sou · GUB318 · 2007-01-01 00:00:00 — När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som vi föreslår för , med särskilda bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen inte att sådan information ges. Vi har inte funnit några skäl för att trots detta skall lämna sådan information. Bestämmelsen i 24 § personuppgiftslagen bör således inte tillämpas på behandling enligt den lag vi föreslår. En av de från integritetssynpunkt viktigaste bestämmelserna i personuppgiftslagen återfinns i 26 §. Den innebär att enskilda efter ansökan har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Bestämmelsen i personuppgiftslagen bör vara tillämplig vid behandling av personuppgifter enligt den av oss föreslagna lagen. Författningsregleringen av behandling av uppgifter Även 27 § personuppgiftslagen anser vi skall vara tillämplig på behandling av personuppgifter i verksamhet. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. I vårt arbete har särskilt uppmärksammats de problem med att uppfylla kraven på information som kan uppstå vid behandling av uppgifter i de nya kommunikationscentralernas system. Särskilt uppstår det svårigheter att lämna information om behandling till den som ringer upp en kommunikationscentral i en akut situation där omedelbara insatser krävs. Enligt vår mening är det emellertid inte rimligt att kräva att skall vara skyldig att lämna information om behandlingen när en person larmar myndigheten i en akut situation. Det kan också ifrågasättas om personen i fråga över huvud taget är intresserad av att i den aktuella situationen få information om att lämnade personuppgifter kan komma att behandlas automatiserat. Några särskilda författnings- förslag för att inte skall behöva lämna informa- tion i den föreliggande situationen är emellertid enligt vår mening inte nödvändiga. Med hänsyn till att i stort sett samtliga myndig- heter använder sig av någon form av datoriserat stöd för handläggning av ärenden m.m., får det anses att alla som vänder sig till, i det här fallet, redan känner till att uppgifter registreras i någon form av automatiserat register. Den registrerade får därmed antas känna till vem den personuppgiftsansvarige är och ändamålen med behandlingen. Under förutsättning att de uppgifter som registreras endast används för det ändamål för vilket de lämnades behöver någon information normalt inte lämnas för att den enskilde skall kunna ta tillvara sina rättigheter.28 Våra förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall tillämpas vid behand- ling av personuppgifter i verksamhet. 28 Jfr SOU 2001:32 s. 125, SOU 2001:92 s. 184 och Datainspektionens rapport 2004:1 s. 11 f. Författningsregleringen av behandling av uppgifter I korthet innebär bestämmelsen i 28 § personuppgiftslagen om rättelse att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personupp- gifter som inte behandlats i enlighet med lagstiftningen. När en personuppgiftsansvarig vidtar rättelse i fråga om en personuppgift skall underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Det är enligt vår uppfattning av väsentlig betydelse att person- uppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten skall undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bak- grund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller special- bestämmelser som gäller för . Vi föreslår därför att bestämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av personuppgifter i verksamhet. En personuppgift skall rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig behandling är därför inte möjligt, men något förenklat anser vi att en indelning av olika fel kan göras i två grupper. Felaktig behandling kan för det första bestå i att personuppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). Felaktig behandling kan även bestå i att personuppgifter, oavsett om de är korrekta eller inte, används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifter används (oriktig användning). Oriktig användning kan exempelvis innebära att en uppgift används på ett sätt som är oförenligt med de ändamål för vilket den samlades in, att en otillåten uppgift förs in i en databas eller att en uppgift inte gallras inom föreskriven tid. Även underlåtenhet att behandla en personuppgift torde i vissa fall kunna innebära oriktig användning. Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter i verksamhet. I fråga om oriktiga uppgifter är det vanligtvis inte svårt att avgöra om det föreligger en felaktig behandling. Författningsregleringen av behandling av uppgifter på oriktiga uppgifter är att fel personnummer eller fel adress har angetts för en person. Sådana fel är det ofta enkelt att konstatera på ett objektivt sätt och det torde sällan råda någon oenighet i fråga om uppgiften är fel eller inte. Det är emellertid inte i alla situationer självklart om en uppgift är oriktig. Som exempel kan tas följande situation. Under ett förhör som dokumenteras genom digital ljudupptagning i en förundersökning uppger den misstänkte att han befann sig på en viss plats. under förhöret ändrar han sin utsaga och klargör att han sagt fel och egentligen var på en annan plats. Är den ursprungliga uppgiften då att anse som oriktig? Den kan självfallet vara oriktig så till vida att den inte korrekt återger ett verkligt sakförhållande, men riktig på så sätt att den korrekt återger vad den misstänkte faktiskt uppgav. Motsvarande situation kan uppstå i flera olika sammanhang när uppgifter behandlas elektroniskt. Enligt vår uppfattning måste bedömningen av om en uppgift i ett fall som det ovanstående skall anses vara oriktig eller inte, dvs. om uppgiften skall rättas, göras mot bakgrund av vilka krav verksam- heten ställer på uppgiftsbehandlingen. I exemplet är det uteslutet att den ursprungliga uppgiften skall rättas i den digitalt lagrade ljudupptagningen. Förutom att det skulle innebära att en allmän handling manipuleras, kan uppgiften behövas i den fortsatta för- undersökningen. Under förutsättning att den ursprungliga uppgif- ten lagras och annars behandlas i överensstämmelse med de be- stämmelser som gäller för behandling av person- uppgifter, kan enligt vår uppfattning inga krav ställas på rättelse. Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att man bör ha som utgångspunkt att en uppgift – trots att den inte återger en korrekt bild av ett sakförhållande – inte är oriktig i den bemärkelsen att den skall rättas, om den korrekt återger ett händelseförlopp i verksamheten och dessutom behövs i densamma. Det får emellertid bli en fråga för framtida praxis att ge närmare lösningar på problemen med att avgöra under vilka förutsättningar rättelse skall göras. Det bör påpekas att endast fysiska personer kan åberopa bestäm- melsen om rättelse i personuppgiftslagen. Om en juridisk person anser att en uppgift är fel och påtalar detta för , bör myndigheten naturligtvis ändå kontrollera påståendet och, om det finns anledning till det, även rätta uppgiften. Rättelse kan göras genom att en uppgift rättas, blockeras eller utplånas. Att en personuppgift rättas innebär att den ersätts eller Författningsregleringen av behandling av uppgifter kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter skall vara förknippade med information om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. I personuppgiftslagen finns inga bestämmelser om när en viss form av rättelse skall vidtas, utan det bör vara upp till den personuppgiftsansvarige att avgöra om en uppgift skall rättas, blockeras eller utplånas. Det torde vanligtvis inte vara några problem att avgöra hur rättelse skall göras. Om en uppgift har blivit felaktig i samband med registreringen, t.ex. angivande av felaktig adress till en misstänkt, bör felet givetvis åtgärdas genom att uppgiften rättas, dvs. i nämnda exempel att korrekt adress anges. Om en uppgift som enligt lagstiftningen över huvud taget inte får behandlas i en databas ändå har registrerats, är den rimliga åtgärden att uppgiften gallras, t.ex. genom att den utplånas. När en uppgift befinns vara oriktig, men ändå är av betydelse i verksamheten, kan ett alternativ vara att uppgiften kompletteras med nya och korrekta uppgifter som den ursprungliga uppgiften blockeras. Någon närmare vägledning om hur rättelse skall göras är enligt vår mening inte möjlig att ge. En bedömning av vilken åtgärd som är mest ändamålsenlig får göras i de enskilda fallen. Enligt 48 § personuppgiftslagen skall den personuppgifts- ansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Skadestånd kan komma i fråga vid varje brott mot lagen och utgår trots att ingen har skadats fysiskt eller ekonomiskt och trots att den personuppgiftsansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen. Bakgrunden till denna stränga reglering är att bestämmelsen om skadestånd, precis som enskildas rättigheter i övrigt enligt lagen, rätt till information och rättelse m.m., har till syfte att skydda människor mot kränkning av den personliga integriteten genom behandling av personuppgifter.29 Rätten till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda be- stämmelserna i vårt lagförslag. Vi föreslår därför att bestämmel- serna om skadestånd i 48 § personuppgiftslagen skall tillämpas på 29 Jfr prop. 1997/98:44 s. 106 och SOU 1997:39 s. 432. Författningsregleringen av behandling av uppgifter motsvarande sätt när personuppgifter behandlas i strid med lagen om behandling av uppgifter i verksamhet. I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skade- stånd endast fysiska personer. En juridisk person får i stället i den ordning som gäller för statlig verksamhet i allmänhet vända sig till Justitiekanslern – eller till allmän domstol – om personen anser att behandling av uppgifter inom har vållat skada. Våra förslag: beslut om rättelse och informa- tion som skall lämnas efter begäran av en registrerad skall kunna överklagas. Överklagande skall ske till allmän förvaltningsdomstol, dvs. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Beslut av en myndighet som direkt berör en enskild och som inte är av rent intern administrativ karaktär, bör enligt vår uppfattning i allmänhet kunna överklagas. I fråga om behandling av personupp- gifter i verksamhet gäller det framför allt beslut att avslå en ansökan om information om pågående behandlingar samt beslut att avslå en begäran om rättelse. Överklagande bör enligt vår uppfattning vara möjligt i båda fallen. Den normala ordningen när en myndighet fattar ett beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol och att det krävs prövningstillstånd för vidare överklagande till kammar- rätten. Detta är också vad som generellt gäller för nyare författ- ningar om behandling av personuppgifter i offentlig verksamhet. De flesta beslut i verksamhet som gäller behandling av personuppgifter enligt denna lag är interna eller administrativa och berör inte direkt enskildas intressen. Admini- strativa beslut fattas t.ex. om beslutar att inrätta särskilda register. Enskilda berörs dock direkt av beslut om rättelse och information efter begäran. Sådana beslut bör därför vara överklagbara. Talan mot beslut om rättelse och information förs i den normalt gällande ordningen i fråga om Författningsregleringen av behandling av uppgifter förvaltningsbeslut, nämligen till allmän förvaltningsdomstol. Vid överklagande till kammarrätt krävs prövningstillstånd. 10.4Behandling av uppgifter i den brottsbekämpande verksamheten 10.4.1Förhindra eller upptäcka brottslig verksamhet Våra förslag: Om det behövs för att förhindra eller upptäcka brottslig verksamhet får uppgifter om en person behandlas endast om det finns grundad anledning anta att personen har utövat eller kan komma att utöva allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt. Med allvarlig brottslig verksamhet avses verksamhet som kan antas innefatta brott för vilket är föreskrivet fängelse eller däröver. I ett ärende som rör viss preciserad allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt får även uppgifter om personer som kan antas ha samband med verksamheten behandlas. Endast de personer som arbetar med ärendet får ges direkt tillgång till uppgifterna. Om uppgifterna inte direkt kan hänföras till en person får därutöver även behandlas uppgifter som avser transportmedel, varor eller hjälpmedel som kan antas ha samband med allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt. För att skall kunna bedriva en effektiv underrättelseverksamhet och annat arbete med att förhindra eller upptäcka brottslig verksamhet är det enligt vår mening absolut nödvändigt att möjlighet ges att behandla uppgifter i särskilda gemensamma register och databaser. Enskilda tjänstemän eller grupper av tjänstemän bör dessutom inom ramen för särskilda underrättelseprojekt m.m. få behandla uppgifter automatiserat på annat sätt, t.ex. genom ordbehandling eller i tillfälliga register. När uppgifter behandlas tillsammans i större register, eller informationsdatabaser, som är tillgängliga och sökbara för en stor grupp personer inom en eller flera myndigheter, uppstår alltid en risk för otillbörliga intrång i enskildas personliga integritet. Det är därför särskilt viktigt att behandling av uppgifter som på så sätt Författningsregleringen av behandling av uppgifter görs gemensamt tillgängliga i verksamheten omgärdas av tydliga regler i lag. Det föreligger emellertid inom underrättelseverksamhet med avseende på brottslig verksamhet risk för otillbörliga integritets- intrång även vid sådan behandling av uppgifter som sker av enskilda tjänstemän eller mindre avgränsade grupper. Även sådan behand- ling avser i den brottsbekämpande verksamheten ofta uppgifter som rör känsliga förhållanden. Som vi anfört tidigare är det därför vår uppfattning att båda dessa olika former av behandling, i enlighet med lagen (2005:787) om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet, till skillnad mot vad som gäller för behandling inom verksamhet, skall vara omgärdade av samma skydd mot otillbörliga intrång i den personliga integriteten. Den av oss föreslagna lagen är således generellt tillämplig på all behandling av uppgifter oavsett om behandlingen avser uppgifter som är gemensamt tillgängliga eller avser uppgifter som endast enstaka tjänstemän har tillgång till.30 Detta gäller även för behandling av uppgifter för att förhindra eller upptäcka brottslig verksamhet eller utreda och beivra visst brott. Endast i två avseenden har vi funnit det nödvändigt med särskilda bestämmelser beträffande uppgifter som görs gemensamt tillgängliga i verksamheten. Vi föreslår för det första en särskild begränsade regel som innebär att endast handlingar som kommit in till eller upprättats hos i ett ärende samt vissa angivna kategorier av uppgifter får göras gemensamt tillgängliga i den brottsbekämpande verksamheten. För det andra föreslår vi särskilda bestämmelser om gallring av uppgifter som gjorts gemensamt tillgängliga i brottsbekämpande verksamhet. Av utredningens direktiv framgår att vi särskilt skall beakta intresset av att regleringen av behandlingen av personuppgifter inom brottsbekämpande verksamhet blir enhetlig. Vårt förslag till bestämmelse om vilka uppgifter som får behandlas i Kustbevak- ningens underrättelseverksamhet, alltså för att förhindra eller upptäcka allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt, har därför utformats med utgångspunkt i motsvarande bestämmelse i lagen om behandling av uppgifter i brottsbekämpande verksamhet (12 §), och har samma materiella innebörd som denna paragraf. 30 Jfr prop. 2004/05:164 s. 71. Författningsregleringen av behandling av uppgifter Vid utformningen av denna bestämmelse har vi emellertid även strävat efter att i möjligaste mån underlätta för framtida tillämpare, varför formuleringen av paragrafen skiljer sig något från vad som gäller för brottsbekämpande verksamhet. Härvid utmärker sig vårt förslag på en särskild punkt. När det i nämnda lag talas om skäligen misstänkt för att utöva eller komma att utöva brottslig verksamhet, som krav för att uppgifter om en viss person skall få behandlas, har vi valt att använda uttrycket grundad anled- ning anta, för att markera motsvarande rekvisit. Vår avsikt är att härigenom undanröja den risk för sammanblandning som annars kan föreligga i fråga om när förundersökning skall inledas enligt bestämmelserna i 23 kap. . Enligt bestämmelser skall förundersökning inledas så snart det finns anledning anta att ett brott har förövats och det skall härvid utredas vem som skäligen kan misstänkas för brottet. Bestämmelserna om förundersökning förutsätter att det finns misstanke om att ett konkret brott har begåtts. Den under- rättelseverksamhet som regleras i den av oss föreslagna paragrafen tar däremot sikte på det tidigare stadium, före eventuell förunder- sökning, när det endast finns en grundad anledning anta att någon utövar eller kan komma att utöva brottslig verksamhet.31 För att understryka denna skillnad och för att undanröja risken för sammanblandning med regler om förunder- sökning anser vi därför att behandling av uppgifter i Kustbevak- ningens verksamhet, med att förhindra eller upptäcka brottslig verksamhet, skall få ske när det finns grundad anledning anta att den registrerade har utövat eller kan komma att utöva ifrågavarande brottsliga verksamhet. När fråga är om ett konkret brott och någon är skäligen misstänkt för detta brott får uppgifter i brotts- bekämpande verksamhet behandlas för det särskilda ändamålet att utreda eller beivra visst brott. Personer om vilka uppgifter får behandlas I våra författningsförslag anges i en särskild bestämmelse de personer om vilka uppgifter får behandlas i verksamhet för ändamålet att förhindra eller upptäcka brottslig verksamhet. Vi anser att uppgifter om en person skall få behandlas 31 Jfr Fitger, , s. 23:6. Författningsregleringen av behandling av uppgifter för att förhindra eller upptäcka brottslig verksamhet om det finns grundad anledning anta att denne har utövat eller kan komma att utöva allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt. Med allvarlig brottslig verksamhet avses verk- samhet som kan antas innefatta brott för vilket är föreskrivet fängelse eller däröver. Kravet på allvarlig brottslighet har behandlats i tidigare lagstiftningsarbeten, bl.a. polisdatalagen (1998:622). Härvid anför- des att en avgränsning som sker genom angivande av ett visst minimistraff vore att föredra, men att en sådan lösning enligt reger- ingens uppfattning skulle begränsa möjligheterna till registrering i alltför stor utsträckning. Regeringen stannade i stället vid att utforma bestämmelsen på så sätt att begreppet allvarlig brottslig verksamhet är verksamhet som innefattar brott för vilket är föreskrivet fängelse eller däröver. Det är således tillräckligt att fängelse ingår i straffskalan för brottet.32 I 12 § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet anges som allvarlig brottslig verk- samhet brott för vilket är föreskrivet fängelse . anges att någon ändring av innebörden av begreppet brottslig verksamhet i förhållande till tidigare lagstiftning inte är avsedd. Enligt tidigare lagstiftning avsågs med allvarlig brottslig verksamhet sådan verksamhet som innefattade brott för vilket var föreskrivet fängelse eller däröver.33 Enligt vår uppfattning avses med uttrycket fängelse eller däröver, som ovan anförts i förarbetena till polisdatalagen, att fängelse skall ingå i straffskalan. Uttrycket fängelse avser snarare att minimistraffet för det avsedda brottet skall vara fängelse , jfr 24 kap. 1 § . En sådan tolkning får bl.a. som konsekvens att inte får behandla uppgifter om personer som är misstänkta för grov smuggling, eftersom det för brottet är föreskrivet även lindrigare straff än fängelse . Detta kan rimligen inte ha varit avsikten. För att undvika motsvarande tolkningsproblem föreslår vi att i lagen om behandling av uppgifter i verksamhet skall med brottslig verksamhet avses sådan verksamhet som kan antas innefatta brott för vilket är föreskrivet fängelse eller 1997/98:97 s. 120. 33Se 2 § lagen (2001:85) om behandling av uppgifter i brottsbekämpande verksamhet. Författningsregleringen av behandling av uppgifter Det framgår härmed tydligt och direkt av lagtexten att det är tillräckligt att fängelse ingår i straffskalan för brottet. Med brottslig verksamhet som sker systematiskt avses uppgifter om personer som misstänks vara delaktiga i en organiserad brottslig verksamhet, utan att brottsligheten i det enskilda fallet kan kategoriseras som allvarlig. Det kan t.ex. röra sig om en person som för in en mindre mängd cigaretter, vilka hade fått införas om de var avsedda för privat bruk. Personen i fråga gör dock så frekventa resor att den totala mängden infört gods ger anledning att anta att det inte är för privat bruk utan för återförsäljning, s.k. myrtrafik, som införseln sker. Det kan också finnas anledning att under samma förutsättning registrera uppgifter om personer som är misstänkta för mindre allvarlig brottslighet, t.ex. kurirer som olovligen för in små mängder narkotika, om brottsligheten ingår som ett led i en organiserad verksamhet av större omfattning. Vidare bör, enligt vår mening, uppgifter om transportmedel, varor eller hjälpmedel vilka kan antas ha samband med den ovan nämnda brottsligheten få behandlas under förutsättning att de inte direkt kan hänföras till en person. Uppgifterna kan exempelvis avse registreringsnummer för ett fordon, varu- eller fastighetsbeteck- ningar eller information om en adress, vilka endast indirekt kan kopplas till en person, t.ex. genom kontroll i fordonsregistret. Uppgifter om namn, personnummer och samordningsnummer omfattas således inte. Särskilt om behandling av uppgifter om icke misstänkta