anses utgöra personuppgift som har anknytning till den materiella verksamheten. Frågan om en uppgift i tullbrottsdatabasen anses utgöra en rent administrativ uppgift eller om den även utgör en verksamhetsanknuten personuppgift, har betydelse för om information enligt 26 § personuppgiftslagen skall lämnas eller inte med stöd av vårt lagförslag. Informationsskyldigheten avser nämligen endast personuppgifter om den som begär informationen och således inte rent administrativa uppgifter. En person som begär information skall med andra ord inte få ut uppgifter om handläggarens semesterschema o.d. För en verksamhetsanknuten personuppgift skall däremot de särskilda bestämmelser som vi föreslår om information tillämpas (se avsnitt 11.9.1). Som vi nämner ovan kan emellertid även rent administrativa uppgifter utgöra personuppgifter. Exempelvis är en uppgift om en tjänstemans specialkunskaper en personuppgift om tjänstemannen. Om denne av sin arbetsgivare begär information enligt 26 § personuppgiftslagen, skall informationen därmed omfatta också sådana uppgifter. I ett sådant fall skall emellertid inte de särskilda bestämmelserna om information i vårt lagförslag tillämpas, utan det är i stället bestämmelserna i personuppgiftslagen som gäller. Behandling av uppgifter av teknisk karaktär som används uteslutande eller huvudsakligen för att ett datorsystem skall Författningsregleringen av behandling av uppgifter fungera, t.ex. koder som anger på vilket sätt en viss uppgift skall lagras i systemet, anser vi inte heller behöver regleras särskilt. Sådana uppgifter har inte någon egentlig anknytning till innehållet i en databas utan utgör närmast en del av de tekniska lösningarna i ett datorsystem, och får således registreras utan att det anges i den av oss föreslagna lagen. En förutsättning är dock att de tekniska uppgifterna, ensamma eller tillsammans med andra uppgifter, inte tillför någon sakinformation som kan hänföras till de registrerade personerna. En uppgift om t.ex. ärendetypskod utgör med andra ord inte en teknisk uppgift i den nu avsedda bemärkelsen. Vårt förslag: Elektroniska handlingar som kommer in till eller upprättas av i ett ärende skall få behandlas i tullbrottsdatabasen. Den enda begränsningen av vilka uppgifter som skall få behandlas i elektroniska handlingar gäller känsliga person- uppgifter i handlingar som upprättas av . Traditionellt kan ärendehantering hos en myndighet beskrivas på följande, mycket översiktliga, sätt. Handlingar som kommer in till eller upprättas hos myndigheten, och som kan hänföras till ett visst ärende, samordnas i en för ärendet särskilt upprättad akt. De handlingar som kommer in kan vara ansökningar, kompletteringar, intyg och sakuppgifter m.m. De av myndigheten upprättade handlingarna kan bestå av förfrågningar, förelägganden, tjänste- anteckningar efter muntliga kompletteringar samt beslut m.m. I normalfallet utgörs handlingarna i ett ärende av pappersark med text. Undantagsvis kan det dock röra sig om fotografier eller tekniska upptagningar, t.ex. kassett- eller videoband med inspelade förhör eller liknande. Oavsett karaktären på handlingarna består de på något sätt av materiella objekt (pappersark, kassetter osv.) som kan samordnas och systematiseras i en akt. Den beskrivna ordningen tillämpas ofta även när en myndighet använder datorer, genom att upprättade handlingar som utformas elektroniskt i ett ordbehandlingsprogram tillförs ärendeakten i form av pappersutskrifter. Den elektroniska information som skapas, och ofta lagras, i datorn utgör alltså inte i egentlig mening Författningsregleringen av behandling av uppgifter en del av akten. Normalt måste sådan information enligt vår mening anses som arbetsmaterial och utgör därför inte allmänna handlingar, om inte informationen expedieras eller tas om hand för arkivering (jfr 2 kap. 9 § tryckfrihetsförordningen). I och med datoriseringen har nya rutiner för ärendehantering utvecklats. förekommer det att handlingar i ärenden kommer in till myndigheter i elektronisk form. Det kan gälla t.ex. ansökningar eller deklarationer som lämnas in på diskett, genom fasta uppkopplingar på telenätet eller via vanlig e-post. Sådana handlingar kan lagras direkt i ett datorsystem utan att det görs pappersutskrifter som tillförs en fysisk akt. Likaså kan myndighetens handlingar upprättas elektroniskt och lagras i ett datorsystem utan att i pappersform tillföras en fysisk akt. Det kan gälla allt från förelägganden till beslut. De på det beskrivna sättet inkomna och upprättade elektroniska handlingarna i ett visst ärende kommer att ingå i vad som kan kallas en elektronisk akt i datorsystemet. De elektroniska handlingarna utgör då normalt inte arbetsmaterial, utan är allmänna handlingar. En elektronisk akt måste naturligtvis vara sammanhållen på ett sätt som motsvarar en fysisk akt för pappershandlingar, t.ex. genom att allt material i de elektroniska akterna kan göras samlat tillgängligt med hjälp av sökbegrepp, ofta i form av ärendebeteckningar eller liknande. Den elektroniska ärendehanteringen väcker många olika frågor. Bland annat kan äktheten hos de lagrade handlingarna vara svår att fastställa. Det kan även vara svårt att avgränsa vad som ingår i en elektronisk akt. Vidare finns det grundläggande problem med att fastställa vad som egentligen är en elektronisk akt, en elektronisk handling eller ett elektroniskt dokument. Vad är elektroniska dokument, handlingar och akter? Vad som avses med elektroniska handlingar och elektroniska dokument har diskuterats i flera sammanhang, bl.a. i TDL- utredningens betänkande Tullregisterlag m.m. (SOU 1989:20), betänkande Information och den nya InformationsTeknologin (SOU 1992:110), promemoria Elektronisk dokumenthantering inom skatteförvalt- ningen (Ds 1994:80), betänkande Elektronisk dokumenthantering (SOU 1996:40), Författningsregleringen av behandling av uppgifter betänkande Integritet – Offentlighet – Informationsteknik (SOU 1997:39), Statskontorets publikation Elektronisk ärende- och dokumenthantering (1997:8), betänkande Skatt – – Exekution – Normer för behandling av personuppgifter (SOU 1999:105) samt slutbetänkande Informationshantering och behandling av uppgifter vid domstolar – En rättslig översyn (SOU 2001:100). Begreppet elektroniskt dokument har efter diskussionerna kring elektronisk dokumenthantering tillbaka lagreglerats. Begreppet återfinns i ett antal olika lagar, t.ex. tullagen (1994:1550) och lagen (1990:325) om självdeklaration och kontrolluppgifter, och har i det närmaste fått en enhetlig definition. Ett elektroniskt dokument kan med stöd av nämnda lagar definieras som en upptagning som gjorts med hjälp av automatiserad behandling och vars innehåll och utställare kan verifieras genom ett visst tekniskt förfarande. Vad som mer precist avses med ett elektroniskt dokument har däremot inte reglerats i lagtext. Det gäller främst vilket tekniskt förfarande som skall användas för att innehåll och utställare skall kunna verifieras. Vad som är klart är att ett elektroniskt dokument som är infört i ett datorsystem skall vara låst till sitt innehåll. Den som läser dokumentet (på utskrift eller terminal) skall med andra ord kunna vara säker på att det är originalinnehållet som återges. Likaså skall det vara möjligt att fastställa vem som har upprättat eller sänt in ett elektroniskt dokument. Den tekniska verifieringen av utställaren skall alltså motsvara en namnteckning eller annan identifieringsuppgift på ett pappersdokument. Begreppet elektronisk handling som sådant finns inte definierat i författningstext. föreslog dock i sitt betänkande att det i förvaltningslagen skulle införas definitioner av olika elektroniska företeelser, bl.a. elektronisk handling. Enligt det förslaget skulle elektronisk handling definieras som en bestämd mängd data som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Det torde vara en allmän uppfattning att begreppet elektronisk handling är vidare än det i författningar förekommande begreppet elektroniskt dokument. Det senare kan alltså sägas vara en (författningsreglerad) special- form av elektroniska handlingar. I vissa sammanhang har det även talats om att elektroniska dokument är en låst form av elektroniska meddelanden. Någon närmare utveckling av skillnaden – om någon alls är avsedd – mellan elektroniska meddelanden och elektroniska Författningsregleringen av behandling av uppgifter handlingar finns däremot inte. Genom vad som framförts i olika sammanhang torde allmänt kunna konstateras att med elektroniska handlingar avses alla elektroniskt lagrade meddelanden eller inne- hållsmässigt sammanhängande upptagningar i ett ärende. Det kan röra sig om elektroniska avbildningar av pappershandlingar – bildfångade och skannade handlingar – eller handlingar som direkt har upprättats elektroniskt. Båda kategorierna kan vara låsta, dvs. tekniskt utformade så att innehåll och eventuell utställare kan verifieras, eller icke låsta. Med låsta handlingar avses då elektronis- ka dokument och med icke låsta handlingar avses alla övriga elektroniska handlingar som inte utgör elektroniska dokument. Begreppet elektronisk akt har i ovan nämnda lagstiftningsärenden närmast använts som en samlingsbeteckning på de elektroniska handlingar som har kommit in eller upprättats i ett visst ärende. Jämförelser har även gjorts med de fysiska akter som upprättas vid traditionell ärendehantering, men någon mer ingående analys av begreppet har inte gjorts. Elektronisk ärendehantering i brottsbekämpande verksamhet Till skillnad mot vad som gäller i fiskala verksamhet, förekommer det ingen egentlig elektronisk dokument- eller akthantering i brottsbekämpande verksamhet. Däremot upprättas ofta elektroniska handlingar med hjälp av ordbehandling. När vi nu föreslår en ny och teknikoberoende lagstiftning anser vi att hänsyn måste tas till att nya datorsystem kan komma att innefatta i första hand hantering av icke låsta elektroniska handlingar. är det emellertid rimligt att anta att även elektronisk dokumenthantering kommer att införas i verksam- heten. Som ett möjligt exempel kan nämnas att beslut i förundersökningar upprättas elektroniskt i form av dokument som förses med elektroniska signaturer. De upprättade dokumenten låses därigenom till sitt innehåll och utgör i sig allmänna handlingar. Det som sedan tas ut i pappersform utgör således endast utskrifter av de elektroniskt lagrade originaldokumenten. Det är också realistiskt att tänka sig att olika handlingar i form av elektroniska dokument med tiden kommer in till från i första hand andra brottsbekämpande myndigheter. Författningsregleringen av behandling av uppgifter Vi föreslår därför att en elektronisk handling som har kommit in till eller har upprättats av i ett ärende, skall få behandlas i tullbrottsdatabasen. Det innebär att det blir rättsligt möjligt för att i den brottsbekämpande verksamheten arbeta med elektroniskt upprättade och till innehållet låsta beslut, att ta emot elektroniska dokument från myndigheter m.fl. samt att skanna inkomna pappershandlingar och lagra dem elektroniskt som bilder i en databas. Härigenom finns förutsättningar för att införa en långtgående elektronisk ärendehantering, som t.ex. kan leda till att originalhandlingar endast finns i elektronisk form och att pappersutskrifter endast är kopior av originalen. Förutom elektroniska dokument är vår avsikt att även andra elektroniska handlingar skall omfattas av bestämmelserna. Det innebär bl.a. att inkommen eller skickad e-post och icke låsta ordbehandlingsdokument kan lagras som handlingar i databasen, oavsett om de ingår i ett datorsystem eller ej. En annan viktig följd av bestämmelserna är att ljud- och bildupptagningar i digital form kommer att kunna hanteras som andra elektroniska handlingar i en databas. Hanteringen av elektroniska akter innebär emellertid att det ställs krav på särskilda rättsliga överväganden av såväl insyns- som integritetsskäl. Den viktigaste orsaken till detta är att det med en utbyggd elektroniskt dokumenthantering inte går att sätta upp detaljerade regler för vilka uppgifter som får registreras, eftersom dokument och andra handlingar innehåller det skribenten väljer att skriva. En viktig fråga som uppkommer vid hantering av elektronis- ka handlingar är om det skall gälla särskilda regler för behandlingen av känsliga personuppgifter, elektroniskt utlämnande, direkt- åtkomst, sökmöjligheter och gallring. En annan viktig fråga är säkerhetsaspekten, bl.a. hur man skall utforma tekniska lösningar som garanterar äktheten hos elektroniska dokument. Den sistnämnda frågan är det emellertid inte vår sak att utreda. Frågor om direktåtkomst till eller annat utlämnande av, sökmöjligheter efter och gallring av elektroniska handlingar återkommer vi till längre fram i avsnitt 11.5–8. Författningsregleringen av behandling av uppgifter Begränsning av känsliga personuppgifter i elektroniska handlingar Vid all behandling av personuppgifter intar frågor om behandling av känsliga personuppgifter enligt personuppgiftslagen en särställ- ning, genom att sådana uppgifter i princip får behandlas endast efter samtycke av den enskilde eller med särskilt författningsstöd. Allmänt gäller att stor försiktighet bör iakttas vid hanteringen av känsliga personuppgifter. Vi föreslår därför att känsliga person- uppgifter endast under vissa bestämda förutsättningar skall få behandlas i den brottsbekämpande verksamheten (se avsnitt 11.4.1). När elektroniska handlingar upprättas av skall dessa särskilda regler tillämpas på samma sätt som för vilken annan behandling som helst. Någon annan begränsning av vilka uppgifter som får förekomma i upprättade handlingar föreslås inte. Det är dock naturligtvis ett krav att all behandling, även i elektroniska handlingar, sker i överensstämmelse med de ändamål som gäller för behandling av uppgifter i den brottsbekämpande verksamheten. Vid behandling av uppgifter i till inkomna handlingar, som ett led i elektronisk ärendehantering, är det inte möjligt att ha ens den begränsande bestämmelse avseende känsliga person- uppgifter som vi föreslår för upprättade handlingar. Om en handling sänds in till i elektronisk form för att lagras i ett datorsystem, är det nämligen inte tillåtet för verket att censurera innehållet genom att ta bort eventuella känsliga personuppgifter. En handling måste naturligtvis få lagras i den form den kommer in för att ett system med elektronisk ärendehantering skall kunna fungera. Samma problem uppkommer när handlingar i och för sig kommer in till i pappersform, men där skannas eller bildfångas för att en kopia skall lagras som en del i en elektronisk akt. Vi anser därför att det inte är möjligt att ha några begränsande bestämmelser över huvud taget av vilka uppgifter som får hanteras i tullbrottsdatabasen när det gäller inkomna handlingar i ärenden. De integritetsproblem som kan uppstå vid hanteringen av elektroniskt lagrade handlingar, inkomna eller upprättade, måste i stället lösas genom begränsningar i möjligheterna att söka efter uppgifter och att få tillgång till dem genom direktåtkomst (se avsnitt 11.6 och 7). Författningsregleringen av behandling av uppgifter 11.4Behandling för skilda ändamål I avsnitt 11.1.4 redovisar vi kort för vilka ändamål vi anser att uppgifter primärt skall få behandlas i verksamhet, nämligen när det behövs för att förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott, för att fullgöra internationellt tullsamarbete samt för att planera, följa upp och utvärdera verksamheten. När det gäller det sist nämnda ändamålet bör enligt vår bedömning inga egentliga problem uppstå vid behandlingen av personuppgifter, eftersom det är fråga om administrativ hantering av de egentliga verksamheterna. Det är med andra ord inte fråga om att för brottsbekämpande ändamål behandla personuppgifter om utomstående på ett sådant sätt att integritetsproblem kan uppstå. Med övriga ändamål förhåller det sig annorlunda och det finns därför skäl att närmare redovisa vår syn på vad som omfattas av de olika ändamålen och hur uppgifter enligt vår uppfattning bör få behandlas i den gemensamma tullbrottsdatabasen eller på annat sätt. För behandling av känsliga personuppgifter gäller gemen- samma bestämmelser oavsett för vilket ändamål uppgifterna behandlas. 11.4.1Gemensamma bestämmelser om behandling av känsliga personuppgifter Vårt förslag: Uppgifter om en person skall inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund skall de emellertid få kompletteras med känsliga personuppgifter, när det är oundgängligen nödvändigt för syftet med behandlingen. Enligt 13 § personuppgiftslagen är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Med känsliga personuppgifter avses uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Om sådana uppgifter måste behandlas i Författningsregleringen av behandling av uppgifter offentlig verksamhet utan samtycke, behövs det i författning särskilda bestämmelser för i vilka fall det får göras. Vi anser att i den brottsbekämpande verksamheten bör ha samma möjligheter att registrera och på annat sätt behandla sådana uppgifter som verket har . Vi föreslår därför att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär exempelvis att det inte är tillåtet att i underrättelseverksamhet föra register över, eller på annat sätt göra anteckningar om, enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Om uppgifter om en person däremot behandlas på annan grund måste de få kompletteras med känsliga personuppgifter när det är nödvändigt för syftet med behandlingen. Som exempel kan nämnas att en person är aktuell i en förundersökning. Om det är absolut nödvändigt för handläggningen av ärendet får de övriga uppgifterna i förundersökningen kompletteras med känsliga personuppgifter, exempelvis om den misstänktes hälsotillstånd. Känsliga personupp- gifter kan även få behandlas i underrättelse- och gränskontroll- verksamheten. Om får ett tips från allmänheten om en person som troligen smugglar narkotika, måste anteckningar naturligtvis få göras om sådant som är nödvändigt för att underlätta identifiering vid gränsen, exempelvis fysiska kännetecken som rör hälsa och etniskt ursprung. Även i den informationsbearbetning som äger rum i underrättelseverksamheten måste det vara tillåtet att anteckna känsliga personuppgifter om personer som på saklig grund är misstänkta för att bedriva brottslig verksamhet, under förutsättning att de känsliga uppgifterna är nödvändiga för att få fram den fullständiga underrättelseinformation som behövs. Vi anser att en bestämmelse om känsliga personuppgifter skall vara generell, dvs. den bör gälla för behandling i tullbrottsdatabasen såväl som för annan behandling. Det bör inte heller spela någon roll för vilka ändamål uppgifterna behandlas, utan samma regler skall gälla för underrättelseverksamhet som i förundersökningar. Vi föreslår emellertid ett undantag från begränsningen och det gäller vid behandling av inkomna elektroniska handlingar. I sådana handlingar kan nämligen inte påverka innehållet (se avsnitt 11.3.2). Författningsregleringen av behandling av uppgifter 11.4.2Förhindra eller upptäcka brottslig verksamhet (underrättelseverksamhet m.m.)