sou · GWB387 · 2008-10-09 00:00:00 — Ett alternativ till register är begreppet databas, som förekommer i olika sammanhang vid reglering av myndig- heters behandling av personuppgifter, bl.a. används begreppet i den förhållandevis nya lagen om behandling av uppgifter i brottsbekämpande verksamhet. Begreppet databas, som språkligt har mer anknytning till automatiserade sammanställningar av upp- gifter, är i det här sammanhanget att föredra framför register. Begreppet databas, som på förslag av Registerförfattningsutred- ningen ursprungligen infördes i svensk lagstiftning för behandling av uppgifter inom skatte-, tull- och exekutionsväsendet, avser något annat än egentliga register.TPF4FPT En databas består enligt defini- tionen av en uppgiftssamling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den kan innehålla ett antal egent- 4TP PT Se SOU 1999:105 och prop. 2000/01:33. Övergripande frågor och principer liga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska färdiga handlingar i form av texter eller bilder m.m. Definitionen av begreppet databas ute- sluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en persondator från behandlingar i datorsystem som är särskilt reglerade till sitt inne- håll och användningsområde. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling av uppgifter är upp- byggd eller organiserad. Det innebär att om flera register – i egent- lig bemärkelse – är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. Med andra ord skulle automatise- rade register kunna sägas vara en specialform av databaser, nämli- gen databaser vars innehåll är systematiserade på ett visst sätt enligt särskilda kriterier. En juridiskt bestämd databas kan således inne- hålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Om samtliga uppgifter i en databas finns samlade i ett enda tekniskt datorsystem eller om upp- gifterna delas upp så att de rent tekniskt förvaras i olika dator- system saknar alltså betydelse. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av myndigheternas verksamheter och för vilket eller vilka ändamål behandlingen sker. För det ändamål som här avses, nämligen att rättsligt särskilja olika former av behandling av personuppgifter, utgör tillämpningen av begreppet databas enligt vår mening på många sätt en utomordent- lig lösning. Det går emellertid inte att komma ifrån att begreppet databas för många som ska tillämpa lagstiftning som reglerar behandling av personuppgifter är svårförståeligt och har en stark teknisk anknyt- ning. På motsvarande sätt som det traditionella registerbegreppet för tankarna till på visst sätt organiserade eller systematiserade uppgiftssamlingar kan begreppet databas enligt vår mening framstå som syftande på ett i tekniskt avseende avgränsat system för informationsbehandling. Termen databas används också flitigt, såväl hos myndigheter som i andra sammanhang, för att med utgångspunkt i själva lagringsmetoden definiera en viss uppgifts- samling. Vi har mot denna bakgrund övervägt om begreppet data- bas bör införas i den lagstiftning vi föreslår för åklagarväsendets uppgiftsbehandling i den brottsbekämpande verksamheten, eller om ett annat uttryck bör tillämpas, vilket fyller samma funktion Övergripande frågor och principer men som på ett tydligare sätt tar sikte mer på den rättsliga avgräns- ningen än på den tekniska funktionen. I förarbetena till den nämnda lagstiftningen avseende behand- ling av personuppgifter inom beskattnings-, tull- och exekutions- verksamheterna har uttrycket används gemensamt i verksam- heterna tillämpats för att markera att särskilda regler ska gälla för viss form av behandling. En uppgift anses här gemensamt tillgäng- lig om den registreras och lagras på ett sådant sätt att tjänste- männen inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang ta del av uppgiften direkt på auto- matiserad väg. Detta förhållande sammanfattas i nämnda lagstift- ning med begreppet databas. I förslaget till ny lag för Kustbevak- ningens personuppgiftsbehandling i betänkandet personuppgiftsbehandling Integritet – Effektivitet och förslaget till ny polisdatalag i promemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet används begreppet gemen- samt tillgängliga. Funktionen hos begreppet är densamma som beskrivits ovan. Det väsentliga i sammanhanget är enligt vår mening inte på vilket sätt uppgifter tekniskt lagras, utan den faktiskt åsyftade till- gängligheten. Vi anser mot bakgrund härav att den form av behandling som ska särskiljas ska definieras med avsikt på det fak- tiska förhållande som är avgörande för behovet av särreglering, nämligen att uppgifterna är gemensamt tillgängliga i verksamheten. Med denna formulering avses alltså detsamma som ovan redovisats vad gäller begreppet databas. Avsikten med att tillämpa uttrycket gemensamt tillgänglig, i stället för det rättsliga begreppet databas, är att undanröja risken för sammanblandning med det tekniska begreppet databas. Sam- tidigt understryks, enligt vår mening, lagstiftningens teknikneutra- litet genom att uttrycket gemensamt tillgänglig uteslutande har en rättslig innebörd som saknar direkt teknisk anknytning. Avgräns- ningen gemensamt tillgänglig innebär att den rättsliga regleringen uttryckligen tar sikte endast på den faktiska tillgängligheten till uppgifterna i verksamheten. Dessa tankegångar har som utgångspunkt att en lag om behand- ling av personuppgifter inte ska reglera hur uppgifterna tekniskt organiseras, utan endast utgöra en rättslig ram för vilka uppgifter som får behandlas och på vilket sätt de får användas, för att bl.a. säkerställa ett gott integritetsskydd. Enligt vår mening ska det inte i lagstiftningen läggas fast vilka uppgiftssamlingar för gemensam Övergripande frågor och principer användning som ska finnas i åklagarväsendets brottsbekämpande verksamhet och vad de ska heta (jämför i detta sammanhang lagen om behandling av uppgifter i brottsbekämpande verk- samhet enligt vilken det ska finnas en tullbrottsdatabas). Detta innebär att regleringen av uppgifter som är gemensamt tillgängliga i åklagarväsendets brottsbekämpande verksamhet kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register och datorsystem, utan att det för den sakens skull anges hur uppgifterna ska organiseras eller delas in i grupper. Lagstiftningen tar därigenom inte ställning till den tek- niska utformningen. Det kan alltså i princip röra sig om ett stort centralt eller flera små lokalt anordnade datorsystem eller register eller en blandning av båda alternativen. Det väsentliga är att de krav lagen ställer på behandlingen för att säkerställa skyddet för de enskildas personliga integritet efterlevs. Det ligger dessutom en vinst i att myndigheternas registerförfattningar, och kanske särskilt då de som gäller för de brottsbekämpande myndigheterna, använ- der samma grundläggande begrepp. Gränsen för vad som är och inte är gemensamt tillgängliga uppgifter Den grundläggande faktorn för att bedöma om en uppgift ska anses vara gemensamt tillgänglig eller inte, är enligt vår mening storleken på personkretsen som har faktisk möjlighet och rättslig behörighet att ta del av uppgiften. Möjligheten att påverka uppgiften spelar inte någon roll för bedömningen. Att olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer förtar i sig inte uppgifternas egenskap som gemensamma. Detsamma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en regional del av en myndighet. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ordbehandling, och som nor- malt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn ska användas av andra än dem som utför behandlingen.TPF5FPT 5TP PT Se prop. 2000/01:33 s. 89 f. Övergripande frågor och principer Vad som kan komma att göras gemensamt tillgängligt i åklagar- väsendets brottsbekämpande verksamhet är i princip organiserade sammanställningar av personuppgifter (personregister) som används som underlag för beslutsfattande m.m., men även hand- lingar som inkommit eller upprättats i ett ärende och som lagrats elektroniskt för användning i ett ärendehanteringssystem. Detta innebär att vanlig ordbehandling och e-posthantering där avsikten är att endast enstaka tjänstemän ska ha tillgång till upp- gifterna i de aktuella dokumenten inte innebär att uppgifterna anses vara gemensamt tillgängliga i verksamheten. Det faktum att en systemadministratör eller andra tjänstemän vid myndigheten kan få tillgång till en uppgift genom ett visst tekniskt förfarande medför inte heller att uppgiften är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en handling som innehåller exempelvis ett koncept till ett beslut i ett ärende och som av enstaka tjänstemän behandlas tillfälligt i en dator med det uttalade syftet att den senare ska göras gemensam att hand- lingen innan detta verkligen sker anses gemensamt tillgänglig i verksamheten. Som angetts ovan är enligt vår mening storleken på person- kretsen som har faktisk möjlighet och rättslig behörighet att ta del av en uppgift grundläggande för bedömningen av om en uppgift ska anses vara gemensamt tillgänglig eller inte. Vi menar dock att det inte är lämpligt att ange en allomfattande gräns för när person- kretsen ska medföra det ena eller andra utfallet av bedömningen. Enligt vår mening är det verksamheten vid den enskilda myndig- heten som ska vara avgörande för gränsen på storleken på person- kretsen. 11Författningsregleringen av behandling av uppgifter 11.1Lagstiftningens systematik och allmänna tillämpningsområde m.m. Våra förslag: Den gällande förordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet ska upp- höra att gälla och ersättas med en lag om behandling av upp- gifter i åklagarväsendets brottsbekämpande verksamhet. Lagen ska utgå från personuppgiftslagens (1998:204) tillämpnings- område, begrepp och terminologi. I lagen ska anges de undan- tag, preciseringar och förtydliganden i förhållande till person- uppgiftslagen som är motiverade. I vårt uppdrag ingår att göra en översyn av sådan behandling av personuppgifter som sker inom och Eko- brottsmyndigheten (åklagarväsendet) i den brottsbekämpande verksamheten och lämna förslag till lag- och förordningsreglering inom området. Utgångspunkten för vårt arbete ska härvid vara att åklagarväsendets brottsbekämpande verksamhet ska kunna bedrivas så effektivt som möjligt med bl.a. användning av moderna och ändamålsenliga IT-system som enskilda personers integ- ritetsintressen tillvaratas. För att inte hindra framtida effektivise- ring av åklagarväsendets verksamhet bör författningsregleringen vara teknikneutral. Principiellt viktiga frågor bör regleras i lag, medan detaljfrågor kan regleras i förordningsform. och regeringen har i flera sammanhang uttalat att ett myndighetsregister som behandlar känsliga uppgifter om ett stort antal personer bör regleras i lag.TPF1FPT Detta har medfört att det beträf- 1TP PT Se bet. 1990/91:KU11 s. 11, bet. 1997/98:KU18 s. 43, prop. 1990/91:60 s. 58, prop. 1997/98:44 s. 40 f och rskr. 1997/98:180. Författningsregleringen av behandling av uppgifter fande samtliga brottsbekämpande myndigheter och domstolar antingen har införts eller kommer att införas lagstiftning om behandling av personuppgifter. Därtill anges i våra direktiv att endast grundläggande frågor bör regleras i lag, medan detaljfrågor lämpligen bör regleras i förordning, detta för att inte förhindra eller försvåra en framtida effektivisering och användning av den modernaste tekniken vid utveckling av åklagarverksam- heten. Vi föreslår därför att den nu gällande förordningen om behandling av personuppgifter inom åklagarväsendet ska ersättas av en reglering i lagform. Det finns ingen enhetlig systematik bland de s.k. registerför- fattningar som gäller inom skilda myndighetsområden. Vilken systematik som väljs kan vara beroende av olika faktorer, t.ex. hur omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för personuppgiftslagen. Av våra direktiv framgår att vi ska ta hänsyn till hur personupp- giftsregleringen kommer att utformas för andra brottsbekämpande myndigheter samt för domstolarna. Vi ska därvid särskilt följa arbetet med de lagstiftningsärenden och annat författningsarbete som föranleds av förslag till ny polisdatalag (SOU 2001:92), slutbetänkande (SOU 2001:100), Utredningen om personuppgifts- behandling (SOU 2006:18) och Utredningen om översyn av Eko- brottsmyndigheten (SOU 2007:8). När det gäller författningsstrukturen såväl som bestämmelser- nas materiella innehåll, har vi valt att försöka utforma en lagstift- ning för behandling av uppgifter i åklagarväsendets verksamhet som i så stor utsträckning som möjligt stämmer överens med den som tillämpas för brottsbekämpande verksam- het, dvs. lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet samt de lagförslag som lämnats i betänkandet av Utredningen om personupp- giftsbehandling och i promemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet (Ds 2007:43). Med hänsyn härtill gäller vårt författningsförslag i stället för personuppgiftslagen. Lagen är vidare generellt tillämplig på all behandling av uppgifter, oavsett om behandlingen av uppgifter sker hos en enskild tjänsteman eller i ett register eller databas där upp- gifter och handlingar är gemensamt tillgängliga i verksamheten. Det innebär att lagens bestämmelser ska tillämpas på all behandling av uppgifter i åklagarväsendets brottsbekämpande verksamhet, oav- Författningsregleringen av behandling av uppgifter sett om det gäller e-posthantering, enkel ordbehandling eller förandet av omfattande för åklagarväsendet gemensamma person- register. De generellt tillämpliga bestämmelserna kompletteras emellertid med vissa särskilda bestämmelser när det gäller vilka uppgifter som får göras gemensamt tillgängliga i den brottsbekäm- pande verksamheten. Vi har funnit det ändamålsenligt att dela in lagen i tre kapitel. I det första kapitlet finns generella bestämmelser som gäller för all behandling av uppgifter oavsett ändamål. I andra kapitlet finns bestämmelser, som utöver reglerna i första kapitlet, reglerar behandlingen av uppgifter i åklagarväsendets brottsbekämpande verksamhet. I det tredje kapitlet finns särskilda bestämmelser för behandling av personuppgifter som är gemensamt tillgängliga i åklagarväsendets brottsbekämpande verksamhet. Våra förslag: Den lag som reglerar behandlingen av uppgifter i åklagarväsendets verksamhet ska tillämpas vid behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling av personuppgifter i register ska omfattas av lagens tillämpningsområde. De bestämmelser i lagen som reglerar ändamålen med och ansvaret för behandlingen, utlämnande av uppgifter på medium för automatiserad behandling eller genom direktåtkomst samt gallring, ska vara tillämpliga även vid behandling av uppgifter om juridiska personer. Den lag vi föreslår ska inte vara tillämplig vid sådan behand- ling av personuppgifter som regleras av polisdatalagen (1998:622). Bestämmelsen om att åtkomst endast får medges till de upp- gifter som var och en behöver för att kunna fullgöra sina arbets- uppgifter gäller även vid andra myndigheters behandling av upp- gifter som med stöd av lagen lämnats ut genom direktåtkomst till dessa myndigheter. Författningsregleringen av behandling av uppgifter Åklagarväsendet består, som framgått ovan, av Åklagarmyndig- heten och . verksamhetsområde är utredning och lagföring. Dessutom finns, som vid alla myndigheter, en intern administrativ verksamhet. Verksamhetsområdet regleras i första hand genom bestämmelserna i åklagarförordningen (2004:1265), förordningen (2007:971) med instruktion för samt 7 och 23 kap. . verksamhetsområden är utredning och lagföring samt även brottsförebyggande arbete. Myndigheten har därtill en intern administrativ verksamhet. Verksamhetsområdet regleras i första hand genom bestämmelserna i åklagarförordningen och förordningen (2007:972) med instruktion för Ekobrottsmyn- digheten. Även 7 och 23 kap. är av betydelse. Den enskilde åklagarens huvudsakliga uppgifter på operativ nivå är att leda förundersökningar, att besluta i åtalsfrågor och att vid domstol föra talan om brott. Åklagarna har dessutom behörighet att under vissa förutsättningar fatta beslut om bl.a. förundersök- ningsbegränsning, åtalsunderlåtelse, vissa straffprocessuella tvångs- medel samt utfärda strafförelägganden. En åklagare har även andra särskilda uppgifter enligt exempelvis lagen (1988:688) om besöks- förbud, lagen (2005:321) om tillträdesförbud vid idrottsarrange- mang och lagen (2005:500) om erkännande och verkställighet inom Europeiska unionen av frysningsbeslut. Nämnda uppgifter är till- delade åklagaren och inte den myndighet som han eller hon är anställd vid. och verksam- hetsområden utredning och lagföring omfattas av vårt lagförslags tillämpningsområde. Lagen innehåller särskilda bestämmelser som anger för vilka ändamål uppgifter får behandlas enligt lagen. Utanför lagens tillämpningsområde faller behandling av person- uppgifter i samband med de interna och administrativa åtgärder som kan förekomma i och Ekobrottsmyn- dighetens verksamhet. Som exempel på administrativa arbetsområ- den kan nämnas personal- och lokalfrågor. Vi anser det inte nöd- vändigt med en specialreglering för att kunna hantera behandlingen av personuppgifter i den administrativa verksamheten. Personupp- giftslagen är tillämplig på sådan behandling. En reglering av per- Författningsregleringen av behandling av uppgifter sonuppgiftsbehandling i verksamhet som rör intern administration faller också utanför vårt uppdrag. Behandling som omfattas m.m. Enligt vår uppfattning bör lagen om behandling av uppgifter i åkla- garväsendets brottsbekämpande verksamhet omfatta sådan grund- läggande behandling som omfattas av personuppgiftslagen. Här- med avses helt eller delvis automatiserad behandling av personupp- gifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Eftersom det förutom åklagarverksamhet även bedrivs polisiär verksamhet vid bör det av den nya lagen framgå att denna inte omfattar sådan behandling av personuppgif- ter som regleras av polisdatalagen. Personuppgiftslagen gäller endast vid behandling av personupp- gifter, dvs. all slags information som direkt eller indirekt kan hän- föras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte alls omfattas av lagen. och behandlar i sina verksamheter stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. företag, myndigheter och andra organisationer som förekommer i ärenden. Dessa kategorier av juridiska personer har av naturliga skäl inte samma behov av integ- ritetsskydd som levande fysiska personer, men det kan enligt vår uppfattning ändå finnas anledning att låta dem omfattas av regleringen när det gäller vad myndigheterna inom åklagarväsendet får och inte får registrera i sina datorsystem och hur uppgifterna sedan får användas. Vi föreslår därför att även juridiska personer ska omfattas av de bestämmelser i lagen om behandling av uppgifter i åklagarväsendets brottsbekämpande verksamhet som anger ändamålet med och ansvaret för behandlingen. Även bestämmelser om utlämnande av uppgifter på medium för automatiserad behandling eller genom direktåtkomst samt gallring ska omfatta juridiska personer. Som en grundläggande förutsättning när det gäller skyddet för enskildas personliga integritet gäller enligt den lag vi föreslår att åtkomst endast får medges till de uppgifter som var och en behöver Författningsregleringen av behandling av uppgifter för att kunna fullgöra sina arbetsuppgifter. Det åligger således och att begränsa till- gången till uppgifter för myndighetens tjänstemän i enlighet här- med. Det är dock inte bara tjänstemän hos myndigheterna inom åklagarväsendet som behöver tillgång till de uppgifter som behandlas i åklagarväsendets verksamhet. Mellan de brottsbekäm- pande myndigheterna finns behov av ett omfattande informations- utbyte. Även vid dessa myndigheters behandling är det av vikt att åtkomsten till uppgifterna begränsas till vad tjänstemännen vid respektive myndighet behöver för att kunna utföra sina arbetsupp- gifter. I förarbetena till lagen om behandling av uppgifter i brottsbekämpande verksamhet uttalas att den särskilda bestämmel- sen om att åtkomsten till den s.k. tullbrottsdatabasen ska begränsas till vad var och en behöver för att kunna utföra sina arbetsuppgifter även gäller när anställda vid andra myndigheter har direktåtkomst till tullbrottsdatabasen.TPF2FPT Denna tillämpning går emellertid inte att utläsa av lagen, som enligt sin ordalydelse endast gäller vid Tullver- kets behandling av uppgifter. Däremot gäller enligt 8 § i den till lagen knutna förordningen (2005:791) om behandling av uppgifter i brottsbekämpande verksamhet att direktåtkomst ska vara förbehållen de personer inom myndigheterna som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. En bestämmelse med motsvarande innehåll återkommer i förslaget till ny polisdatalag i promemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet. Som skäl för förslaget anges att stora informationsmängder, som är samlade så att upp- gifter är enkelt sökbara på elektronisk väg, allmänt sett utgör en betydande risk för intrång i den personliga integriteten, särskilt om det rör sig om känsliga uppgifter. Den föreslagna lagen har därför byggts på principen att enbart de som behöver uppgifterna för att fullgöra sitt arbete ska ha tillgång till dem.TPF3FPT Vi anser att motsvarande ansvar för att begränsa åtkomsten ska gälla för andra myndigheter som har direktåtkomst till uppgifter i åklagarväsendets brottsbekämpande verksamhet. Enligt vår mening framstår det nämligen som orimligt att och ska ha ansvar för den interna åtkomsten till uppgifter inom t.ex. polisen eller efter att uppgifter överlämnats dit genom direktåtkomst. Ett sådant ansvar bör enligt 2TP PT Se prop. 2004/05:164 s. 88. 3TP PT Se Ds 2007:43 s. 125. Författningsregleringen av behandling av uppgifter vår mening åligga respektive myndighet. Vi lämnar därför särskilda författningsförslag med denna innebörd. Av den lag vi föreslår framgår därmed uttryckligen att en myn- dighet som har direktåtkomst till uppgifter som Åklagarmyndig- heten eller behandlat och lämnat ut med stöd av lagen har ansvar för att myndighetens tjänstemän endast får åtkomst till de uppgifter som var och en behöver för att kunna full- göra sina arbetsuppgifter. Våra förslag: Lagen om behandling av uppgifter i åklagarväsen- dets brottsbekämpande verksamhet ska gälla i stället för per- sonuppgiftslagen. Detta innebär att bestämmelser i personupp- giftslagen ska tillämpas på behandling av personuppgifter i åkla- garväsendets verksamhet endast när det anges särskilt.