prop · GS03164 · 2005-05-31 00:00:00 — Vid gränskontrollmyndigheternas maritima underrättelsecentrum (MUC) är personal från , och samlokaliserade. har dessutom internationella sambandsmän på olika platser i . Vidare har tillgång till information från organisationer, företag och liknande, t.ex. svenska och utländska bolagsregister, sjöfartsregister och transportföretag. Inom EU har det upprättats olika system för att utväxla information mellan medlemsländerna angående t.ex. misstänkta transporter. Det har i olika sammanhang framförts att det finns ett behov av ett mer utvecklat samarbete och informationsutbyte mellan och andra brottsbekämpande myndigheter. Denna fråga behandlas närmare i avsnitt 10. 7.1Behovet av ny lagstiftning Regeringens förslag: En ny lagstiftning införs som helt ersätter den gällande lagstiftningen om behandling av personuppgifter i brottsbekämpande verksamhet. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslagen eller har inga invändningar mot förslagen. anser att man bör avvakta utformandet av nya speciallagar med hänsyn till att personuppgiftslagen är föremål för översyn. Skälen för regeringens förslag: Dagens lagstiftning om behandling av personuppgifter i brottsbekämpande verksamhet uppfyller inte på ett tillfredsställande sätt de krav som verksamhet ställer på automatiserad behandling av uppgifter. har bl.a. behov av att kunna behandla spaningsuppgifter i skilda register på ett mer funktionellt sätt samt behandla upprättade och inkomna elektroniska handlingar i datoriserade ärendehanteringssystem. Dagens lagstiftning är inte anpassad efter en sådan automatiserad behandling av uppgifter. Vidare kan det konstateras att det finns ett antal andra problem med dagens lagstiftning, som t.ex. att det i lag definierade begreppet underrättelseverksamhet vållar gränsdragningsproblem och att information om mindre allvarlig brottslighet som utförs systematiskt inte kan behandlas automatiserat i särskilda undersökningar. Det utgör också ett effektivitetsproblem inom den brottsbekämpande verksamheten att direktåtkomst inte medges till TDS och andra fiskala register som förs inom (se avsnitt 14). Det finns dessutom ett stort behov av utökat informationsutbyte på elektronisk väg med andra brottsbekämpande myndigheter (se avsnitt 6 och 10). Sammantaget krävs det så omfattande förändringar av den aktuella lagstiftningen att det framstår som mest ändamålsenligt att ersätta den gällande lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet med en helt ny lagstiftning. Regeringens förslag: Den föreslagna lagen skall gälla i stället för personuppgiftslagen. Bestämmelserna i personuppgiftslagen skall vara tillämpliga endast när det särskilt anges genom hänvisningar. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser, bl.a. JK och JO, tillstyrker förslaget eller har inga invändningar mot förslaget. avstyrker emellertid den föreslagna lagstiftningsmetoden. förordar en lösning där de tillämpliga bestämmelserna i personuppgiftslagen upprepas i den föreslagna lagen. Skälen för regeringens förslag: Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Det är emellertid möjligt att meddela avvikande bestämmelser i lag eller förordning som gäller i stället för personuppgiftslagens bestämmelser. En förutsättning är dock att de avvikande bestämmelserna inte strider mot dataskyddsdirektivets bestämmelser. Avvikelser från personuppgiftslagen som innebär en försämring av integritetsskyddet bör emellertid införas endast om det finns beaktansvärda skäl. Ett flertal faktorer i brottsbekämpande verksamhet utesluter att endast personuppgiftslagen kan reglera informationshanteringen. Med hänsyn främst till omfattningen och arten av verksamheten, dess inriktning med ingripande myndighetsutövning samt de känsliga personuppgifter som behöver användas inom brottsbekämpningen finns det av såväl effektivitets- som integritetsskyddsskäl behov av en särskild författningsreglering i brottsbekämpande verksamhet som både avviker från personuppgiftslagen och erbjuder ett kompletterande integritetsskydd. Avseende de bestämmelser som inte skall avvika från personuppgiftslagen har det förekommit olika lösningar i tidigare lagstiftningsärenden. En modell är att i den särskilda författningen inte alls nämna personuppgiftslagen eller ange att den särskilda författningen gäller utöver personuppgiftslagen, vilket innebär att när reglering saknas i den särskilda författningen kommer personuppgiftslagens bestämmelser att vara tillämpliga. Nackdelen med denna lösning är att lagtillämparen kan ha svårt att få en överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga. Modellen används bl.a. i polisdatalagen (1998:622) och den nuvarande lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet. Med hänsyn till den kritik som framförts inom polisväsendet avseende polisdatalagen har i sitt betänkande Behandling av personuppgifter i polisens verksamhet (SOU 2001:92) föreslagit en annan modell vilken innebär att de bestämmelser i personuppgiftslagen som skall vara tillämpliga skrivs ut i den särskilda författningen. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att behöva gå till personuppgiftslagen. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att en onödig form av dubbelreglering införs, eftersom personuppgiftslagens bestämmelser ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande justeringar måste göras i den särskilda författningen. Den särskilda lagen kan även komma att bli onödigt omfattande till formatet. Den metod som tillämpas i bl.a. den lagstiftning om behandling av personuppgifter som gäller inom fiskala verksamhet och inom innebär att de bestämmelser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som skall vara tillämpliga. Fördelarna med denna metod är att lagstiftningen blir mer överskådlig, tydlig och lättillämpad än om inga hänvisningar görs till personuppgiftslagen. Det finns ett stort värde i att inte lämna tillämparen utan vägledning när det gäller tolkningen av vilka bestämmelser i . 2004/05:164 personuppgiftslagen som är tillämpliga. Metoden har emellertid fått kritik av Lagrådet, som bl.a. ansåg att lagstiftningstekniken var riskfylld, med hänsyn såväl till svårigheten att överblicka om dataskyddsdirektivet till fullo blir genomfört i registerlagarna som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller ofullständiga (prop. 2000/01:33 s. 345 f.). instämmer i denna kritik och avstyrker den föreslagna lagstiftningsmodellen. Tingsrätten anser att det i stället bör anges att personuppgiftslagen gäller vid behandling av personuppgifter i verksamheten, om inte annat följer av den föreslagna lagen eller föreskrifter som meddelats med stöd av denna eller annars med stöd av 2 § personuppgiftslagen. Genom den sistnämnda hänvisningen till 2 § personuppgiftslagen klargörs enligt tingsrätten dessutom att från personuppgiftslagen avvikande bestämmelser i lag eller förordning är tillämpliga även vid behandling enligt den nya lagen. Den föreslagna tekniken används i regleringen av fiskala verksamhet medan den nuvarande lagen om behandling av personuppgifter i brottsbekämpande verksamhet gäller utöver personuppgiftslagen. har påtalat tillämpningssvårigheterna beträffande den sistnämnda lagen samt att diskrepansen mellan de båda lagarna medför osäkerhet vid tillämpningen och risk för att skyddet för den personliga integriteten inte upprätthålls på ett tillfredsställande sätt. Regeringen menar att det finns ett inte obetydligt värde i att använda samma typ av lagstiftningsteknik för behandling av personuppgifter i myndighetens hela verksamhet, utom den rent administrativa verksamhet som i princip regleras av enbart personuppgiftslagen. Risken att inte kunna överblicka att dataskyddsdirektivet till fullo blir genomfört gör sig dessutom i princip inte gällande på det nu aktuella ärendet eftersom brottsbekämpande verksamhet delvis ligger utanför direktivets tillämpningsområde (jfr 5.1.5). Det föreslås därför att den nya lagen om behandling av uppgifter i brottsbekämpande verksamhet skall gälla i stället för personuppgiftslagen. 7.3Tillämpliga bestämmelser i personuppgiftslagen Regeringens förslag: Personuppgiftslagens bestämmelser om förhållandet till offentlighetsprincipen m.m., grundläggande krav på behandling, information till den registrerade, säkerheten vid behandling, upplysningar till allmänheten om vissa behandlingar, skall vara tillämpliga vid behandling av personuppgifter i brottsbekämpande verksamhet. När personuppgifter behandlas på annat sätt än i tullbrottsdatabasen gäller även bestämmelserna i personuppgiftslagen om behandling av personnummer och samordningsnummer. Utredningens förslag överensstämmer i stort med regeringens. Remissinstanserna har inga invändningar mot förslaget. Skälen för regeringens förslag Nedan redovisas i vilken utsträckning vissa bestämmelser i personuppgiftslagen föreslås vara tillämpliga vid behandling av personuppgifter i brottsbekämpande verksamhet vid . bestämmelser i personuppgiftslagen är antingen inte tillämpliga på det aktuella rättsområdet eller har ersatts med bestämmelser i den föreslagna Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala när behandling av personuppgifter skall regleras. I likhet med utredningen anser regeringen att det självfallet är viktigt att terminologin i den föreslagna lagstiftningen överensstämmer med personuppgiftslagens och att de begrepp som används i de båda författningarna har samma Det bör dock anmärkas att personuppgiftsansvaret regleras särskilt i den föreslagna särlagstiftningen för . Förhållandet till offentlighetsprincipen m.m. (8 §) Utöver den generella principen om grundlags allmänna företräde framför vanlig lag tydliggörs det genom hänvisningen till 8 § första stycket personuppgiftslagen att behandling som är nödvändig för att uppfylla grundlagens krav är tillåten och innebär en markering om personuppgiftslagen innehåller en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen där det ställs upp begränsningar i rätten att använda sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om den registrerade inte skall tillämpas i fråga om myndigheters användning av bestämmelser hindrar inte heller att allmänna handlingar bevaras eller att arkivmaterial tas om hand för arkivering. Dessa undantag skall gälla även inom brottsbekämpande verksamhet vid . lagen finns det dock särskilda bestämmelser om gallring som hindrar att allmänna handlingar bevaras och att arkivmaterial tas om hand för Grundläggande krav på behandlingen av personuppgifter (9 §) En av de väsentligaste bestämmelserna i fråga om behandling av i 9 § personuppgiftslagen och grundläggande krav som ställs på en personuppgiftsansvarig. Dessa krav Prop. 2004/05:164 bör naturligtvis tillämpas även inom särskilt reglerad myndighetsverksamhet. Hänvisning bör här göras till första stycket a, b I 9 § första stycket c) och d) anges att personuppgifter får samlas in bara för särskilda, uttryckliga angivna ändamål samt att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt paragrafens andra stycke gäller dock att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål generellt inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I den föreslagna lagen finns angivet för vilka primära och sekundära ändamål uppgifter får behandlas, samt att dessa ändamålsbestämmelser är uttömmande. Uppgifter får dock lämnas ut till och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till annan. Vidare gäller grundlags allmänna företräde framför vanlig lag i fråga om myndighetens skyldighet att lämna ut allmänna handlingar enligt 2 kap. tryckfrihetsförordningen. Lagstiftaren har härmed gjort en bedömning av vilka ändamål som skall anses vara förenliga med de för vilka uppgifterna samlades in. Någon hänvisning till personuppgiftslagens bestämmelser skall därför inte göras i dessa fall. I 9 § första stycket i) och tredje stycket finns bestämmelser om hur länge uppgifter får bevaras. Enligt regeringens mening bör emellertid särskilda bestämmelser om gallring tas in i den nya författningen. Någon hänvisning till personuppgiftslagen bestämmelser om hur länge uppgifter får bevaras skall därför inte heller göras. Behandling av personnummer och samordningsnummer (22 §) Enligt 22 § personuppgiftslagen får uppgifter om personnummer eller samordningsnummer behandlas endast efter samtycke från den registrerade eller om det är klart motiverat med hänsyn till behandlingens ändamål, vikten av en säker identifiering eller något annat beaktansvärt skäl. Samordningsnummer tilldelas personer som inte är eller har varit folkbokförda i , bl.a. för beskattningsändamål. För behandling i brottsbekämpande verksamhet måste person- eller samordningsnummer av rättssäkerhetsskäl ofta användas för att eliminera risken för fel vid registrering av personuppgifter och i handläggningen av ärenden. Vid behandling av personuppgifter i en gemensam databas är det i de flesta fall nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. För sådan behandling bör det därför uttryckligen anges i den föreslagna lagstiftningen att uppgifter om en persons identitet får användas, bl.a. personnummer. Hänvisningen till personuppgiftslagens bestämmelse får därför praktisk tillämpning endast i fråga om behandling som inte utförs i den särskilt reglerade tullbrottsdatabasen, dvs. vid vanlig ordbehandling, hantering av e-post och användandet av begränsade projektregister m.m. Även i de fallen torde det dock ofta vara motiverat att använda personnummer för att säkerställa de berörda parternas identitet. inte användas slentrianmässigt när risk inte föreligger för förväxling Prop. 2004/05:164 mellan personer eller när andra beaktansvärda skäl saknas. Information till den registrerade (23 och 2527 §§) Personuppgiftslagens bestämmelser om information som skall lämnas självmant till den registrerade när uppgifter har samlats in från personen själv och om information som skall lämnas efter ansökan av den registrerade (23 och 2527 §§), skall tillämpas vid behandling av personuppgifter i brottsbekämpande verksamhet. Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är enligt 25 § samma lag uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall också enligt 26 § personuppgiftslagen lämnas på begäran av den registrerade. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnes- anteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. För information efter begäran av en registrerad gäller vissa särskilda bestämmelser. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. 24 § första stycket personuppgiftslagen föreskriver att den personuppgiftsansvarige självmant skall lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer emellertid att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller någon annan författning. Eftersom den här föreslagna lagen innehåller sådana bestämmelser behöver någon hänvisning till 24 § personuppgiftslagen inte göras. Rättelse (28 §) Bestämmelsen i 28 § personuppgiftslagen om rättelse anger att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagen. När en personuppgiftsansvarig vidtar rättelse i fråga om en personuppgift skall underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. 2004/05:164 underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Det är av väsentlig betydelse att personuppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten skall undvikas. Bedömningen av om en uppgift har behandlats på ett felaktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller specialbestämmelser som gäller för . Det föreslås därför att bestämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av personuppgifter i brottsbekämpande verksamhet. Hänvisningen innebär att rättelse enligt bestämmelsen skall ske om personuppgifterna inte har behandlats i enlighet med de bestämmelser i personuppgiftslagen som skall tillämpas eller i enlighet med de bestämmelser som finns i den föreslagna lagen. Säkerheten vid behandling (3032 §§) I 3032 §§ personuppgiftslagen finns regler om hur den personuppgiftsansvarige skall organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser skall vara tillämpliga i brottsbekämpande verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Detta är inte minst viktigt i fråga om behandling av uppgifter i tullbrottsdatabasen, där det exempelvis kan behövas såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för personalkategorier, för att garantera att regleringen i den föreslagna lagen kan efterlevas. Det är också viktigt att särskilda rutiner införs för behandling av personuppgifter i exempelvis underrättelseprojekt som inte omfattas av de i många fall mer restriktiva bestämmelserna för tullbrottsdatabasen. Överföring av personuppgifter till tredje land (3335 §§) Personuppgifter som är under behandling får enligt 33 § personuppgiftslagen inte föras över till tredje land om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen kan dock enligt 35 § föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. För att kunna uppfylla de åtaganden som gjort genom olika internationella överenskommelser måste utbyte av uppgifter var möjligt även med länder utanför EU. Utbyte av uppgifter inom ramen för det internationella samarbetet på tullområdet sker med stöd av lagen (2000:1219) om internationellt tullsamarbete. förordningen (2000:1222) finns en bestämmelse om undantag från 33 § Prop. 2004/05:164 personuppgiftslagen som medger att uppgifter överförs till tredje land. I den föreslagna lagens ändamålsbestämmelser ingår att uppgifter får behandlas för att fullgöra det arbete som åligger enligt lagen om internationellt tullsamarbete. Med hänsyn till att bestämmelserna om överförande av uppgifter till tredje land regleras i den lagstiftningen, finns det enligt regeringens mening inte skäl att också i den föreslagna lagen ta in sådana bestämmelser genom hänvisning till personuppgiftslagen. I enligt därmed saknas behov av en hänvisning till 12 § första stycket avseende återkallande av samtycke. Personuppgiftsombudets uppgifter m.m. (36 § andra stycket och 3841 §§) Automatiserade behandlingar av personuppgifter skall enligt 36 § personuppgiftslagen anmälas till tillsynsmyndigheten (Datainspek- Anmälan behöver dock enligt 3 § personuppgiftsförordningen (1998:1191) inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Någon skyldighet att anmäla de behandlingar som utförs med stöd av den föreslagna lagen finns således Den personuppgiftsansvarige har enligt 36 § personuppgiftslagen även möjlighet att utse ett personuppgiftsombud. Det bör enligt regeringens mening åligga den personuppgiftsansvarige att ta ställning till frågan om ett personuppgiftsombud skall inrättas hos myndigheten eller inte. sådant ombud utses, skall bestämmelserna om ombudets skyldigheter i 3840 §§ personuppgiftslagen tillämpas. föreskriva att vissa särskilt känsliga behandlingar skall anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen ha även i fråga om sådana behandlingar som utförs i Vissa upplysningar till allmänheten (42 §) Enligt 42 § personuppgiftslagen skall den personuppgiftsansvarige till den som begär det lämna upplysningar om de behandlingar av personuppgifter som inte har anmälts till Datainspektionen. behandling som utförs med stöd av den föreslagna regleringen omfattas inte av någon anmälningsskyldighet till Datainspektionen. väsentligt att den enskilde på ett snabbt och enkelt sätt kan få besked av om vilka behandlingar som utförs av verket i den bestämmelsen i personuppgiftslagen skall vara tillämplig. befogenheter (43 §, 45 § första stycket första meningen och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt Enligt 43 § personuppgiftslagen har Datainspektionen Prop. 2004/05:164 möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. I likhet med utredningen anser regeringen att denna bestämmelse i personuppgiftslagen bör vara tillämplig även när den personuppgiftsansvarige är en myndighet. Däremot bör det inte vara möjligt för Datainspektionen att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla personuppgifter, eftersom vite som sanktionsmedel enligt allmänna rättsgrundsatser inte bör användas mellan statliga myndigheter. Hänvisning behöver därför inte göras till bestämmelserna om vite i 44 och 46 §§ personuppgiftslagen. Däremot bör en hänvisning göras till 45 § första stycket första meningen, i vilken det anges att Datainspektionen om den konstaterar att personuppgifter behandlas felaktigt skall försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt skall utplånas.