prop · GX0385 · 2010-01-08 00:00:00 — 2.till en enskild enligt vad som föreskrivs i säkerhetsskyddslagen (1996:627) samt i förordning som har meddelats med stöd i den lagen, 3. enligt vad som föreskrivs i 3. enligt vad som föreskrivs i lagen (1998:621) om misstan- lagen (1998:621) om misstan- polisdatalagen (1998:622), polisdatalagen (2010:000), lagen (1999:90) om behand- lagen (1999:90) om behand- ling av personuppgifter vid Skatte- ling av personuppgifter vid Skatte- verkets medverkan i brottsutred- verkets medverkan i brottsutred- lagen (2005:787) om behand- lagen (2005:787) om behand- ling av uppgifter i ling av uppgifter i förordningar som har stöd i förordningar som har stöd i dessa lagar, eller dessa lagar, eller 4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbal- ken. Sekretessen enligt 6 § hindrar inte att uppgift lämnas ut enligt vad som föreskrivs i polisdatala- gen (1998:622) och lagen (2000:344) om Schengens infor- mationssystem. Sekretessen enligt 6 § hindrar inte att uppgift lämnas ut enligt vad som föreskrivs i lagen (2000:344) om Schengens infor- mationssystem och polisdatalagen (2010:000). 1.Denna lag träder i kraft . 2.Äldre bestämmelser gäller fortfarande för uppgifter i sådana ärenden där handlingar omhändertagits för arkivering före ikraftträdandet av denna lag. Ärendet och dess beredning Polisdatalagen (1998:622), som trädde i kraft , innehåller bestämmelser om behandling av personuppgifter hos polisen. Den inne- håller de särskilda regler som, utöver bestämmelserna i personuppgifts- lagen (1998:204), har ansetts nödvändiga i polisens verksamhet. För frågor som inte regleras i polisdatalagen gäller således personuppgifts- lagen. Polisdatalagen utgör emellertid bara en del av den lagstiftning som reglerar behandlingen av personuppgifter i polisens verksamhet. Andra lagar som reglerar sådan behandling är bl.a. lagen (1998:620) om be- lastningsregister och lagen (1998:621) om misstankeregister. En stor del av den behandling av personuppgifter som sker hos polisen är dock inte författningsreglerad. Enligt övergångsbestämmelserna till polisdatalagen gäller den upphävda datalagen (1973:289) och Datainspektionens till- stånd fortfarande för de register som fördes med Datainspektionens tillstånd. Detta gäller flera av de stora polisregistren, t.ex. det allmänna spaningsregistret. Övergångsbestämmelserna har för- längts , senast till utgången av (prop. 2009/10:23, bet. 2009/10:JuU9, rskr. 2009/10:67). tillkallade den dåvarande regeringen en särskild utredare med uppdrag att följa genomförandet av den nya polisregister- lagstiftningen och påtala eventuella brister i regelverket. Utredaren skulle överväga om det behövde vidtas några åtgärder för att lagstiftningen skulle uppnå sitt syfte att skapa en effektiv brottsbekämpning och samti- digt värna om den enskildes personliga integritet. Utredningen antog namnet . överlämnade utredningen betänkandet Behandling av personuppgifter i polisens verksamhet (SOU 2001:92). En sammanfatt- ning av betänkandet finns i bilaga 1. Utredningens lagförslag har tagits in i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En remissammanställning finns till- gänglig i (dnr Ju2001/8624/PO). Remissinstanserna godtog i allmänhet förslag att polisdatalagen skulle ersättas med en helt ny reglering. I fråga om en- skildheter i förslaget var dock remissynpunkterna mera blandade. Flera remissinstanser efterlyste en närmare analys av olika delar av förslaget. Under den fortsatta beredningen av ärendet framkom att förslaget behöv- de ändras och kompletteras i flera olika avseenden. Inom Justitiedepar- tementet utarbetades därför departementspromemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet (Ds 2007:43). Promemorians lagförslag har tagits in i bilaga 4. Promemorian har re- mitterats. En förteckning över remissinstanserna finns i bilaga 5. En sammanställning av remissyttrandena finns tillgänglig i Justitiedeparte- mentet (dnr Ju2007/9805/PO). Den del av promemorian som rör en framställan från om att myndigheten i sin brottsbekämpande verksamhet ska få tillgång till uppgifter i belastningsregistret och misstankeregistret genom direktåt- komst (dnr Ju2005/319/PO) har behandlats i propositionen Några frågor om sekretess och tillgång till register (prop. 2008/09:152). (Försvarsdepartementet) pågår ett arbete med Prop. 2009/10:85 att ta fram ett förslag till en lag om behandling av Avsnittet i promemorian om person- uppgiftsbehandling bereds inom ramen för det lagstiftningsarbetet. Frå- gan kommer således inte att behandlas i detta lagstiftningsärende. Regeringen gav i uppdrag att bl.a. inventera de digitala register, ärendehanteringssystem och uppgifts- samlingar som helt eller delvis förs med stöd av polisdatalagen eller dess övergångsbestämmelser och som omfattas av förslagen i departements- promemorian med förslag till ny lag om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Inventeringen skulle även om- fatta nya datasystem som planeras att tas i bruk (dnr Ju2009/889/PO). I uppdraget ingick att redovisa vilka av data- systemen som inte utan förändringar skulle kunna föras med stöd av förslagen i departementspromemorian. redovisade uppdraget i denna del (dnr Ju2009/3375/PO). Inom ramen för Rådet för rättsväsendets informationsförsörjning (), som består av elva myndigheter i den s.k. rättskedjan, be- drivs ett arbete för att skapa ett elektroniskt informationsflöde som möj- liggör att viss information kan återanvändas av andra myndigheter i rättskedjan. En sådan ordning innebär stora effektivitetsvinster. Arbetet syftar till att införa en helt elektronisk ärendehantering. Härigenom blir det möjligt att lättare följa ett ärende från polisanmälan till verkställd dom. Det skapar bl.a. möjlighet att få en elektronisk återkoppling till polisen om en brottsutredning har lett till dom eller inte. Regeringen har beslutat att från ska ledas från genom expeditionschefen vid . Arbetet, som har intensifierats särskilt vad gäller informationsflödet och samar- betet mellan polisen, åklagarväsendet, , och , har praktisk betydelse för hur polisen ska bygga sitt nya IT-stöd. Regeringen beslutade att inhämta Lagrådets ytt- rande över de lagförslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga 8. Lagrådet har i allt väsentligt godtagit förslaget men också före- slagit vissa ändringar. Regeringens lagförslag har i huvudsak utformats i enlighet med vad Lagrådet har förordat. Lagrådets synpunkter behandlas i avsnitten 6.1, 6.2, 7.1, 10, 11.3, 14.4, 15.1, 17.3 och 19.3 samt i författ- ningskommentaren. Med anledning av Lagrådets synpunkter har det uppmärksammats att det behövs en hänvisning till 9 § andra stycket personuppgiftslagen i 4 § andra stycket förslaget till lag om polisens allmänna spaningsregister. En sådan hänvisning finns i liknande bestämmelser i andra registerlagar, se t.ex. 5 § andra stycket lagen (2009:619) om djurskyddskontrollregister. Vidare har vissa språkliga och redaktionella ändringar gjorts. Gällande rätt och internationella Grundläggande bestämmelser till skydd för den personliga integriteten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda männi- skans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. I 2 kap. 3 § andra stycket sägs att varje medborgare, i den utsträckning som anges i lag, ska skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. I den av regeringen framlagda propositionen En reformerad grundlag (prop. 2009/10:80) föreslås bl.a. att grundlagsskyddet för den personliga integriteten ska stärkas. Enligt en ny bestämmelse, som tas in i 2 kap. 6 § regeringsformen, ska var och en gentemot det allmänna vara skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskil- des personliga förhållanden. Skyddet mot intrång ska kunna begränsas i lag bara i den ordning som föreskrivs i 2 kap. regeringsformen. Det före- slås även att 2 kap. 3 § andra stycket regeringsformen ska upphävas. Lagändringarna föreslås träda i kraft . Personuppgiftslagen (1998:204) har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter. Lagen trädde i kraft . Genom lagen genomfördes och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) i svensk rätt. Personuppgiftslagen är tillämplig, om det inte i någon annan lag eller förordning har meddelats avvikande bestämmelser. Då gäller dessa. Direktivet omfattar däremot inte all personuppgiftsbehandling. Verksamhet som rör allmän säkerhet och statens verksamhet på straffrättens område omfattas t.ex. inte. har det utöver personuppgiftslagen utarbe- tats en stor mängd specialförfattningar med bestämmelser om behandling av personuppgifter, däribland polisdatalagen (1998:622). Syftet har varit att anpassa lagstiftningen till de särskilda behov som finns inom olika verksamhetsområden och göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för enskildas in- tegritet. Utöver en beskrivning av gällande rätt innehåller detta avsnitt en redo- görelse för aktuella internationella överenskommelser och rekommenda- tioner på dataskyddsområdet. Dessa instrument utgör en utgångspunkt för en ny lagstiftning om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Vidare redovisas några antagna beslut inom Europeiska unionen (EU) som rör informationsutbyte mellan medlemsstaterna. 4.2.1Europakonventionen och om medborgerliga och politiska rättigheter antog () den allmänna förklaringen om de mänskliga rättigheterna. De rättigheter som räknas upp i förklaringen har därefter vidareutvecklats bl.a. i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen) och FN:s konvention om medborgerliga och politiska rättigheter . Enligt artikel 8 i har var och en rätt till respekt bl.a. för sitt privat- och familjeliv. En offentlig myndighet får inte in- skränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I rekvisitet med stöd av lag ligger, utöver att intrånget ska ha stöd i nationell lag, att den åberopade lagen måste uppfylla vissa minimikrav i fråga om kvalitet och tydlighet. En rättighetsinskränkande tolkning av lagen ska kunna förutses och lagen ska vara allmänt tillgänglig. De syf- ten för vilka intrång tillåts har tolkats ganska extensivt av Europadom- stolen, men domstolen avgör också vad som kan anses nödvändigt för att tillgodose ett i och för sig legitimt syfte. Hela konventionen genomsyras av att åtgärder som innefattar intrång i en skyddad rättighet kan godtas endast om de är proportionerliga. Det innebär att intrånget måste svara mot ett angeläget samhällsbehov och stå i rimlig proportion till det syfte som ska uppnås. I artikel 13 i föreskrivs att var och en, vars i kon- ventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en nationell myndighet. Detta gäller även om kränkningen förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde ska ha tillgång till en nationell instans för att kunna få saken prövad och kunna få rättelse. Prövningen kan utföras av domstol, men något krav på domstolsprövning uppställs inte. Prövning av en stats regering eller av en förvaltningsmyndighet kan vara tillräckligt för att uppfylla konventionens krav på tillgång till ett effektivt rättsmedel. Även i FN:s konvention om medborgerliga och politiska rättigheter finns en bestämmelse till skydd för godtyckligt eller olagligt ingripande i någons privat- och familjeliv (artikel 17). Bestämmelser av betydelse för automatisk databehandling av personupp- gifter finns också i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskydds- Dataskyddskonventionen trädde i kraft . Samtliga medlemsstater i EU har ratificerat konventionen. Dataskyddskonventionens innehåll kan ses som en precisering av skyddet enligt artikel 8 i för enskilda vid automatisk databehandling. Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med behandling av per- sonuppgifter och att förbättra förutsättningarna för ett fritt informations- flöde över gränserna. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatisk databehandling ska häm- tas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare måste uppgifterna vara relevanta för ändamålen och får inte sena- re användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa typer av personuppgifter får, enligt konventionen, behandlas en- dast om den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana personuppgifter hör uppgifter som avslöjar ras, politisk tillhörig- het, religiös tro eller övertygelse i övrigt, hälsa, sexualliv samt uppgifter om brott. För att skydda personuppgifter mot bl.a. oavsiktlig eller otillåten för- störelse föreskriver konventionen att lämpliga skyddsåtgärder ska vidtas. Vidare föreskrivs att den registrerade ska ha möjlighet till insyn i register och till att få uppgifter rättade. I vissa fall får undantag göras från be- stämmelserna om uppgifternas beskaffenhet och rätten till insyn. Sådana inskränkningar förutsätter, enligt konventionen, stöd i den nationella lag- stiftningen och att inskränkningen är nödvändig i ett demokratiskt sam- hälle för vissa angivna ändamål, t.ex. statens ekonomiska intressen och brottsbekämpning, samt för att skydda enskildas fri- och rättigheter. Dataskyddskonventionens roll som grundläggande dokument för auto- matiserad behandling av personuppgifter inom EU har i princip överta- gits av dataskyddsdirektivet (avsnitt 4.2.5). Direktivet omfattar dock inte behandling av personuppgifter inom områden som allmän säkerhet, för- svar och statens säkerhet. På dessa områden är dataskyddskonventionen således fortfarande av betydelse. Såvitt gäller polissamarbete och straff- rättsligt samarbete finns numera också dataskyddsrambeslutet (avsnitt 4.4.1). antog ett tilläggsprotokoll till dataskyddskonventionen. Det innehåller bestämmelser om tillsynsmyn- digheter och överföring av personuppgifter till länder som inte är bundna av konventionen. undertecknade och ratificerade tilläggsproto- kollet . Tilläggsprotokollet trädde i kraft . Även för ekonomiskt samarbete och utveckling () har utarbetat internationella riktlinjer om integritetsskydd och persondataflöde över gränserna. Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som finns i dataskyddskonventionen. Utöver dataskyddskonventionen har tagit fram sektorsvisa rekommendationer om dataskydd, bl.a. en rekommendation, No. R (87) 15, som reglerar användningen av personuppgifter inom polissektorn. Rekommendationen innehåller speciella skyddsregler för personuppgifter som polisen samlar in, lagrar, använder eller överför med hjälp av auto- matiserad behandling i syfte att förhindra och bekämpa brott eller upp- rätthålla allmän ordning. Endast sådana uppgifter som är nödvändiga för att förhindra en verklig fara eller bekämpa ett visst brott får samlas in, om inte den nationella lagstiftningen tillåter ett mer omfattande uppgifts- samlande. Olika kategorier av lagrade uppgifter ska så långt som möjligt kunna skiljas från varandra efter graden av riktighet och tillförlitlighet. I synnerhet ska uppgifter som grundar sig på fakta kunna skiljas från upp- gifter som grundar sig på omdömen eller personliga värderingar. 4.2.4Europeiska unionens stadga om de grundläggande rättigheterna Lissabonfördraget innebär att Europeiska unionens stadga om de grund- läggande rättigheterna, tillkännagiven av parlamentet, rådet och kommis- sionen och anpassad , blir rättsligt bindande. Detta sker genom att en referens till stadgan införs i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). I stad- gan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grund- läggande fri- och rättigheter som EU redan erkänner. I artikel 8 i stadgan föreskrivs bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifter ska be- handlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Av artikel 51 i stadgan följer att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar EU- rätten. Stadgan är följaktligen inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. När det gäller de garanterade rättigheternas räckvidd anförs i artikel 52 i stadgan att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättighe- terna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyd- das av ska de ha samma innebörd och räckvidd som enligt konventionen. Stadgans artiklar får inte tolkas som att de inskrän- ker eller inkräktar på rättigheter enligt andra konventioner eller överens- Prop. 2009/10:85 kommelser om fri- och rättigheter. Dataskyddsdirektivet syftar till att garantera en hög och i alla medlems- stater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Med- lemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet omfattar således inte statens behand- ling av personuppgifter i brottsbekämpande verksamhet. Denna fråga kommer att behandlas närmare i avsnitt 6.4.1. Personuppgiftslagen, genom vilken dataskyddsdirektivet genomförts i svensk rätt, har emellertid gjorts generellt tillämplig och omfattar således även sådan verksamhet som faller utanför direktivets tillämpningsområde (prop. 1997/98:44, bet. 1997/98:KU18). Lagen, som trädde i kraft , innehåller de generella regler som krävs för genomfö- randet av direktivet. Lagen anger den grundläggande ramen för behand- ling av personuppgifter. Särreglering i lag eller förordning gäller emel- lertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som person- uppgiftslagen ger, är en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. fanns det grundläggande regler om inrättande och förande av personregister med hjälp av automatisk databehandling i datalagen (1973:289), som upphävdes när personuppgiftslagen trädde i kraft. I datalagen avsågs med personregister ett register, förteckning eller andra anteckningar som fördes med hjälp av automatisk databehandling och som innehöll personuppgift som kunde hänföras till den som avsågs med uppgiften. Bara den som anmält sig till Datainspektionen och fått licens fick inrätta och föra personregister. För att få registrera känsliga person- uppgifter krävdes, utöver licens, ett särskilt tillstånd från Datainspektio- nen. Ett sådant tillstånd behövdes t.ex. som regel för att inrätta och föra register med uppgifter om att någon misstänktes eller var dömd för brott, omdömen om den registrerade eller personuppgifter som hämtats från något annat register. Om ett personregister hade beslutats av eller regeringen, krävdes dock inget tillstånd. Genom personuppgiftslagen avskaffades det tidigare licens- och till- ståndsförfarandet. Utgångspunkten i personuppgiftslagen är att behand- ling av personuppgifter är tillåten i de fall och på de villkor lagen anger. Personuppgiftslagen innehåller generella riktlinjer för all behandling av personuppgifter. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, söka, bevara och sprida uppgifter. Lagen omfattar i princip endast be- handling av personuppgifter som är helt eller delvis automatiserad. 2009/10:85 behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig se till att personuppgifter behandlas bara om det är lagligt. Den personuppgiftsan- svarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för sär- skilda, uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktu- ella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare reglerar personuppgiftslagen, som nämnts, när behandling av uppgifter är tillåten. Detta är i princip fallet när den registrerade har läm- nat sitt samtycke eller när behandlingen är nödvändig av olika angivna skäl, bl.a. för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet och för att den personuppgiftsansvarige, eller tredje man till vilken personuppgifter lämnas ut, ska kunna utföra en arbets- uppgift i samband med myndighetsutövning. Personuppgiftslagen innehåller ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Det finns dock ett bemyndigande för regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om undantag från förbudet. Datainspektionen har meddelat sådana föreskrif- ter; 1998:3, jfr 9 § personuppgiftsförordningen (1998:1191). trädde vissa ändringar av personuppgiftslagen i kraft, som innebär att lagen i viss utsträckning har utformats enligt en s.k. missbruksmodell (prop. 2005/06:173).