sou · GQB3113d2 · 2003-01-01 00:00:00 — Författningsregleringen av behandling av uppgifter bestämmelser i personuppgiftslagen som är tillämpliga mycket klart överväger nackdelarna. En ytterligare aspekt i detta sammanhang är att denna metod används i regleringen av fiskala verksamhet. Det finns enligt vår mening ett inte obetydligt värde i att använda samma typ av lagstiftningsteknik för myndighetens hela verksamhet. Vi föreslår därför att en sådan modell används också i lagen om behandling av uppgifter i brotts- bekämpande verksamhet. Tillämpliga bestämmelser i personuppgiftslagen Redovisningen nedan av vilka bestämmelser i personuppgiftslagen som vi föreslår skall vara tillämpliga vid behandling av personupp- gifter i brottsbekämpande verksamhet vid omfattar inte de bestämmelser som direkt rör enskildas rättigheter; information, rättelse och skadestånd. Vi återkommer till de bestämmelserna i avsnitt 11.9. Definitioner (3 §) Vi har inte funnit någon anledning att i den av oss föreslagna lagen definiera begrepp som förekommer där på något annat sätt än i 3 § personuppgiftslagen. För att undvika missförstånd är det tvärtom viktigt att de begrepp som används i de två lagarna har samma innebörd. Det bör dock anmärkas att personuppgiftsansvaret regleras särskilt i den lag som vi föreslår för . Förhållandet till offentlighetsprincipen m.m. (8 §) Bestämmelsen i 8 § första stycket personuppgiftslagen är en ren upplysning och markering om offentlighetsprincipens företräde. I andra stycket finns dock en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen – där det ställs upp begränsningar i rätten att använda sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om den registrerade – inte skall tillämpas i fråga om myndigheters användning av personuppgifter i allmänna handlingar. Personuppgiftslagens bestämmelser hindrar inte heller att allmänna handlingar bevaras eller att arkivmaterial tas om hand Författningsregleringen av behandling av uppgifter Dessa undantag skall gälla även inom brotts- bekämpande verksamhet vid . Grundläggande krav på behandlingen av personuppgifter (9 §) En av de väsentligaste bestämmelserna i fråga om behandling av personuppgifter finns i 9 § personuppgiftslagen och avser vilka grundläggande krav som ställs på en personuppgiftsansvarig. Dessa krav bör naturligtvis tillämpas även vid behandling av person- uppgifter vid . Vi föreslår emellertid särskilda gallrings- regler och bestämmelserna i 9 § första stycket i) och tredje stycket om hur länge uppgifter får bevaras skall därför inte tillämpas. Behandling av personnummer (22 §) Enligt 22 § personuppgiftslagen får personnummer och samordningsnummer behandlas endast efter samtycke från den registrerade eller om det är klart motiverat med hänsyn till behandlingens ändamål, vikten av en säker identifiering eller något annat beaktansvärt skäl. För behandling i brottsbekämpande verksamhet måste person- eller samordningsnummer av rättssäker- hetsskäl ofta användas för att eliminera risken för fel vid registrering av personuppgifter och i handläggningen av ärenden. Vid behandling av personuppgifter i gemensamma datorsystem är det i de flesta fall helt nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. För sådan behandling anges därför uttryckligt i den av oss föreslagna lagen att uppgifter om en persons identitet får användas, bl.a. personnummer. Hänvisningen till personuppgifts- lagens bestämmelse får därför praktisk tillämpning endast i fråga om behandling som inte utförs i den särskilt reglerade tull- brottsdatabasen, dvs. vid vanlig ordbehandling, hantering av e-post och användandet av begränsade projektregister m.m. Även i de fallen torde det dock ofta vara motiverat att använda personnummer för att säkerställa de berörda parternas identitet. Personnummer bör emellertid inte användas slentrianmässigt när risk inte föreligger för förväxling mellan personer eller när andra beaktansvärda skäl saknas. Författningsregleringen av behandling av uppgifter Säkerheten vid behandling (30–32 §§) I 30–32 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser skall vara tillämpliga i brottsbekämpande verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Detta är inte minst viktigt i fråga om behandling av uppgifter i tullbrotts- databasen, där det exempelvis kan behövas såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för personal- kategorier, för att garantera att regleringen i den av oss föreslagna lagen kan efterlevas. Det är också viktigt att särskilda rutiner införs för behandling av personuppgifter i exempelvis underrättelse- projekt som inte omfattas av de i många fall mer restriktiva bestämmelserna för tullbrottsdatabasen. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § person- uppgiftslagen inte föras över till tredje land om inte det mottagande landet har en adekvat nivå för skyddet av person- uppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen har också möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. I dataskyddsdirektivets ingresspunkt 58 nämns uttryckligen internationellt utbyte av uppgifter mellan tullmyndigheter som ett sådant viktigt intresse och i förordningen (2000:1222) om internationellt tullsamarbete finns en bestämmelse om undantag från 33 § personuppgiftslagen. Vi anser att förbudet mot överföring till tredje land som inte har acceptabla skyddsnivåer, och de undantag från förbudet som föreskrivs, bör vara tillämpliga även på behandling enligt den av oss föreslagna lagstiftningen. Författningsregleringen av behandling av uppgifter Personuppgiftsombudets uppgifter m.m. (38–41 §§) Automatiserade behandlingar av personuppgifter skall enligt 36 § personuppgiftslagen anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § personupp- giftsförordningen inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Det finns enligt vår mening inte någon anledning att ställa krav på anmälnings- skyldighet för behandlingar som utförs med stöd av den av oss föreslagna lagen. Den personuppgiftsansvarige har enligt 36 § personuppgiftslagen även möjlighet att utse ett personupp- giftsombud. Vår bedömning är att det bör åligga den personupp- giftsansvarige att ta ställning till frågan om ett personuppgifts- ombud skall inrättas hos myndigheten eller inte. Om ett sådant ombud utses, skall bestämmelserna om ombudets skyldigheter i 38–40 §§ personuppgiftslagen tillämpas. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar skall anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen enligt vår mening ha även i fråga om sådana behandlingar som utförs i brottsbekämpande verksamhet. Vissa upplysningar till allmänheten (42 §) Enligt 42 § personuppgiftslagen skall den personuppgiftsansvarige till den som begär det lämna upplysningar om de behandlingar av personuppgifter som utförs och som inte har anmälts till Datainspektionen. Eftersom behandling är författ- ningsreglerad har verket ingen skyldighet att till Datainspektionen anmäla vilka behandlingar som utförs. För att enskilda på ett snabbt och enkelt sätt skall kunna få besked av om vilka behandlingar som utförs av verket i den brottsbekämpande verksamheten, bör bestämmelsen i personuppgiftslagen vara tillämplig. befogenheter (43 och 47 §§) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgiftsansvariga. Vi anser att den möjlighet som inspektio- Författningsregleringen av behandling av uppgifter nen har enligt 43 § personuppgiftslagen att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler bör finnas även när den personuppgiftsansvarige är en myndighet. Däremot bör det inte vara möjligt för Datainspektionen att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla person- uppgifter, eftersom vite som sanktionsmedel enligt allmänna rättsgrundsatser inte bör användas mellan statliga myndigheter. Hänvisning behöver därför inte göras till bestämmelserna om vite i 44 och 46 §§ personuppgiftslagen. Vi finner det inte heller nödvändigt att i lagen hänvisa till 45 §, i vilken det anges att Datainspektionen skall försöka åstadkomma rättelse genom påpekanden e.d., om inspektionen konstaterar att personuppgifter behandlas felaktigt. Det torde vara självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när eventuella brister i hantering upptäcks. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt skall utplånas. Bestämmelsen har sin grund i dataskyddsdirektivets artikel 28.3, där det anges att varje nationell tillsynsmyndighet skall ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärk- samma de rättsliga myndigheterna på dessa överträdelser. Vi kan inte se att det finns någon anledning att göra undantag för brottsbekämpande verksamhet. Straff (49 §) Personuppgiftslagens bestämmelser om straffansvar bör omfatta även verksamhet vid och vara tillämpliga när personuppgifter behandlas med stöd av den av oss föreslagna lagen. Författningsregleringen av behandling av uppgifter 11.1.4Tillåtna ändamål för behandling av uppgifter Vårt förslag: Tydliga och konkreta ändamål för behandling av personuppgifter och andra uppgifter skall anges i lag. Uppgifter skall primärt få behandlas bara för de angivna ändamålen, nämligen när det behövs för att –förhindra eller upptäcka brottslig verksamhet, –utreda eller beivra brott, –fullgöra internationellt tullsamarbete, –planera, följa upp och utvärdera verksamheten, och –förse andra brottsbekämpande myndigheter med information. Bestämmelser om för vilka ändamål uppgifter i statliga person- register får användas har alltid haft en central roll i register- författningar. Genom att ange ändamålen och reglera vilka uppgifter som får registreras, har ramen för hanteringen av personregister satts upp. I och med dataskyddsdirektivet har betydelsen av klara ändamålsbestämmelser ökat än mer. Ett av de viktigaste inslagen i direktivet och personuppgiftslagen är nämligen att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in (artikel 6.1a). Motsvarande bestämmelser finns i 9 § personuppgiftslagen. Sambearbetning mellan olika automatiserade register, s.k. samkörning, har länge ansetts vara en särskilt känslig form av personuppgiftsbehandling. Enligt datalagen krävdes särskilt tillstånd för sådan behandling, om inte registreringen eller utlämnandet av uppgifter kunde göras med stöd av författning. I dataskyddsdirektivet tas däremot inte någon direkt hänsyn till de särskilda integritetsproblem som är förknippade med behandling i form av sambearbetning mellan olika uppgiftsdatabaser. Under förutsättning att insamlandet, utlämnandet och den senare behandlingen av uppgifterna står i överensstämmelse med ändamå- len för registren eller databaserna, föreligger inga hinder för sådan sambearbetning. Det krävs således inte något särskilt författnings- stöd för att uppgifter i en databas skall kunna sambearbetas med varandra eller med uppgifter i en annan databas. Denna nya situation har öppnat möjligheter till nya rättsliga konstruktioner Författningsregleringen av behandling av uppgifter med databasbegreppet som grund (se avsnitt 10.5). ställer den särskilt höga krav på att ändamålsbestämmelserna i de författningar som reglerar behandling av personuppgifter i myndighetsverksamhet är utformade på ett sådant sätt att det klart framgår för vilka syften uppgifter får behandlas. Vi anser att i den brottsbekämpande verksamheten bör få behandla uppgifter för fyra olika primära ändamål, nämligen när det behövs för att förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott, för att fullgöra internationellt tullsamarbete samt för att planera, följa upp och utvärdera verksamheten. En mer ingående redovisning av behandlingen av uppgifter för de olika ändamålen i den brottsbekämpande verksamheten finns i avsnitt 11.4. Det bör dessutom som ett sekundärt ändamål anges att uppgifter får behandlas för att förse andra brottsbekämpande myndigheter med information. Förhindra eller upptäcka brottslig verksamhet En viktig del av arbete med brottsbekämpning är att upptäcka och förhindra brottslig verksamhet som innefattar brott som har befogenhet att ingripa mot. I begreppet brottslig verksamhet ligger att det inte är fråga om att klara upp ett konkret begånget brott, utan i stället att avslöja om viss brottslighet har förekommit, pågår eller kan förutses. Utgångspunkten för arbetet är i huvudsak att ta fram underlag för vilken inriktning den brottsbekämpande verksamheten skall ha eller för att initiera konkreta brottsutredningar. Vad vi avser med bestämmelsen är alltså främst det som normalt kallas underrättelseverksamhet, dvs. arbete med insamling, bearbetning och analys av information för att komma åt brottslig verksamhet när det inte finns konkreta misstankar om att ett brott redan har begåtts. Insamling av information kan ske på flera sätt; genom egna spaningsinsatser, samarbete med andra brottsbekäm- pande myndigheters underrättelseverksamhet eller tips från allmän- heten. Ändamålet omfattar emellertid mer än enbart underrättelse- arbete. Här ryms även den gränskontrollerande verksamheten på plats i t.ex. ett tullfilter, innan den situationen har uppstått att exempelvis ett konkret smugglingsbrott faktiskt har upptäckts eller kan misstänkas. Även det urvalsarbete som utförs av selekterings- grupper inför kontroller av containertrafik m.m. omfattas av Författningsregleringen av behandling av uppgifter ändamålet, under förutsättning att det inte finns misstankar om att ett konkret brott faktiskt har förövats. Utanför ändamålet faller med andra ord behandling av uppgifter när det finns anledning att anta att ett brott har förövats och en förundersökning därför skall inledas enligt 23 kap. rättegångs- balken eller när ett konkret brott har begåtts och åtal kan ske utan förundersökning genom ett förenklat förfarande enligt 23 kap. 22 § . Även verksamhet som innebär att ett brott skall beivras med stöd av 48 kap. utan att åtal väcks faller utanför ändamålet. Enligt vår uppfattning skall ändamålet inte heller omfatta sådant allmänt brottsförebyggande arbete som inte kan anses utgöra en del av den brottsbekämpande verksamheten inom , t.ex. allmän information i skolor eller delar av arbetet med den s.k. Servicetrappan i fiskal verksamhet. Utreda eller beivra brott Inom utreds och beivras i stor omfattning brott som har befogenhet att ingripa mot. Med detta avses i första hand arbete inom ramen för en förundersökning enligt 23 kap. eller lagen (2000:1225) om straff för smuggling, exempelvis spaning, förhör och informationsbearbetning. Ändamå- let omfattar emellertid även annat utredande eller beivrande av ett konkret brott. I ändamålet innefattas således behandling som sker med stöd av 23 kap. 3 och 8 §§ innan förunder- sökning har inletts (inledande förhör på brottsplatsen m.m.) samt andra åtgärder som vidtas i syfte att samla in underlag för beslut om förundersökning skall inledas eller inte, s.k. primärutredning (t.ex. kontroll av ett tips om att ett brott har förövats). Avgörande för om en viss behandling faller in under det angivna ändamålet anser vi vara att åtgärderna sker med anledning av att ett konkret brott har eller misstänks ha begåtts. Det saknar alltså betydelse om förundersökning har hunnit inledas eller inte eller om ett brott utreds i förenklad form. Om det däremot finns misstankar endast om pågående brottlig verksamhet som inte kan konkretise- ras eller misstankar om att ett konkret brott kommer att begås , får uppgifter i stället behandlas med stöd av ändamålet att upptäcka eller förhindra brottslig verksamhet. Författningsregleringen av behandling av uppgifter Inom bedrivs mycket arbete med internationell anknytning. I många fall är det svårt eller närmast omöjligt att förutse vilka uppgifter som kommer att åligga , inte minst inom ramen för EU-samarbetet. Att i lag definiera ett ändamål som garanterar att kan behandla de uppgifter i internationella sammanhang som krävs för att åtaganden skall kunna fullgöras låter sig därför inte göras på ett enkelt och kortfattat sätt. I lagen (2000:1219) om internationellt tullsamarbete finns emellertid samlat de uppgifter som åligger i sådana sammanhang. Det är enligt vår uppfattning inte lämpligt att med en ändamålsbestämmelse i en lag om behandling av personuppgifter riskera att begränsa möjligheter att fullgöra det arbete som i en annan lag har ålagt verket. Enligt vår uppfattning är det därför både enkelt och lämpligt att direkt hänvisa till lagen om internationellt tullsamarbete i fråga om behandling av personuppgifter i det internationella arbetet. Planera, följa upp och utvärdera verksamheten Inom ramen för detta ändamål får uppgifter behandlas om det behövs för den administrativa interna tillsynen, kontrollen och uppföljningen m.m. av den brottsbekämpande verksamheten inom . Det innebär att har möjlighet att behandla uppgifter för att utveckla organisationen och de former som den bedrivs i samt planera för åtgärder som behöver vidtas för att t.ex. effektivisera handläggning och annan verksamhet. Tillhandahållande av information för brottsbekämpande verksamhet hos andra myndigheter samarbetar ofta med andra brottsbekämpande myndig- heter, som t.ex. polisen och åklagarmyndigheter. Ett viktigt led i detta samarbete är informationsutbyte. Enligt vår uppfattning bör utbytet av uppgifter i betydligt större omfattning än kunna ske med användning av modern teknik. Vi föreslår därför att övriga brottsbekämpande myndigheter skall få direktåtkomst till informa- tion i register och ärendehanteringssystem (se avsnitt 11.6). Eftersom utlämnande av uppgifter genom direktåtkomst kan Författningsregleringen av behandling av uppgifter vara särskilt integritetskänsligt, bör bearbetning av information för utlämnande till andra brottsbekämpande myndig- heter utgöra ett uttryckligt sekundärt ändamål. Det innebär att de uppgifter som har registrerat med stöd av de primära ändamålen, får behandlas för informationsutbyte med dessa myndigheter. Vårt förslag: skall vara personuppgiftsansvarigt för den behandling som verket utför eller som det åligger verket att utföra, om inte annat framgår av lag eller förordning. skall vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer behandlas i enlighet med de grundläggande bestämmelserna i lagstiftningen. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. I registerförfattningar är det vanligt, och enligt vår mening lämpligt, att på ett tydligt sätt peka ut vem som är ansvarig för den behandling som regleras i de särskilda författningarna. Vi anser att personuppgiftsansvaret bör utformas så att ansvarar för den behandling av personuppgifter som utför eller som det åligger verket att utföra. På det sättet markeras att det finns ett ansvar inte endast för att utförd behandling är korrekt, utan även för att behandling faktiskt utförs när den skall ske. I vissa fall bör enligt vår mening inte vara person- uppgiftsansvarigt även om det är verket som utför en behandling. Det förekommer att på egen hand registrerar uppgifter i andra myndigheters register, t.ex. i polisens misstankeregister. För sådana register är personuppgiftsansvaret vanligtvis särskilt reglerat i andra författningar. Som exempel kan nämnas att Rikspolis- styrelsen är ansvarig för misstankeregistret. Enligt vår uppfattning är det inte lämpligt att i sådana fall lägga personuppgiftsansvaret på flera av varandra oberoende myndigheter, utan den myndighet som för registret bör ensam vara personuppgiftsansvarig. Författningsregleringen av behandling av uppgifter Ansvaret för uppgifter om juridiska personer Personuppgiftsansvaret täcker endast behandling av uppgifter om levande fysiska personer. Den lag som vi föreslår är emellertid i stora delar tillämplig även på behandling av uppgifter om juridiska personer. Det gäller de allmänna bestämmelserna om ändamål och gallring samt de särskilda bestämmelserna om behandling i data- baser. Av tydlighetsskäl anser vi att det därför bör framgå av lagstiftningen att ansvar även omfattar behandling av annat än personuppgifter. Det innebär bl.a. att har ansvaret för att uppgifter om juridiska personer inte behandlas i strid med de i lagen angivna ändamålen och att de gallras i rätt tid. Däremot har inte juridiska personer den rätt att få information och att få uppgifter rättade som enligt personuppgiftslagen tillkommer fysiska personer. Naturligtvis bör felaktiga uppgifter om juridiska personer ändå rättas, om felaktigheterna kommer till kännedom. En fråga som knyter an till personuppgiftsansvaret är arkivansvaret enligt arkivlagen (1990:782). Enligt huvudregeln i 4 § arkivlagen har en myndighet arkivansvar för de allmänna handlingar som finns hos myndigheten. Generellt är det enligt vår uppfattning lämpligt att arkivansvaret för elektroniska uppgifter och handlingar så långt det är möjligt sammanfaller med personuppgiftsansvaret. I fråga om register och databaser för vilka flera olika myndigheter är personuppgiftsansvariga kan det uppstå problem, eftersom arkiv- ansvaret bör ligga hos en och samma myndighet eller i vart fall hos de personuppgiftsansvariga myndigheter som för in uppgifter i registren eller databaserna. När det gäller torde sådana problem inte uppstå, eftersom verket är ensamt personuppgifts- ansvarigt för den behandling som utförs i dess register och databaser och därmed rimligen också arkivansvarig myndighet för de allmänna handlingar som behandlas elektroniskt i datasystemen. Författningsregleringen av behandling av uppgifter 11.2Behandling i databas och annan behandling av uppgifter Vårt förslag: Olika regler skall gälla för behandling av uppgifter och handlingar i den brottsbekämpande verksamheten, beroende på om –behandlingen är automatiserad och utförs i en särskild samling av uppgifter och handlingar som används gemensamt i verksamheten (tullbrottsdatabas), eller –behandlingen utförs på annat sätt av enskilda tjänstemän eller avgränsade grupper av tjänstemän och uppgifterna inte görs tillgängliga för gemensam användning i verksamheten. 11.2.1En databas för automatiserad behandling och gemensam användning används i stor omfattning datorer i arbetet vid , främst i den fiskala men även i den brottsbekämpande verksam- heten. Det gäller allt från enkel ordbehandling till utnyttjandet av mer avancerade ärendehanteringssystem, som i en del avseenden kan innebära en papperslös hantering.