sou · GUB318 · 2007-01-01 00:00:00 — att det inte är föreskrivet sekretess för dem, eller att det finns en skyldighet i författning att lämna ut de aktuella uppgifterna till den som får ha direktåtkomst eller att uppgifterna enligt prövning på förhand får lämnas ut rutinmässigt med stöd av generalklausulen i 14 kap. 3 § sekretesslagen till den som har direktåtkomst. Vid bedömningen av vilka som bör få ha direktåtkomst till uppgifter som behandlas i verksamhet bör utgångspunkten vara att sådan åtkomst kan tillåtas, men att det inte skall ske i större omfattning än vad som kan försvaras av Författningsregleringen av behandling av uppgifter Det är enligt vår mening viktigt att en principiell avvägning görs mellan hänsynen till å ena sidan myndigheternas effektivitet och å andra sidan de registrerades integritet. En grundläggande utgångspunkt måste enligt vår mening vara att direktåtkomst endast bör tillåtas när nyttan av åtkomsten är klart påvisbar som den inte innebär några beaktansvärda försämringar av skyddet för den personliga integriteten. Direktåtkomst till uppgifter i brottsbekämpande verksamhet Ett viktigt medel i samarbetet mellan olika myndigheter är utbyte av information. För att kunna uppnå hög effektivitet i informationsutbytet är det enligt vår mening nödvändigt att myndigheterna kan utnyttja tillgängliga tekniska hjälpmedel. Särskilt stor betydelse har enligt vår mening möjligheten att få tillgång till uppgifter hos andra myndigheter genom direktåtkomst till viktiga register och databaser. Regeringen har i propositionen om ny lag om behandling av uppgifter i brottsbekämpande verksamhet särskilt påtalat behovet av att möjligheterna till direktåtkomst mellan de brottsbekämpande myndigheterna utökas väsentligt i förhållande till vad som gäller , både i fråga om uppgifter i underrättelse- verksamhet och uppgifter i brottsutredningar. Mot bakgrund härav anser regeringen att det i lag inte skall anges några begränsningar för myndigheter med polisiära arbetsuppgifter att genom direkt- åtkomst ta del av relevanta uppgifter i register som förs av i den brottsbekämpande verksamheten i den s.k. tullbrottsdatabasen. De myndigheter som avses är Rikspolis- styrelsen, polismyndigheter, , Ekobrotts- myndigheten, (skattebrottsenheterna) samt Kust- bevakningen. Direktåtkomst får dock bara ske under förutsättning att regeringen har meddelat föreskrifter därom.21 Vi instämmer i regeringens uppfattning vad gäller vikten av ett utökat samarbete mellan de brottsbekämpande myndigheterna och behovet av direktåtkomst. Det är enligt vår mening inte möjligt att på ett effektivt sätt bekämpa t.ex. grov narkotikabrottslighet och 21 Se prop. 2004/05:164 s. 87 f. Författningsregleringen av behandling av uppgifter organiserad brottslighet utan ett långtgående samarbete mellan de myndigheter som har polisiära befogenheter och arbetsuppgifter.22 Frågan om integritetsskyddet är vid direktåtkomst av central betydelse. I många register som förs av brottsbekämpande myndig- heter finns stora mängder personuppgifter av känslig karaktär, vilket gör att det finns all anledning att vara restriktiv med att tillåta andra myndigheter att få åtkomst till uppgifterna. I kampen mot brottsligheten finns det emellertid enligt vår mening starka skäl för att tillägna sig ett helhetsperspektiv, dvs. att se brotts- bekämpningen som en för flera myndigheter gemensam verk- samhet. Det förhållandet att olika uppgifter inom brottsbekämp- ningen av organisatoriska, historiska eller andra skäl är uppdelade och ligger på skilda myndigheter, innebär inte nödvändigtvis att det uppstår större risker från integritetssynpunkt med direktupp- kopplingar mellan myndigheterna än vad som skulle ha varit fallet om all brottsbekämpande verksamhet låg hos en och samma Direktåtkomst förekommer i viss omfattning mellan de brottsbekämpande myndigheterna. Flera av de brottsbekämp- ande myndigheterna har t.ex. tillgång till misstankeregister och belastningsregister, även om denna möjlighet ännu inte föreligger för . Enligt den förordning som reglerar behandling av personuppgifter får i den brottsbekämpande verksamheten , polismyndigheterna, , och i viss utsträckning ha direktåtkomst till uppgifter hos . Mot denna bakgrund framstår det enligt vår mening som uppenbart att de övriga brottsbekämpande myndigheterna skall få ha direktåtkomst till uppgifter som behandlar. Vi föreslår därför att , , och polismyndigheterna, och Skatte- verket i sin brottsbekämpande verksamhet får ha direktåtkomst till uppgifter som behandlar för att förhindra eller upptäcka brottslig verksamhet och för att utreda eller beivra brott. Som ovan anförts kan endast uppgifter som med säkerhet inte omfattas av sekretess göras tillgängliga för andra myndigheter genom direktåtkomst. Redan anförde som sin uppfattning att de brottsbekämpande myndigheterna 22Jfr SOU 2002:113 s. 249. 2004/05:164 s. 87. Författningsregleringen av behandling av uppgifter borde omgärdas av en gemensam yttre sekretess för att därigenom åstadkomma förutsättningar för en högre effektivitet i informa- tionsutbytet och därmed den brottsbekämpande verksamheten.24 Beredningen för rättsväsendets utveckling (BRU) har i betänkandet Ett effektivare brottmålsförfarande – några ytterligare åtgärder (SOU 2005:117) tagit fasta på dessa synpunkter och lämnat konkreta författningsförslag med ändringar i sekretesslagen för att genomföra en sådan ordning. BRU föreslår att det i 9 kap. 17 § sekretesslagen införs en generell sekretessbrytande bestämmelse för uppgifter om enskilda i den brottsbekämpande verksamheten, med den innebörden att sekretess inte hindrar att en uppgift lämnas från en polismyndighet, , , , eller Kustbevak- ningen till någon annan av dessa myndigheter. Vi instämmer i de förslag som BRU härvid lämnat. Genomförs dessa författningsförslag föreligger inga hinder i form av sekretess för utlämnande av uppgifter från genom direkt- åtkomst till andra brottsbekämpande myndigheter. Vi lämnar därför inga egna författningsförslag med avseende på sekretessen mellan de brottsbekämpande myndigheterna. För det fall att BRU:s förslag inte kommer att genomföras bör emellertid en sekretess- brytande bestämmelse om uppgiftsskyldighet motsvarande den som återfinns i 2 § förordningen (2005:791) om behandling av uppgifter i brottsbekämpande verksamhet även införas i tillämplig förordning för . Av nämnda bestämmelse framgår att på begäran av Ekobrotts- myndigheten, , polismyndigheterna, Kustbevak- ningen, och skall lämna ut uppgifter i tullbrottsdatabasen. Direktåtkomst till uppgifter i verksamhet med sjöövervakning, räddningstjänst samt samordning och förmedling av sjöinformation bedriver även inom den övriga sjöövervaknings- verksamheten och inom räddningstjänsten verksamhet som innefattar ett omfattande samarbete med andra myndigheter. Som framgår av förordningen (2005:742) med instruktion för Kust- bevakningen avses med sjöövervakning att i enlighet med särskilda 24 Se SOU 2002:113 s. 168. Författningsregleringen av behandling av uppgifter föreskrifter ansvara för eller bistå andra myndigheter med övervak- ning, brottsbekämpande verksamhet samt kontroll och tillsyn. skall i enlighet med särskilda föreskrifter också ansvara för miljöräddningstjänsten till sjöss samt på anmodan av räddningsledare delta i sjöräddningstjänst och annan räddnings- tjänst. får enligt instruktionen även bedriva uppdragsverksamhet inom sitt verksamhetsområde. Vidare har det särskilda uppdraget att sam- ordna civil sjöövervakning och förmedla civil sjöinformation. Regeringen har i den senaste budgetpropositionen särskilt under- strukit vikten av att ett automatiserat informationsutbyte mellan de berörda myndigheterna kommer i gång så snart som möjligt.25 Detta uppdrag förutsätter således att information kan utbytas mellan myndigheterna genom direktåtkomst. I samtliga dessa sammanhang finns alltså ett stort behov av utbyte av information och omfattande effektivitetsvinster kan nås genom att möjlighet ges till direktåtkomst. I enlighet med vad som ovan föreslås för den brottsbekämpande verksamheten bör därför enligt vår mening även de uppgifter som behandlas i verksamheter med sjöövervakning och räddningstjänst kunna lämnas ut genom direktåtkomst till andra samverkande myndigheter. Förutom de ovan nämnda myndigheterna är det i första hand och Sjöfarts- verket, men även , , samt geologiska undersökningar, som är i behov av direktåtkomst till uppgifter i de nu aktuella verksamheterna. Vid samråd med har myndigheten uttryckt viss oro över att verket enligt våra författningsförslag inte givits rätt till direktåtkomst till uppgifter som behandlas i brottsbekämpande verksamhet. Eftersom har till uppgift att kontrollera vissa dokument som genereras av Kust- bevakningens kontroll- och tillsynsverksamhet och anmäla särskilda överträdelser till , vill förvissa sig om att nödvändiga handlingar inte blir oåtkomliga för verket på grund av att uppgifterna behandlas i brottsbekämpande verksamhet. Enligt vår mening utgör våra författningsförslag inga hinder mot att får åtkomst till de inspektionsrapporter m.m. hos som verket 25 Se prop. 2005/06:1 Utgiftsområde 4 s. 149. Författningsregleringen av behandling av uppgifter behöver för sin verksamhet. Förundersökningsprotokoll och liknande handlingar och uppgifter som behandlar i sin brottsbekämpande verksamhet för särskilt angivna ändamål, skall däremot inte kunna ha direktåtkomst till. Fråga är då hur direktåtkomst bör regleras när det gäller uppgifter i verksamhet. I andra registerförfattningar anges vanligen i lag vilka myndigheter som får ha direktåtkomst, medan det överlåts till regeringen att närmare bestämma omfattningen av sådan direktåtkomst. Eftersom direktåtkomst till uppgifter hos annan myndighet innebär särskilda risker från integritetssynpunkt, då den utlämnande myndigheten inte har möjlighet att i varje enskilt fall ta ställning till om de eftersökta uppgifterna bör lämnas ut, har regeringen tidigare ansett att det bör ankomma på att ta ställning till i vilka fall direktåtkomst bör medges.26 Nämnda förarbetsuttalanden avser direktåtkomst till beskatt- ningsdatabasen, vilken innehåller mycket känsliga uppgifter. Även i brottsbekämpande verksamhet behandlas särskilt känsliga uppgifter. I enlighet härmed skall det enligt vår uppfattning i lag regleras vilka myndigheter som får ha direkt- åtkomst till uppgifter i brottsbekämpande verksamhet. För en sådan reglering talar även att direktåtkomst till uppgifter hos andra brottsbekämpande myndigheter regleras i lag. När det däremot gäller uppgifter i övriga verksamheter anser vi det inte nödvändigt att det av lag uttryckligen framgår vilka myndigheter som kan få direktåtkomst. I dessa verksamheter behandlas inte lika känsliga uppgifter som i den brottsbekämpande verksamheten. Vidare gäller, särskilt i fråga om informationsutbytet inom samordning av sjöövervakning och förmedling av sjöinformation, att de berörda myndigheterna kan komma att ändras. Det kan därför med kort varsel behöva ske förändringar av vem som får ha direktåtkomst. Mot denna bakgrund anser vi att det i lag bör anges att det är regeringen som meddelar bestämmelser om vilka myndigheter som får ha direktåtkomst till uppgifter som behandlas i verksamhet med polisiär övervakning, kontroll, 26 Se prop. 2000/01:33 s. 133. Författningsregleringen av behandling av uppgifter tillsyn och räddningstjänst samt samordning av sjöövervakning och förmedling av sjöinformation. Av hänsyn till skyddet för den personliga integriteten bör emellertid direktåtkomst, oavsett för vilket ändamål den sker, få medges endast under förutsättning att regeringen meddelat före- skrifter därom. Det bör alltså enligt vår mening vara regeringens ansvar att närmare föreskriva i vilken omfattning de i lagen angivna myndigheterna skall få ha rätt till direktåtkomst. Direktåtkomsten bör härvid begränsas till relevanta uppgifter och genom att behörighet att ta del av uppgifter endast ges till personer vid andra myndigheter som har ett faktiskt behov av uppgifterna. Som framgått ovan föreslår vi också en generell bestämmelse om att åtkomst endast får medges till de uppgifter som var och en behöver för att kunna fullgöra sina arbetsuppgifter, och att denna bestämmelse skall gälla även vid andra myndigheters behandling av uppgifter som lämnats ut genom direktåtkomst. Våra förslag: Personuppgifter som behandlas i Kustbevak- ningens verksamhet för de särskilda ändamålen kontroll, tillsyn, polisiär övervakning, räddningstjänst samt samordning av sjöövervakning och förmedling av sjöinformation skall bevaras och gallras enligt reglerna i personuppgiftslagen (1998:204) och arkivlagen (1990:782). För uppgifter som behandlas för ändamålen brottsbekämp- ande verksamhet och ärenden om vattenföroreningsavgift skall gälla särskilda regler om bevarande och gallring. Vi konstaterar tidigare att det uppstår integritetsproblem när stora mängder uppgifter om enskilda personer samlas hos myndigheter, i synnerhet som dagens teknik tillåter att avancerade samman- ställningar av information kan göras på ett enkelt sätt. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs för en myndighets verksamhet avlägsnas från myndighetens databaser eller register. För att uppnå detta krävs bestämmelser om gallring av uppgifter eller om överlämnande av uppgifter till en arkivmyndighet. Vid utformningen av gallringsbestämmelser måste det dock hållas i minnet att offentlighetsprincipen, för att den inte skall bli Författningsregleringen av behandling av uppgifter verkningslös, ställer krav på att vissa uppgifter bevaras för framtiden. Uppgifter får i princip aldrig gallras i sådan omfattning att det äventyrar arkivens roll som en del av kulturarvet eller något av de tre huvudändamålen med arkivverksamheten. Även efter en genomförd gallring måste arkiven kunna tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens behov samt forskningens behov. Det går alltså inte att bara ange att samtliga uppgifter skall gallras när de inte behövs för verksam- heten. Tvärtom behövs en avvägning mellan integritets- och offentlighetsintresset. Detta är viktigt inte minst i då mängder av uppgifter finns endast i elektronisk form. En fullständig gallring av samtliga uppgifter i ett dataregister kan omöjliggöra en senare rekonstruktion av ett händelseförlopp. Grundläggande bestämmelser om bevarande och gallring av uppgifter hos myndigheter finns i 2 kap. tryckfrihetsförordningen och i arkivlagen (1990:782). Enligt 3 § arkivlagen skall myndig- heters arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Allmänna handlingar får enligt 10 § samma lag gallras endast om återstående arkivmaterial kan tillgodose dessa ändamål, och det krävs särskilda föreskrifter eller beslut av för att gallring skall få ske. Hur länge personuppgifter får bevaras regleras dessutom i personuppgiftslagen som ett grundläggande krav på behandling av personuppgifter. I 9 § första stycket i) personuppgiftslagen anges nämligen att den personuppgiftsansvarige skall se till att person- uppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det föreligger således en skyldighet enligt personuppgiftslagen att gallra person- uppgifter som är nödvändiga med hänsyn till ändamålen med behandlingen. I fråga om personuppgifter som utgör allmänna handlingar och som behandlas i myndighetsverksamhet tillämpas dock i första hand bestämmelserna i arkivlagen, jfr 8 § person- uppgiftslagen. I de registerförfattningar som gäller för statlig verksamhet finns regelmässigt särskilda gallringsbestämmelser för uppgifter som behandlas automatiserat. Vi har för vår del övervägt två alternativ till hur gallrings- och bevarandefrågor bör regleras i speciallagstiftningen för Kustbevak- ningens behandling av personuppgifter. Det ena alternativet är att inte ha några särbestämmelser över huvud taget, vilket innebär att Författningsregleringen av behandling av uppgifter personuppgiftslagens och arkivlagens regler gäller fullt ut. Det andra alternativet är att i lag ange att samtliga uppgifter skall gallras och när det skall göras, men ge regeringen eller möjlighet att besluta om undantag. Det senare alternativet är vanligt i nya registerförfattningar och metoden utgår från att det i lag ställs upp huvudregler för när gallring skall ske. Regeringen eller kan sedan besluta eller meddela föreskrifter om att uppgifter skall bevaras. Fördelen härmed har främst ansetts vara att särskild reglering behöver göras endast när det finns skäl för det. Vidare finns det direkt i lagtexten en säkerhetsventil mot att stora uppgiftssamlingar med känsliga uppgifter bevaras, trots att de inte har något faktiskt värde för verksamheten, men på grund av sin omfattning kan vara skadliga från integritetssynpunkt. Eftersom metoden i princip innebär att allt skall gallras om inte regeringen eller utfärdar föreskrifter om undantag, så ställs det krav på att regeringen eller efter hand tar ställning till hur nya typer av uppgifter skall hanteras. Uppgifter och handlingar kan annars komma att gallras helt, vilket innebär att inte något material bevaras för framtiden. har också kritiserat denna metod främst med motiveringen att lagstiftning med gallring som huvudregel tenderar att urholka offentlighets- principen och att inte har praktisk möjlighet att ingripa med undantagsföreskrifter med hänsyn till det stora antalet registerlagar.27 Att inte ha några särbestämmelser över huvud taget, vilket innebär att arkivlagens regler är giltiga fullt ut, är den metod som tillämpas vad gäller traditionella pappersbaserade uppgifter i allmänna handlingar. Det finns enligt vår mening starka skäl som talar för att samma förfarande bör gälla som huvudregel även i fråga om uppgifter som behandlas automatiserat, inte minst eftersom det blir allt vanligare att elektronisk information helt ersätter vanlig pappersbaserad information. Gallring som huvudregel bör enligt vår mening inte gälla utan att starkt vägande integritetsskäl talar härför. Enligt vår bedömning saknas det vid en sådan avvägning i princip bärande skäl för att föreslå särskilda gallringsbestämmelser när det gäller behandlingen av personuppgifter i verksamhet med kontroll, 27 Se t.ex. SOU 2002:113 s. 339 ff. Författningsregleringen av behandling av uppgifter tillsyn, polisiär övervakning, räddningstjänst samt samordning av sjöövervakning och förmedling av sjöinformation. Med gallring avses att förstöra allmänna handlingar eller upp- gifter i allmänna handlingar på så sätt att det medför någon form av informationsförlust. Gallring sker i första hand för att värna skyddet av den personliga integriteten. Gallring är emellertid inte den enda metoden för att tillgodose skyddet för den personliga integriteten. Andra metoder med samma ändamål är t.ex. sekretess- bestämmelser. tjänas integritetsintresset inte alltid bäst av att så många uppgifter som möjligt gallras. I vissa fall har bevarandet även av känsliga uppgifter visat sig vara till stor fördel för enskilda när behov av att kunna rekonstruera historiska händelseförlopp förelegat. Vidare bör värdet av offentlighetsprincipen och den minskade möjligheten till insyn i myndigheternas verksamhet för bl.a. forskning som gallring innebär framhållas som skäl mot omfattande gallring i allmänhet. Vi har mot denna bakgrund stannat för att inte föreslå några särskilda gallringsbestämmelser för andra verksamheter inom än den brottsbekämpande. Detta innebär att bestämmelserna i arkivlagen och personuppgiftslagen blir avgör- ande för frågan om bevarande och gallring i verksamheter med kontroll, tillsyn, polisiär övervakning, rädd- ningstjänst samt samordning av sjöövervakning och förmedling av sjöinformation, oavsett om personuppgifterna behandlas i en data- bas eller inte. I praktiken innebär detta att allmänna handlingar som huvudregel skall bevaras och att de får gallras endast om Riks- arkivet har tillåtit det. För andra uppgifter, dvs. sådana uppgifter som inte utgör eller ingår i allmänna handlingar, gäller i stället att de skall rensas (förstöras) när de inte längre behövs för de ursprungliga ändamålen med registreringen. När det däremot gäller uppgifter som behandlas i Kustbevak- ningens brottsbekämpande verksamhet och i ärenden om vatten- föroreningsavgift anser vi alltså att skyddet för den personliga integriteten väger så tungt att särskilda bestämmelser om gallring bör meddelas. Våra förslag till regler om bevarande och gallring i den brottsbekämpande verksamheten utvecklas vidare nedan, se avsnitt 10.4. Författningsregleringen av behandling av uppgifter Dataskyddsdirektivets regler om enskildas rättigheter i samband med behandling av personuppgifter är av central betydelse för skyddet av de registrerades personliga integritet. För att otillbörligt intrång i den personliga integriteten i största möjliga mån skall undvikas har det ansetts nödvändigt att enskilda tillskrivs särskilda rättigheter. Mot bakgrund härav finns i personuppgiftslagen bestämmelser om bl.a. information, rättelse och skadestånd. Att enskilda ges möjlighet till insyn i vad som finns registrerat om dem i olika databaser och register är av betydelse för att de skall kunna kräva rättelse av felaktiga uppgifter. När personuppgiftsansvariga behandlar uppgifter i strid med gällande regler, har det ansetts att de enskilda skall kunna få ersättning för skada och kränkning av den personliga integriteten. Inom de särskilda registerförfattningarnas områden har det av rättssäkerhetsskäl vidare ansetts viktigt att myndigheternas beslut i frågor som rör rätten till information och krav på att behandlade uppgifter är korrekta, kan överklagas av enskilda i den för förvaltningsbeslut gällande ordningen. De särskilda bestämmelser om enskildas rättigheter som redovisas i detta avsnitt är endast tillämpliga på behandling av personuppgifter. Det är med andra ord endast fysiska personer som är i livet som över huvud taget kan kräva information om utförd behandling eller rättelse av felaktiga uppgifter. Det är vidare bara fysiska personer som kan överklaga myndigheternas beslut i sådana frågor och som med stöd av den lagstiftning vi föreslår kan kräva skadestånd av den personuppgiftsansvariga myndigheten. Våra förslag: Personuppgiftslagens bestämmelser om informa- tion som skall lämnas självmant till den registrerade när upp- gifter har samlats in från honom själv och om information som skall lämnas efter ansökan av den registrerade, skall i huvudsak tillämpas vid behandling av personuppgifter i verksamhet Författningsregleringen av behandling av uppgifter Personuppgiftslagens bestämmelser om information som skall lämnas självmant till den registrerade när uppgifter har samlats in från personen själv och om information som skall lämnas efter ansökan av den registrerade skall enligt vår uppfattning tillämpas vid behandling av personuppgifter i verksamhet. Av 23 § personuppgiftslagen framgår att den personuppgifts- ansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är enligt 25 § samma lag uppgift om den person- uppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. 24 § första stycket personuppgiftslagen föreskriver att den personuppgiftsansvarige självmant skall lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning.