sou · GQB3113d2 · 2003-01-01 00:00:00 — Genom att uppgifterna som registreras inte genom direkt åtkomst sprids utanför en klart avgränsad grupp tjänstemän – de görs alltså inte tillgängliga i ett för gemensamt sökbart underrättelseregister – anser vi att man kan acceptera att även uppgifter om mindre allvarlig brottslighet behandlas automatiserat. Om uppgifter som behandlas i ett underrättelseprojekt skall tillföras ett för gemensamt underrättelseregister, måste de dock självfallet uppfylla bl.a. det krav på anknytning till allvarlig brottslig verksamhet som gäller för behandling i tullbrottsdatabasen. Ytterligare en förändring i förhållande till dagens situation är att vi inte föreslår något krav på att det måste fattas ett formellt beslut om en särskild undersökning för att uppgifter skall får behandlas i ett underrättelseprojekt. Vi anser inte att detta är nödvändigt av integritetsskäl under de ovan angivna förutsättningarna för behandlingen. Vi förutsätter dock att ett underrättelseprojekt, där flera personer ingår och som innefattar insamling och bearbetning av underrättelseinformation, av administrativa och organisatoriska skäl alltid har sin grund i någon form av beslut av en tjänsteman i arbetsledande ställning. Betydelsen av att det inte i lag anges att det krävs ett formellt beslut skall därför enligt vår uppfattning inte överdrivas. 11.4.3Utreda eller beivra brott Vårt förslag: skall i gemensamma register och ärende- hanteringssystem inom ramen för tullbrottsdatabasen få behand- la uppgifter om personer som förekommer i ett ärende om utredning eller beivrande av brott. Vid behandlingen skall upp- gifter om en fysisk person som inte är misstänkt för brott förses med upplysning om att sådan misstanke saknas, om det inte av sammanhanget klart framgår varför uppgifterna behandlas. Vid behandling som inte utförs i tullbrottsdatabasen, utan på annat sätt av enskilda tjänstemän eller avgränsade grupper av tjänstemän, skall det inte ställas upp några särskilda villkor utöver de allmänna bestämmelser som gäller för all behandling av uppgifter. Författningsregleringen av behandling av uppgifter Vad omfattas av att utreda eller beivra brott? verksamhet med att utreda eller beivra brott innefattar först och främst allt arbete inom ramen för en förundersökning enligt 23 kap. eller lagen (2000:1225) om straff för smuggling, exempelvis spaning, förhör, användande av tvångs- medel och allmän informationsbearbetning. Utöver detta omfattas emellertid även annat arbete med utredande eller beivrande av ett konkret brott. Det gäller således verksamhet som utförs med stöd av 23 kap. 3 och 8 §§ innan en förundersökning har inletts, dvs. inledande förhör på brottsplatsen m.m. Också åtgärder som vidtas i syfte att samla in underlag för beslut om förundersökning skall inledas eller inte, omfattas av ändamålet. Som exempel kan nämnas kontroll av ett tips om att ett brott har förövats. Ytterligare åtgärder som omfattas är väckande av åtal och beivrande av brott i förenklad form, t.ex. genom strafföreläggande. Vad som avgränsar ändamålet att utreda eller beivra brott från ändamålet att förhindra eller upptäcka brottslig verksamhet, är att åtgärderna sker med anledning av att ett konkret brott har eller misstänks ha begåtts. Det innebär att all behandling av uppgifter på grund av att det finns misstankar om pågående brottlig verksamhet som inte kan konkretiseras eller misstankar om att ett konkret brott kommer att begås , i stället omfattas av ändamålet att förhindra eller upptäcka brottslig verksamhet (se avsnitt 11.4.2). Inom den brottsutredande verksamheten finns ett påtagligt behov av att kunna föra olika för gemensamma register och ärendehanteringssystem inom ramen för tullbrottsdatabasen. Till skillnad från vad som gäller för underrättelseverksamheten möter det enligt vår uppfattning inga svårigheter att avgränsa den krets personer om vilka uppgifter bör få behandlas i sådana gemensamma system. Det framstår för oss som självklart att måste få registrera uppgifter om samtliga de personer som förekommer i ett ärende om utredning eller beivrande av brott, oavsett skälet till att de förekommer i ärendet och oavsett om de är misstänkta eller inte. De kategorier av uppgifter som får registreras om dessa personer bör enligt vår uppfattning uttryckligen anges i lag och vi redovisar våra överväganden i den delen ovan i avsnitt 11.3.1. Författningsregleringen av behandling av uppgifter Förutom att registrera information i särskilda informations- databaser eller register, finns det också för framtiden ett påtagligt behov av att i förundersökningar och andra ärenden behandla inkomna och upprättade elektroniska handlingar i gemensamma datoriserade ärendehanteringssystem. Vad som närmare avses med elektroniska handlingar redovisas i avsnitt 11.3.2. För att säkerställa integritetsskyddet vid behandlingen av uppgifter och handlingar i förundersökningar och andra ärenden avseende brottsutredningar, anser vi att uppgifter om en fysisk person som inte själv är misstänkt för brott i princip skall förses med en upplysning om att sådan misstanke saknas. Detta för att det inte skall uppstå integritetskränkande missuppfattningar om vilken roll en viss person spelar i en förundersökning. I många fall framgår det emellertid direkt av sammanhanget varför en uppgift behandlas, t.ex. i förhörsprotokoll och vittneslistor m.m. Enligt vår uppfattning torde risken för missuppfattningar inom ramen för handläggningen av ett ärende generellt sett vara relativt liten. Naturligtvis finns det inget som hindrar att myndigheten, även i andra fall än de som vi föreslår skall vara obligatoriska, lämnar upplysningar om varför vissa uppgifter har registrerats. För behandling av uppgifter och handlingar i databasen föreslår vi ett flertal regler utöver de som redovisats. Det gäller bl.a. utlämnande, sökbarhet och gallring. Dessa frågor diskuteras särskilt längre fram i detta kapitel. Annan behandling än i databasen I brottsutredande verksamhet förekommer det ofta, liksom i andra offentliga verksamheter, att uppgifter behandlas automatiserat utan att det sker i för myndigheten gemensamma register eller ärendehanteringssystem. Det kan vara fråga om såväl upprättande av handlingar med hjälp av ordbehandling, t.ex. beslags- eller förhörsprotokoll, som kommunikation med e-post. Enligt vår bedömning bör de allmänna regler som vi förslår skall gälla för all behandling av uppgifter i brottsbekämpan- de verksamhet vara tillräckliga för sådan behandling. De regler som främst avses är de som anger att uppgifter bara får behandlas för fastställda ändamål och att känsliga personuppgifter endast får behandlas under särskilda villkor samt reglerna om gallring. Vi föreslår därför inga ytterligare bestämmelser för sådan behandling, Författningsregleringen av behandling av uppgifter motsvarande de som vi anser bör gälla i underrättelseverksamhet m.m. 11.4.4Arbete i internationella förhållanden Vårt förslag: skall i gemensamma register och ärendehanteringssystem inom ramen för tullbrottsdatabasen få behandla uppgifter om en odefinierad krets personer, om det är nödvändigt för att fullgöra det arbete som åligger verket enligt lagen (2000:1219) om internationellt tullsamarbete. Vid behandling som inte utförs i tullbrottsdatabasen, utan på annat sätt av enskilda tjänstemän eller avgränsade grupper av tjänstemän, skall det inte ställas upp några särskilda villkor utöver de allmänna bestämmelser som gäller för all behandling av uppgifter. samarbetar i mycket stor omfattning med andra länders myndigheter, inte minst inom EU. I många fall omfattas det internationella arbete som genomförs i den brottsbekämpande verksamheten, och följaktligen också den behandling av person- uppgifter som utförs, av de tidigare beskrivna ändamålen; att förhindra eller upptäcka brottslig verksamhet samt att utreda eller beivra brott. Dessa ändamål är emellertid begränsade till att gälla brottslighet som enligt svensk lagstiftning har att ingripa mot. De omfattar därför inte exempelvis den situationen att genom internationella överenskommelser eller EG-rätt är skyldigt att bistå andra länders myndigheter med information som avser brott som inte begåtts i eller att i övrigt behandla sådan information. Till skillnad från vad som gäller för den nationella brotts- bekämpningen, är det inte möjligt att i lag eller förordning på ett uttryckligt och tydligt sätt reglera vilken behandling som skall vara tillåten för . Hänsyn måste tas till att i många avseenden är beroende av gemensamma regler inom EU m.m. Vi har övervägt olika möjligheter att reglera behandlingen av uppgifter i internationella sammanhang på ett sådant allmänt sätt att den inte hindrar möjligheter att uppfylla åtaganden och tillgodoser rimliga rättssäkerhets- och integritetskrav. Vi har funnit att den bästa lösningen är att som utgångspunkt ha den Författningsregleringen av behandling av uppgifter av beslutade lagen (2000:1219) om internationellt tullsamarbete. I den lagen regleras vilka skyldigheter har att bistå utländska myndigheter och internationella organisationer. Om den av oss föreslagna lagen om behandling av uppgifter i brottsbekämpande verksamhet skulle innehålla en fristående reglering av hur får behandla information i internationella sammanhang, skulle det enligt vår uppfattning uppstå en påtaglig risk för att försätts i en situation där verket inte kan fullfölja skyldigheter som följer av en av beslutad författning om internationellt samarbete, på grund av begränsande regler om behandling av uppgifter i en annan av beslutad författning. En sådan situation måste kunna undvikas. Vi föreslår därför att det i lagen om behandling av uppgifter i brottsbekämpande verksamhet tas in en generell bestämmelse om att i gemensamma register och ärendehanteringssystem inom ramen för tullbrottsdatabasen får behandla uppgifter om en odefinierad krets personer, om det är nödvändigt för att fullgöra det arbete som åligger verket enligt lagen om internationellt tullsamarbete. Härigenom garanteras att kan fullfölja de uppdrag som ålagt verket, i de fall behandlingen inte kan anses omfattas av de ändamål som gäller för den nationella brottsbekämpande verksamheten. För behandling som inte utförs i databasen bör motsvarande gälla i enlighet med det särskilt angivna ändamålet att uppgifter får behandlas om det behövs för att fullgöra det arbete som åligger verket enligt lagen om internationellt tullsamarbete. 11.4.5Kombinerade register i tullbrottsdatabasen Vårt förslag: Uppgifter om personer som får behandlas i tullbrottsdatabasen skall få registreras tillsammans i ett kombinerat register även om de behandlas för skilda ändamål, under förutsättning att det klart framgår för vilket ändamål uppgifterna behandlas. är det vanligt att särskilda författningar reglerar myndigheters rätt att föra enskilda register. har exempelvis rätt att föra dels underrättelseregister, dels spaningsregister. Det saknas ofta rättsliga möjligheter att i ett enda register kombinera uppgifter från Författningsregleringen av behandling av uppgifter Vårt förslag till lagstiftning är emellertid teknikneutral (se avsnitt 10.5). Det innebär att det inte finns några hinder mot att inom ramen för tullbrottsdatabasen inrätta t.ex. ett gemensamt spanings- och underrättelseregister. I ett sådant register kan det få förekomma uppgifter om både personer som utan att själva vara misstänkta kan antas ha samband med allvarlig brottslig verksamhet och personer vilka inom ramen för en förundersökning är misstänkta för ett konkret brott. Det finns emellertid integritetsrisker förknippade med att i ett och samma register blanda förundersökningsuppgifter om t.ex. brottsmisstankar med underrättelseuppgifter om anknytning till viss brottslig verksamhet. Vi anser därför att en förutsättning för att det skall tillåtas måste vara att det i ett sådant kombinerat register klart och tydligt anges för vilket ändamål en uppgift har registrerats. Den som använder registret måste exempelvis direkt få information om att en viss uppgift avseende en person har sitt ursprung i underrättelseverksamhet, medan en annan uppgift om samma person har registrerats inom ramen för en förundersökning. Att sådan åtskillnad görs mellan uppgifterna har också betydelse för möjligheterna att genom tekniska förfaranden spärra åtkomsten till vissa uppgifter. En åklagare, som enligt vårt förslag skall få direktåtkomst till registeruppgifter i en förundersökning som han eller hon leder (se avsnitt 11.6.4), bör t.ex. kunna förhindras att få tillgång till underrättelseuppgifter i samma register. 11.5Elektroniskt inhämtande och utlämnande av uppgifter och handlingar Vårt förslag: Det skall inte finnas några uttryckliga begränsningar för elektroniskt inhämtande till av uppgifter eller handlingar. Inhämtande av uppgifter och handlingar Vilka uppgifter som får behandlas automatiserat av en myndighet måste avgöras med ledning av de i lagstiftningen angivna ändamålen med behandlingen, eftersom det i 9 § personuppgiftslagen ställs Författningsregleringen av behandling av uppgifter krav på att uppgifter skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål (motsvarar artikel 6 i dataskydds- direktivet). Några särskilda krav på begränsningar av på vilket sätt uppgifter får samlas in följer däremot inte av vare sig personuppgiftslagen eller EG-rätten. Vi ser inte heller några integritetsskäl mot att enskilda eller myndigheter, som av olika anledningar har att lämna uppgifter, gör detta med hjälp av automatiserad behandling. Om anser det lämpligt, bör således t.ex. information under handläggning av ärenden kunna inhämtas till databasen via e-post i stället för muntligen via telefon eller skriftligen via fax. Några rättsliga begränsningar bör inte heller ställas upp för att automatiserat hämta in uppgifter direkt från en annan myndighets register, under förutsättning att uppgifterna får behandlas av verket och att den utlämnande myndigheten får lämna ut uppgifterna på det sättet. Det kan däremot finnas andra skäl för att uppgifter skall lämnas på ett visst sätt. Det kan t.ex. vara ett krav att vissa handlingar lämnas skriftligen och egenhändigt undertecknade, vilket kan innebära såväl rättsliga gränsdragningsproblem som tekniska svårigheter vid ett automatiserat förfarande. Med andra ord kan det finnas olika orsaker till att uppgifter inte kan eller får hämtas in automatiserat till . Dessa begränsningar följer då av andra författningar eller av tekniska orsaker. Det finns inte anledning att föreskriva om ytterligare begränsningar i den av oss föreslagna lagen. Vi ser således inte några skäl för att i en författning om behand- ling av uppgifter i brottsbekämpande verksamhet införa begränsningar av på vilket sätt uppgifter får hämtas in eller tas emot, oavsett om de inhämtade uppgifterna skall behandlas i tullbrottsdatabasen eller på annat sätt. Tvärtom är det vår uppfattning att i den mån en viss uppgift får hämtas in till och behandlas automatiserat där, bör inhämtandet i princip kunna ske på det sätt som verket och avsändaren anser mest lämpligt. Författningsregleringen av behandling av uppgifter Vårt förslag: Uppgifter som inte behandlas i tullbrottsdatabasen skall utan särskilda begränsningar få lämnas ut elektroniskt. Uppgifter och handlingar i tullbrottsdatabasen skall utan begränsningar få lämnas ut elektroniskt till svenska myndigheter på annat sätt än genom direktåtkomst. Uppgifter och handlingar i tullbrottsdatabasen skall få lämnas ut elektroniskt till andra än svenska myndigheter på annat sätt än genom direktåtkomst, om regeringen meddelar föreskrifter om det eller om det behövs för att skall kunna fullgöra internationella åtaganden. Allmänt om elektroniskt utlämnande Uppgifter kan lämnas ut från i elektronisk form på medium för automatiserad behandling på flera olika sätt, t.ex. genom användning av e-post, genom utlämnande på diskett eller cd-rom, genom direkt överföring från ett datorsystem till ett annat via telenätet (där beslutet om överföring i varje enskilt fall fattas av ) eller genom direktåtkomst till datorsystem (där beslutet om överföring i varje enskilt fall fattas av mottagaren). Av dessa olika varianter är direktåtkomsten den mest känsliga och den behandlas därför särskilt i avsnitt 11.6. Att ett utlämnande sker på medium för automatiserad behandling innebär att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen. Det betyder att elektroniskt utlämnande av uppgifter och handlingar på ett sådant sätt att mottagaren endast kan läsa informationen och inte bearbeta den, t.ex. genom allmänhetens terminal vid en myndighet, inte är ett utlämnande på medium för automatiserad behandling. En av de viktigare bestämmelserna i personuppgiftslagen är 9 § (artikel 6 i dataskyddsdirektivet), av vilken bl.a. framgår att uppgifter skall samlas in för särskilda, uttryckliga och berättigade ändamål. behandling får inte ske på ett sätt som är oförenligt med de ändamålen. Bestämmelsen innebär att en uppgift som har samlats in för ett visst ändamål inte får lämnas ut, om utlämnandet är oförenligt med det ursprungligen angivna ändamålet. För författningsreglerad offentlig verksamhet innebär Författningsregleringen av behandling av uppgifter detta att utlämnande av personuppgifter som omfattas av person- uppgiftslagen inte får vara oförenligt med de olika ändamål som gäller för behandling av personuppgifterna. Oavsett ändamålen gäller dock att uppgifter alltid får lämnas ut till enskilda med stöd av offentlighetsprincipen och, enligt vår uppfattning, till myndig- heter med stöd av sekretesslagen eller särskilda bestämmelser om utlämnande i annan författning. Det finns emellertid inte några uttryckliga bestämmelser i vare sig personuppgiftslagen eller dataskyddsdirektivet som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut automatiserat. I det avseendet görs med andra ord ingen åtskillnad mellan elektroniskt och manuellt utlämnande. En allmän bestämmelse i svensk lagstiftning som direkt rör myndigheters automatiserade utlämnande av uppgifter är 7 kap. 16 § sekretesslagen (1980:100). Där anges att sekretess gäller för uppgifter om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Med behandling av personuppgifter avses enligt personuppgiftslagen emellertid varje åtgärd som vidtas med uppgiften. Det torde därför även ur sekretesslagens synvinkel i princip sakna betydelse om utlämnandet av en uppgift görs automatiserat eller manuellt på papper, eftersom utlämnandet under alla förhållanden omfattas av 7 kap. 16 § om uppgiften av mottagaren kan komma att behandlas automatiserat eller i register i strid mot personuppgifts- lagens bestämmelser. På grund av de möjligheter till bearbetning av uppgifter som en datoriserad behandling ger, är däremot risken självfallet större för att uppgifter som lämnas ut elektroniskt kan komma att hanteras av mottagaren på ett sådant sätt att det strider mot personuppgiftslagens bestämmelser. Vi drar av det ovanstående den slutsatsen att det inte finns något rättsligt krav på att författningsreglera utlämnande på medium för automatiserad behandling för att det skall vara tillåtet att lämna ut uppgifter på det sättet. Vi har då att ta ställning till om det finns anledning att på någon annan grund ha särskilda bestämmelser för utlämnande på medium för automatiserad behandling i annan form än direktåtkomst. En annan fråga är om det för sådant utlämnande finns anledning att göra olika bedömningar beroende på till vem uppgifterna lämnas ut. Det kan vara viktigt att markera att elektroniskt utlämnande som inte görs på medium för automatiserad behandling, t.ex. via allmänhetens terminal, inte omfattas av den av oss föreslagna Författningsregleringen av behandling av uppgifter För sådant utlämnande gäller, som för utlämnande på papper, i stället endast bestämmelserna i sekretesslagen. Anledning- en till detta är att vi anser att det inte finns några integritetsrisker med ett utlämnande som innebär att informationen endast kan läsas, under förutsättning att i varje enskilt fall har möjlighet att påverka utlämnandet (för direktåtkomst till tullbrottsdatabasen anser vi däremot att situationen är annorlunda och därför behandlar vi den frågan särskilt i avsnitt 11.6). Redovisningen nedan i detta avsnitt avser med andra ord endast elektroniskt utlämnande på sådant sätt att mottagaren elektroniskt kan bearbeta informationen. eventuella tillhandahål- lande av uppgifter på stället enligt 2 kap. 12 § tryckfrihets- förordningen, t.ex. via allmänhetens terminal, omfattas således inte. Utlämnande av uppgifter som inte behandlas i tullbrottsdatabasen Vi har tidigare beskrivit skillnaden mellan behandling av uppgifter som omfattas av de särskilda reglerna för tullbrottsdatabasen och annan form av behandling. Den behandling som utförs utan att den anses ingå i databasen är uteslutande sådan behandling som sker för enskilda tjänstemäns – eller avgränsade grupper av tjänstemäns – bruk. Större samlingar av känsliga uppgifter som används gemen- samt i verksamheten, t.ex. uppgifter i ett allmänt underrättelse- register, ingår däremot i tullbrottsdatabasen (se avsnitt 11.2). Det finns enligt vår mening en avgörande skillnad mellan å ena sidan elektroniskt utlämnande av uppgifter direkt ur ett register eller en databas och å andra sidan elektronisk kommunikation via t.ex. e-post. För att inte möjligheterna att utnyttja datorteknik vid myndigheter skall inskränkas på ett orimligt sätt, får det inte sättas upp onödiga hinder mot att e-post utnyttjas som ett sätt att till enskilda vidarebefordra allmän information som ofta lämnas ut via telefon, telefax eller vanlig brevförsändelse. Det måste också vara möjligt för tjänstemän vid att kommunicera med andra myndigheter och utbyta information på elektroniskt väg. Som exempel kan nämnas att personal från tullen samarbetar med personal från polisen i en särskild projektgrupp. Information som hanteras inom gruppen måste kunna utbytas på det snabbaste och enklaste sättet, vilket i många fall innebär att information måste kunna skickas via e-post. Författningsregleringen av behandling av uppgifter I detta sammanhang bör markeras att det i fråga om uppgifter i brottsbekämpande verksamhet är föreskrivet sträng sekretess till skydd för enskildas personliga och ekonomiska förhållanden (9 kap. 17 § första stycket sekretesslagen). De uppgifter som behandlas i verksamheten, och som ofta är av mycket känslig karaktär, får därför inte lämnas ut vare sig elektroniskt eller på annat sätt utan föregående sekretessprövning. När det gäller uppgifter som behandlas automatiserat av enskilda tjänstemän eller avgränsade grupper av tjänstemän och som inte är tillgängliga för gemensam användning inom , dvs. uppgifter som inte ingår i tullbrottsdatabasen, är det enligt vår uppfattning tillräckligt från integritetssynpunkt att elektroniskt utlämnande begränsas på samma sätt som utlämnande av uppgifter på papper. Vi anser med andra ord att enskildas integritetsintressen i fråga om elektroniskt utlämnande i dessa fall tillgodoses genom sekretesslagens bestämmelser, dvs. även 7 kap. 16 §, och att det därför saknas anledning att ha särskilda bestämmelser om på vilket sätt uppgifterna får lämnas ut från . Utlämnande till svenska myndigheter från tullbrottsdatabasen För myndigheter finns ofta särskilda registerförfattningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten och på vilket sätt personuppgifter får behandlas. I de författningarna regleras även ändamålen för behandlingen. Även i de fall särskilda register- författningar saknas, måste det förutsättas att användningen av uppgifter begränsas av personuppgiftslagens allmänna bestämmel- ser och av att myndigheter bedriver viss bestämd och reglerad verksamhet.