sou · GUB318 · 2007-01-01 00:00:00 — Betänkande av Utredningen om personuppgiftsbehandling SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen, 2003. – En liten broschyr som underlättar arbetet för den som skall svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Omslaget pryds av vapen. Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare för att göra en översyn av regleringen av behandling av personuppgifter i verksamhet och lämna förslag till en författningsreglering. I uppdraget ingick att kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser. Utgångspunkten för uppdraget var att Kustbevak- ningens verksamhet skall kunna bedrivas effektivt med rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. förordnade statsrådet kammarrättslagmannen att vara särskild utredare. Som experter har från medverkat juristen , verksjuristen , kammarrätts- assessorn , 1:e kustbevakningsinspektören , rättssakkunnige och verksjuristen . Sekreterare åt utredningen har varit kammarrättsassessorn, numera rådmannen, . Utredningen har tagit namnet Utredningen om Kustbevak- ningens personuppgiftsbehandling (Fö 2004:04). Härmed överlämnar utredningen sitt betänkande PERSONUPPGIFTSBEHANDLING Integritet – Effektivitet (SOU 2006:18). Arbetet har bedrivits i nära samråd med berörda experter. Betänkandet är därför skrivet i vi-form. Utredningens uppdrag är härmed slutfört. Förslag till lag om behandling av uppgifter i Förslag till lag om ändring i sekretesslagen (1980:100)......... Förslag till förordning om behandling av uppgifter i BAKGRUNDEN TILL VÅRA FÖRSLAG organisation och verksamhet............. 2.1.3 – en samverkansmyndighet............ Den centrala ledningen................................................. 2.3.1 Polisiär övervakning och brottsbekämpande Kontroll- och tillsynsverksamhet m.m........................ 2.3.4 Internationell samverkan inom sjöövervakning.......... 2.5Samordning av sjöövervakning och förmedling av Övergripande rättslig reglering av behandling av 3.3.2 Bestämmelser om när personuppgifter får 3.3.3 Information och rättelse m.m. ..................................... 3.3.5 Överföring av personuppgifter till tredje land............ Medlemsländernas nationella lagstiftning ................... 3.5Europeiska unionens stadga om de grundläggande 3.6.1 Allmänt om lagen och dess tillämpningsområde ........ 3.6.2 Förutsättningar för behandling av 3.6.3 Information och rättelse m.m. ..................................... Säkerhet vid behandlingen............................................ 3.6.5 Överföring av personuppgifter till tredje land............ Ikraftträdande- och övergångsbestämmelser .............. Rättslig reglering av behandling av 4.1Förordningen (2003:188) om behandling av person- Känsliga personuppgifter m.m..................................... Rättelse och skadestånd ............................................. 5.1Register och andra datorsystem som förs i beslutsstödsystem (KIBS).......................................... Andra system inom kustbevakningsdatabasen ......... 5.3Utveckling av befintliga och inrättande av nya register och datorsystem i verksamhet ............... Behandling av personuppgifter i löpande text...................... Samverkan och informationsutbyte med andra myndigheter och organisationer ................................. Brottsbekämpande verksamhet och gränskontroll .............. Kontroll, tillsynsverksamhet och räddningstjänst ............... 6.3.4 Övriga myndigheter och organisationer.................... 6.4Samordning av sjöövervakning och förmedling av Informationsutbyte i internationell samverkan.................... Regler för behandling av personuppgifter i Misstanke- och belastningsregister............................ 7.2Lagen om behandling av uppgifter i behov av informationshantering....... Informationshantering i den egna verksamheten................. 8.2Samverkan och informationsutbyte med andra 8.2.1 Brottsbekämpande verksamhet .................................. 8.2.2 Samordning av sjöövervakning och förmedling av Övergripande frågor och principer............................... Behovet av datorstöd.............................................................. Skyddet för den personliga integriteten................................ 9.4 Lag, förordning eller myndighetsföreskrifter ...................... 9.5Grundläggande begrepp – i stället för databas och Författningsregleringen av behandling av uppgifter ...... Lagstiftningens systematik och allmänna 10.2.2 Förhållandet till personuppgiftslagen........................ 10.2.3 Tillåtna ändamål för behandling av 10.2.5 Behandling av känsliga personuppgifter.................... 10.2.7 Inhämtande och utlämnande på medium för 10.2.9 Bevarande och gallring................................................ 10.3.2 Rättelse och skadestånd ............................................. Behandling av uppgifter i den brottsbekämpande 10.4.1 Förhindra eller upptäcka brottslig verksamhet......... 10.4.2 Utreda eller beivra brott............................................. 10.4.3 Särskilda upplysningar................................................ 10.4.4 Uppgifter och handlingar som får behandlas för Behandling av uppgifter för samordning av sjöövervakning och förmedling av sjöinformation .............. 10.5.1 Uppgifter om brott och brottslig verksamhet samt känsliga personuppgifter.................................... Samordning av sjöövervakning och förmedling av 11.2.1 Sekretess för uppgift om enskilds affärs- och 11.2.2 Sekretess för uppgifter ur sjömansregistret .............. Ikraftträdande- och övergångsbestämmelser ................ Konsekvenser av våra förslag...................................... Förslag till lag om behandling av uppgifter i Förslag till lag om ändring i sekretesslagen (1980:100)....... Bilaga 1 Kommittédirektiv .............................................................. Bilaga 2 Framställning om införande av en ny bestämmelse i sekretesslagen (1980:100) med anledning av Några allmänna utgångspunkter för uppdraget Vi har haft i uppdrag att göra en översyn av regleringen av behand- lingen av personuppgifter i verksamhet, som regleras i förordningen (2003:188) om behandling av personupp- gifter inom . Syftet med vårt uppdrag har varit att kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser samt lämna förslag till reglering i lag. Vår utgångspunkt har varit att verksamhet skall kunna bedrivas effektivt med rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. En viktig förutsättning för vårt arbete har varit att Kustbevak- ningen skall ges möjligheter att lösa sina uppgifter och uppnå de mål som regeringen har ställt upp för myndighetens arbete. Andra viktiga utgångspunkter har varit att den personliga integriteten skall värnas samt att de förslag till nya regler som vi lämnar skall vara enkla, tydliga och anpassade till den tekniska utvecklingen. Vår målsättning har varit att skapa bestämmelser som är anpassade till personuppgiftslagens (1998:204) rättsliga ramar, vilka utgör den grundläggande regleringen av skyddet för den personliga integri- teten. Som särskild förutsättning för uppdraget har gällt att vi skall be- akta intresset av att regleringen av behandlingen av personuppgifter inom brottsbekämpande verksamhet blir enhetlig. trädde den nya lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet i kraft. Denna lagstift- ning har följaktligen utgjort förebild för våra författningsförslag, särskilt vad gäller regleringen av behandlingen av personuppgifter i brottsbekämpande verksamhet. Övergripande principer för ny lagstiftning Utvecklingen visar att lagstiftning som reglerar användningen av datorstöd måste vara teknikneutral och flexibel för att inte hindra den effektivisering som kontinuerligt pågår. är det mycket viktigt att det i lagstiftningen tas hänsyn till enskildas per- sonliga integritet. Inom hanteras stora mängder information som ofta kan vara av känslig natur för de berörda personerna, särskilt i den brottsbekämpande verksamheten. I takt med att datorstödet byggs ut och stora uppgiftsmängder görs enkelt sökbara, ökar riskerna för att enskilda skall drabbas av oacceptabla intrång i den personliga sfären. Det är med andra ord viktigt att inte hamna i en situation där den tekniska utvecklingen styr den rättsliga regleringen eller där den sistnämnda onödigt hämmar effektiviseringen. Det måste vara möjligt att i stor omfatt- ning använda sig av digital teknik, utan att det innebär att integri- tetsskyddet blir eftersatt. För att garantera såväl integritetsskyddet som möjligheterna till fortlöpande effektivisering av verksamheten, är det enligt vår mening nödvändigt med en lagstiftning som tar sikte på principiellt viktiga frågor, men som så långt som möjligt undviker detalj- reglering. Vi föreslår därför att de grundläggande principerna för behandling av personuppgifter i verksamhet skall regleras särskilt i lag, medan kompletterande bestämmelser skall meddelas av regeringen eller den myndighet som regeringen bestämmer. Lagstiftningens systematik och tillämpningsområde m.m. Vi föreslår att den gällande förordningen (2003:188) om behandling av personuppgifter inom skall upp- höra att gälla och ersättas med en lag om behandling av uppgifter i verksamhet. Lagen skall utgå från personupp- giftslagens tillämpningsområde, begrepp och terminologi. I lagen skall anges de undantag, preciseringar och förtydliganden i för- hållande till personuppgiftslagen som är motiverade. Vi föreslår att den nya lagen skall delas in i tre kapitel. I det första kapitlet finns bestämmelser som gäller vid all behandling av uppgifter som omfattas av lagens tillämpningsområde, dvs. i Kust- bevakningens verksamhet med sjöövervakning och räddningstjänst samt samordning av sjöövervakning och förmedling av sjöinforma- tion. Utanför lagens tillämpningsområde faller endast behandling av personuppgifter i samband med interna och administrativa åtgär- der. Bestämmelserna i det andra kapitlet gäller endast vid behand- ling av uppgifter i brottsbekämpande verksam- het och i ärenden om vattenföroreningsavgift. Bestämmelserna i det tredje kapitlet gäller vid behandling av uppgifter i Kustbevak- ningens samordning av sjöövervakning och förmedling av sjöinfor- mation. Lagen tillämpas vid behandling av uppgifter som är helt eller del- vis automatiserad. Grundläggande bestämmelser, t.ex. när det gäller ändamålen med och ansvaret för behandlingen, är tillämpliga även vid behandling av uppgifter om juridiska personer. Lagen skall gälla i stället för personuppgiftslagen, vars bestäm- melser skall tillämpas på behandling av personuppgifter hos endast när det anges särskilt. skall vara personuppgiftsansvarig för den behandling som myndigheten utför eller som det åligger Kust- bevakningen att utföra. En myndighet som har direktåtkomst till uppgifter som behandlas enligt den föreslagna lagstiftningen har ansvaret för att åtkomsten till uppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Behandling för skilda och uttryckliga ändamål behandling av personuppgifter skall styras av särskilt angivna och tydliga ändamål, vilka skall framgå av lag. I sin verksamhet med sjöövervakning anser vi att Kustbevak- ningen skall få behandla uppgifter för de primära ändamålen polisiär övervakning, kontroll och tillsyn samt brottsbekämpande verksamhet och ärenden om vattenföroreningsavgift. Med polisiär övervakning avses här uteslutande behandling av uppgifter i sådan verksamhet som syftar till att förebygga brott och störningar av ordningen i sjötrafiken m.m. och inte till någon del brottsbekämp- ande verksamhet. Enligt vår mening bör i den brottsbekämpande verksamheten få behandla uppgifter för två olika primära ändamål, nämligen när det behövs för att förhindra eller upptäcka brottslig verksamhet eller för att utreda eller beivra visst brott. I begreppet brottslig verksamhet ligger att det inte är fråga om att klara upp ett konkret brott, utan i stället att avslöja om viss brottslighet har förekommit, pågår eller kan förutses. Ändamålet förhindra eller upptäcka brottslig verksamhet omfattar alltså främst det som nor- malt kallas underrättelseverksamhet, dvs. arbete med inhämtning, bearbetning och analys av information för att komma åt brottslig verksamhet när det inte finns konkreta misstankar om att ett brott redan har begåtts. Ändamålet utreda eller beivra visst brott omfattar i första hand arbete inom ramen för en förundersökning, t.ex. spaning och förhör. Ändamålet omfattar emellertid även annat utredande eller beivrande av ett konkret brott samt åtgärder som vidtas i syfte att samla in underlag för beslut om förundersökning skall inledas eller inte. Som primärt ändamål anges vidare att får be- handla uppgifter som behövs för myndighetens räddningstjänst, i vilken ingår miljöräddningstjänst, sjöräddning och annan rädd- ningstjänst samt hantering av krissituationer. Slutligen anges som särskilt ändamål att skall få behandla uppgifter om det behövs för att samordna civila behov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter. Verksamheten innebär att sjörelaterad information lämnas från flera olika myndigheter till som sam- ordnar, bearbetar och lagrar den insamlade informationen. Resul- tatet av informationsbearbetning skall sedan på ett effektivt sätt förmedlas ut till de myndigheter som är i behov av sjörelaterad information, i första hand genom att dessa myndig- heter ges direktåtkomst till uppgifterna hos . Behandling av känsliga personuppgifter m.m. Uppgifter om en person skall inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fack- förening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter behandlas på annan grund får de emellertid kom- pletteras med känsliga personuppgifter, när det är absolut nödvän- digt för syftet med behandlingen. Känsliga personuppgifter får dessutom behandlas om de förekommer i en handling som kommit in till i ett ärende. Enligt vår mening skall det inte vara möjligt att använda känsliga personuppgifter som sökbegrepp vid eftersökande av information inom ramen för verksamhet. Denna regel bör gälla generellt i verksamheten, oavsett för vilket ändamål uppgif- terna behandlas. Uppgifter som beskriver en persons utseende bör dock få användas som sökbegrepp. Det gäller signalementsuppgif- ter om t.ex. kroppsbyggnad, hår- och hudfärg, klädsel och fysiska kännetecken. Uppgifter som beskriver en persons utseende skall emellertid alltid utformas på ett objektivt sätt med respekt för människovärdet. Utlämnande på medium för automatiserad behandling För att inte möjligheterna att utnyttja datorteknik vid myndigheter skall inskränkas på ett orimligt sätt, får det enligt vår mening inte sättas upp onödiga hinder mot att e-post utnyttjas som ett sätt för att vidarebefordra information till andra svenska myndigheter och utbyta information på elektronisk väg. Med hänsyn till de integritetsrisker som kan följa med utlämnan- de på medium för automatiserad behandling av personuppgifter från myndigheters register och databaser bör däremot ett sådant utlämnande till utländska myndigheter och organisationer samt en- skilda vara förenat med vissa begränsningar. Vi anser emellertid att utlämnande av enstaka uppgifter och handlingar på medium för automatiserad behandling, t.ex. i ett e-postmeddelande, bör kunna få ske när ett utlämnande av uppgifterna är tillåtet i övrigt. Det bör också vara förbehållet regeringen att meddela föreskrifter om när ett mer omfattande utlämnande av uppgifter på medium för auto- matiserad behandling är tillåtet. Det väsentliga i sammanhanget är att utlämnande, till andra än svenska myndigheter, av elektroniskt lagrade uppgifter och handlingar i verksamhet får förekomma i begränsad omfattning, men att mer omfattande utlämnande får ske endast enligt regeringens närmare föreskrifter. Vi föreslår således att till annan än svensk myndighet skall endast enstaka uppgifter eller handlingar lämnas ut på medium för auto- matiserad behandling, och att regeringen meddelar föreskrifter om att utlämnande på sådant medium får ske även i andra fall. Att tillåta direktåtkomst för myndigheter till information i andra myndigheters dataregister m.m. har länge ansetts särskilt integri- tetskänsligt. Vi delar i och för sig den uppfattningen men anser att det finns starka skäl för sådan åtkomst. Exempelvis bör effektivi- teten i det brottsbekämpande arbetet inte bli mer än nödvändigt lidande av att de brottsbekämpande uppgifterna i av olika skäl är uppdelade mellan ett flertal myndigheter. har vidare ett särskilt uppdrag att samordna de civila behoven av sjöövervakning och förmedla sjöinformation till andra myndighe- ter, vilket förutsätter att berörda myndigheter har direktåtkomst till uppgifter hos . Vi föreslår därför att det av lag bör framgå att de brottsbekämp- ande myndigheterna, , Ekobrottsmyndighe- ten, och polismyndigheterna, och , genom direktåtkomst bör kunna få tillgång till uppgifter som behandlar i sin brottsbekämpande verksamhet och i ärenden om vattenföroreningsavgift. Vi föreslår vidare att regeringen skall meddela närmare föreskrifter om vilka myndigheter som får ha direktåtkomst till uppgifter som behandlas för något av de andra i lagen särskilt angivna ändamålen, nämligen polisiär övervakning, kontroll, tillsyn och räddningstjänst samt samordning av sjöövervakning och förmedling av sjöinformation. Av integritetsskäl bör det av lagstiftningen framgå att åtkomst till uppgifter som lämnas ut genom direktåtkomst endast skall medges den som behöver uppgifterna för att fullgöra sina arbets- uppgifter. Denna bestämmelse skall gälla även vid andra myndig- heters behandling av uppgifter som med stöd av lagen lämnats ut genom direktåtkomst. Personuppgifter som behandlas i verksamhet för de särskilda ändamålen polisiär övervakning, kontroll, tillsyn och räddningstjänst samt samordning av sjöövervakning och förmed- ling av sjöinformation skall bevaras och gallras enligt reglerna i personuppgiftslagen och arkivlagen (1990:782). Uppgifter som behandlas för ändamålen brottsbekämpande verksamhet och ärenden om vattenföroreningsavgift skall enligt vår mening av integritetsskäl gallras beroende på för vilka ändamål uppgifterna behandlas. För sådana uppgifter föreslår vi därför särskilda gallringsbestämmelser. Regeringen eller skall få meddela föreskrifter om att uppgifter som behandlas automatiserat skall gallras eller bevaras. Personuppgiftslagens bestämmelser om information som skall läm- nas självmant till den registrerade när uppgifter samlas in från denne själv och om information som skall lämnas efter ansökan av den registrerade, skall i huvudsak tillämpas vid behandling av per- sonuppgifter i verksamhet. Även personuppgiftslagens bestämmelser om rättelse av person- uppgifter skall tillämpas vid behandling av personuppgifter i verksamhet. Detsamma gäller bestämmelserna i personuppgiftslagen om skadestånd. beslut om rättelse och om information som skall lämnas efter begäran av en registrerad skall kunna överklagas hos allmän förvaltningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Behandling av uppgifter i brottsbekämpande verksamhet Enligt våra författningsförslag skall utöver de allmänna bestäm- melserna i 1 kap., som gäller vid all behandling av uppgifter enligt lagen, vissa särskilda bestämmelser gälla när uppgifter behandlas i brottsbekämpande verksamhet. Bestämmelser- na, som framgår av lagens 2 kap., överensstämmer i princip med motsvarande regler i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Förhindra eller upptäcka brottslig verksamhet Om det behövs för att förhindra eller upptäcka brottslig verksam- het får uppgifter om en person behandlas endast om det finns grundad anledning anta att personen har utövat eller kan komma att utöva allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt. Med allvarlig brottslig verksamhet avses verksamhet som kan antas innefatta brott för vilket är föreskrivet fängelse eller däröver, vilket innebär att fängelse skall ingå i straffskalan för det aktuella brottet. Med uppgifter om brottslig verksamhet som sker systematiskt avses uppgifter om personer som misstänks vara delaktiga i en organiserad brottslig verksamhet, utan att brottsligheten i det en- skilda fallet kan kategoriseras som allvarlig. Det kan t.ex. röra sig om en person som för in en mindre mängd cigaretter, vilka hade fått införas om de var avsedda för privat bruk. Personen i fråga gör dock så frekventa resor att den totala mängden infört gods ger an- ledning att anta att det inte är för privat bruk utan för återför- säljning, s.k. myrtrafik, som införseln sker. För att kunna bedriva en effektiv brottsbekämpande verksamhet måste det enligt vår mening även finnas viss möjlighet att behandla information som inte avser den misstänkte personen själv, men som ändå har koppling till den misstänkta brottsliga verksamheten. I ett ärende som rör viss preciserad allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt får därför upp- gifter om personer som kan antas ha samband med verksamheten behandlas. Dock får endast de personer som arbetar med ärendet ges direkt tillgång till uppgifterna. Om uppgifterna inte direkt kan hänföras till en person får därut- över även behandlas uppgifter som avser transportmedel, varor eller hjälpmedel som kan antas ha samband med allvarlig brottslig verksamhet eller brottslig verksamhet som sker systematiskt. Utreda eller beivra brott m.m. skall i sin verksamhet få behandla uppgifter om personer som förekommer i ett ärende om utredning eller beiv- rande av ett visst brott, oavsett skälet till att de förekommer i ärendet och oavsett om de är misstänkta eller inte. Av integritetsskyddsskäl bör dock endast de personer som arbetar med ärendet om utredande eller beivrande av visst brott få ha direkt tillgång till uppgifterna. Regeringen bör få meddela före- skrifter om att flera får ha tillgång till vissa särskilda kategorier av uppgifter, t.ex. uppgifter om beslag, påföljd eller andra uppgifter som har anknytning till en brottsutredning. För att säkerställa integritetsskyddet vid behandlingen av uppgifter och handlingar i förundersökningar och andra ärenden avseende brottsutredningar, skall uppgifter om en fysisk person som inte själv är misstänkt för brott förses med upplysning om att sådan misstanke saknas. Uppgifter om en person som kan antas ha samband med brottslig verksamhet skall förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Uppgifter och handlingar som får göras gemensamt tillgängliga i den brottsbekämpande verksamheten Hos myndigheter behandlas personuppgifter med datorstöd på i huvudsak två principiellt och tekniskt skilda sätt. För det första används persondatorer på så sätt att endast ett fåtal personer kan ta del av informationen, t.ex. enskilda tjänstemän som upprättar promemorior och beslutsunderlag m.m. samt skickar och tar emot e-post. För det andra används i stor utsträckning allmänt åtkomliga datorregister i form av gemensamma system med information som behövs i myndighetens verksamhet. Som framgått tidigare är det vår mening att båda dessa former av behandling i princip skall omfattas av samma reglering.