prop · GX0385 · 2010-01-08 00:00:00 — 2009/10:85 advokatsamfund anser att den föreslagna regleringen har utformats så att verkningarna från integritetsskyddssynpunkt blir synnerligen svåra att överblicka och att dessa behöver genomlysas ytterligare innan en ny reglering införs. förordar ett mer samlat grepp för att komma till rätta med både det alltför stora antalet skilda lagar om myn- digheters personuppgifts- och registerhantering och den bristande över- ensstämmelsen mellan grundläggande begrepp i dessa lagar. Justitie- kanslern anser att det är svårt att bedöma förslaget på grund av brister i redovisningen av avvägningen mellan verksamhetsbehov och integri- tetsintressen. Justitiekanslern anser sig därför inte med tillräcklig grad av säkerhet kunna ställa sig bakom de enskilda förslagen i promemorian. anser sig Justitiekanslern inte ha tillräcklig grund för att rikta konkreta invändningar mot förslagen annat än vad gäller vissa gallrings- frister och personuppgiftsbehandling vid vissa yttrandefrihets- och tryck- frihetsbrott. Skälen för regeringens bedömning och förslag Information är en av polisens viktigaste resurser för att uppnå statsmak- ternas mål i det brottsbekämpande arbetet. är modern informationsteknik en naturlig del i polisens arbete och utförs praktiskt taget allt polisarbete mer eller mindre med hjälp av sådan tek- nik. En väl utnyttjad informationsteknik är därför av stor betydelse för polisens möjligheter att bedriva sin verksamhet på ett effektivt och rätts- säkert sätt. måste informationshanteringen ske med respekt för enskildas integritet. Som både och promemorian framhåller uppfyller dagens lagstiftning om behandling av personuppgifter i polisens brotts- bekämpande verksamhet inte de krav som polisens verksamhet ställer på automatiserad behandling av uppgifter. Det finns även brister vad gäller skyddet för den personliga integriteten. En reform är därför nödvändig. Även remissinstanserna instämmer i behovet av reformering av gällande lagstiftning. Polisdatalagen reglerar bara delar av personuppgiftsbehandlingen En svaghet i den nuvarande regleringen är bl.a. att den bara täcker delar av personuppgiftsbehandlingen i den brottsbekämpande verksamheten. När polisdatalagen trädde i kraft fördes ett stort antal av polisens register med stöd av Datainspektionens tillstånd enligt den nu- mera upphävda datalagen. För att få möjlighet att anpassa dessa register till den nya lagstiftningen tilläts polisen att fort- sätta att föra dem med stöd av de äldre bestämmelserna. Flera av regist- ren har dock inte anpassats till polisdatalagen och bedömningen har gjorts att de inte kan föras med stöd av den lagen utan anpassning. Över- gångsbestämmelserna till polisdatalagen har därför successivt förlängts för att möjliggöra fortsatt behandling i registren, senast till utgången av (prop. 2009/10:23). Ett flertal av polisens register förs således fortfarande med stöd av den upphävda datalagen och Datainspektionens tillstånd. Som Datainspek- tionen framhåller innebär detta att polisens personuppgiftsbehandling styrs av två parallella regleringar, vilket skapar såväl tillämpningspro- blem som en svåröverskådlig registerstruktur hos polisen. Det behövs därför en ny reglering som ersätter de nuvarande parallella systemen. Behovet av en teknikneutral lagstiftning Polisen lagrar personuppgifter i ett stort antal olika databaser. Samma personuppgift kan lagras på flera olika ställen, i olika register och ären- dehanteringssystem. gör bedömningen att detta sätt att hantera uppgifter kan leda till kvalitetsbrister, vilket påtalas av styrelsen i en skrivelse till (dnr Ju2007/478/PO). Rikspolis- styrelsen framhåller där att den nuvarande lagstiftningen bl.a. resulterat i en dubbel eller flerdubbel lagring av identiska personuppgifter. Samma eller i det närmaste samma uppgifter lagras i flera system eller register där syftet med behandlingen till vissa delar kan skilja sig åt. Detta för med sig att det uppstår en inkonsistens i informationen. Enligt Rikspolis- styrelsen är det i princip omöjligt för en informationsägare eller enskild handläggare att känna till alla de system där information om en person finns lagrad för att bl.a. genomföra rättningar och gallringar. I huvudsak samma uppgifter i olika register görs tillgängliga för den användare som getts behörighet till registren. påtalar att detta förhål- lande sammantaget med dubbellagring i ett stort antal register innebär att många enskilda handläggare har eller kan få tillgång till ett stort antal register och därmed också tillgång till mer information än vad som ur- sprungligen varit avsett. Detta försvårar också möjligheterna att kunna utreda vilken information en tjänsteman har eller har haft tillgång till. konstaterar att lagstiftarens ambition att med de meto- der som valts skapa begränsningar för att skydda den enskildes integritet kan te sig fullgott men fungerar i praktiken mindre bra såväl för använda- ren som till skydd för integriteten. Styrelsen planerar en modernisering av polisens datasystem. Tanken är att de uppgifter som behandlas i poli- sens verksamhet ska lagras gemensamt på en plats i stället för i separata register. Uppgifterna ska alltså i princip inte registreras och lagras mer än en gång. Tillgången till uppgifterna ska i de allra flesta fall inte såsom i polisens nuvarande system vara beroende av att en uppgift finns i ett särskilt register utan vara avhängigt andra kriterier, hänförliga till upp- gifterna som sådana och till användarens behörighet. Enligt Rikspolissty- relsen kommer det planerade datasystemet att möjliggöra ett bättre integ- ritetsskydd. Det blir bl.a. lättare att bygga upp behörighetssystem som gör det möjligt att enklare avgränsa en enskild tjänstemans tillgång till de uppgifter som han eller hon behöver för att kunna utföra sina arbetsupp- gifter. Tjänstemannens behov av information kan därigenom tillgodoses på ett rättssäkert sätt. En annan fördel är att det blir enklare att hålla lag- rad information uppdaterad och tillförlitlig, eftersom utgångspunkten är att varje uppgift ska lagras endast en eller ett fåtal gånger. gifter bevaras i systemet längre än nödvändigt minskar också. Enligt kommer det över huvud taget att bli lättare att med det nya systemet avgränsa, kontrollera och övervaka all elektronisk tillgång till uppgifter. arbete med att förändra polisens datasystem har redan inletts. För att styrelsen ska kunna fullfölja det arbetet krävs det en mera teknikneutral lagstiftning som är mindre knuten till registerbegrep- pet än vad som är fallet med gällande rätt. Med en mera teknikneutral lagstiftning överlåts i större utsträckning till polisen att avgöra hur in- samlade uppgifter ska struktureras och göras åtkomliga i verksamheten. Utvecklingen går generellt mot att behandling av personuppgifter i tra- ditionella register överges. Både registerbegreppet och begreppet databas har kritiserats i tidigare lagstiftningsärenden. Som exempel kan nämnas propositionen om brottsbekämpning Effektivare uppgifts- behandling (prop. 2004/05:164 s. 60 f.). Skälen för detta är bl.a. att be- greppen leder tanken till ett visst, i tekniskt avseende avgränsat, infor- mationssystem där informationen har strukturerats på ett visst sätt. Be- handling av personuppgifter kommer i större utsträckning att ske i avancerade ärendehanteringssystem som länkas samman med var- andra, ibland med digital dokumenthantering. I sådana system kan in- formation struktureras på ett sådant sätt att systemet utöver att tjäna som ett verksamhetsstöd för ärendehanteringen även i praktiken tillgodoser samma behov som traditionella personregister genom att olika sökin- gångar skapas. Det huvudsakliga syftet med insamlingen av personupp- gifter är i dessa fall utförandet av en viss arbetsuppgift, inte att registrera uppgifterna i ett personregister. Det finns uppenbara nackdelar med att som behandla personupp- gifter inom polisen i ett stort antal separata register. I en sådan struktur är det svårt att hålla alla uppgifter korrekta och uppdaterade. Det är vidare otidsenligt och resurskrävande att registrera samma uppgift och att förvalta och administrera ett flertal olika system. Som Rikspolis- styrelsen framhåller är det mera ändamålsenligt att skapa ett system där utgångspunkten är att varje uppgift lagras endast på ett ställe och därifrån görs tillgänglig för olika berättigade ändamål. Uppgifter lagras då i större utsträckning i det sammanhang som de lagligen samlades in. Därmed blir det lättare att hålla en uppgift korrekt och uppdaterad som det blir tydligare för den som får åtkomst till uppgiften varför uppgiften har samlats in och behandlas inom polisen. Utgångspunkten bör således vara att skapa en så teknikneutral och flexibel lagstiftning som möjligt för polisens behandling av personupp- gifter i den brottsbekämpande verksamheten. Ingen remissinstans har ifrågasatt denna utgångspunkt. Med en sådan lagstiftning skapas också möjligheter att komma till rätta med de av påtalade problemen beträffande bl.a. dubbellagring, tillgång till information, rät- telse och gallring som dagens regelverk för med sig. Den nya lagen bör således ge ramarna för polisens personuppgiftsbe- handling utan att närmare reglera formerna för behandlingen. Detta inne- bär dock inte att polisen själv ska få avgöra vilken personuppgiftsbe- handling som ska vara tillåten. En mer teknikneutral lagstiftning förut- sätter att det i syfte att värna den personliga integriteten införs be- stämmelser som reglerar polisens möjlighet att behandla personuppgifter. Vidare måste det ställas höga krav på kontroll och tillsyn av verksamhe- Prop. 2009/10:85 ten, både internt och externt. Bättre förutsättningar för brottsförebyggande arbete och informationsut- byte Ett effektivt brottsbekämpande arbete förutsätter att de brottsbekämpande myndigheterna har goda möjligheter att samla in och bearbeta informa- tion av olika slag. De uppgifter som behöver kunna samlas in och bear- betas är såväl uppgifter med anknytning till konkreta brott (dvs. uppgifter i brottsutredningar) som uppgifter som avser förväntad eller pågående brottslig verksamhet (dvs. uppgifter i kriminalunderrättelseverksamhet). Förutsättningarna för ett effektivt brottsbekämpande arbete har inte i alla avseenden beaktats vid utformningen av polisdatalagen, vilket lett till vissa tillämpningsproblem. Ett exempel är oklarheterna kring begreppet kriminalunderrättelseverk- samhet. Enligt den nuvarande lagstiftningen får uppgifter i sådan verk- samhet behandlas endast under vissa förutsättningar. om en särskild undersökning har inletts under ledning av Rikspolis- styrelsen eller en polismyndighet och det finns anledning att anta att all- varlig brottslighet har utövats eller kan komma att utövas, eller inom ramen för registrering i kriminalunderrättelseregister. Det har ifrågasatts om inte behandlingen av personuppgifter i vissa faktiskt existerande polisregister till viss del utgör kriminalunderrättelse- verksamhet i polisdatalagens mening. Behandlingen skulle därmed vara tillåten bara inom ramen för en särskild undersökning eller i kriminalun- derrättelseregister. Det är vidare osäkert i vilken utsträckning behandling av underrättelseuppgifter får ske lokalt, dvs. av en enskild tjänsteman genom användning av ordbehandling och e-post m.m. samt genom digital bild- och ljudupptagning. Det finns alltså behov av en reglering som undanröjer dessa och andra oklarheter. Utvecklingen av polisverksamheten förutsätter, vilket Rikspolisstyrel- sen poängterar, att polisen i större utsträckning tillåts att behandla per- sonuppgifter för brottsförebyggande ändamål. Sådan behandling sker främst inom ramen för kriminalunderrättelseverksamhet. Enligt äldre synsätt skulle polisens brottsbekämpande verksamhet väsentligen vara reaktivt inriktad. Utgångspunkten var att polisen skulle ägna sig åt att utreda misstankar om konkreta brott och att personer som inte var miss- tänkta för konkreta brott skulle lämnas i fred. Denna utgångspunkt har övergetts och polisen arbetar även proaktivt. Detta arbetssätt förutsätter behandling av uppgifter om misstankar mot enskilda personer redan vid en låg grad av misstanke och även om misstanken inte kunnat preciseras till att avse en viss specifik händelse eller gärning. Polisen har utvecklat en modell för ledning och styrning av verksamheten där poli- sens kriminalunderrättelseverksamhet spelar en avgörande roll, polisens underrättelsemodell (PUM). Modellen innebär att de polisiära under- rättelser och de analyser som kriminalunderrättelseverksamheten tar fram ska ligga till grund för ledningens prioriteringar och inriktning av den operativa verksamheten. Kunskapen används för att polisen på alla nivåer ska kunna göra riktiga prioriteringar och använda adekvata operativa metoder och resurser för olika typer av problem. Som Polisdatautred- Prop. 2009/10:85 ningen konstaterar ligger det i sakens natur att en brottsförebyggande arbetsmetod innebär en ökad risk för intrång i den enskildes personliga integritet jämfört med ett reaktivt arbetssätt, men att detta måste vägas mot effektiviteten i brottsbekämpningen (SOU 2001:92 s. 113). Rege- ringen delar denna uppfattning och anser vid en samlad bedömning att polisen bör ges ökat utrymme att behandla information i sitt brottsföre- byggande arbete. Polisen bör generellt ges bättre möjligheter att utnyttja den information och kunskap som finns inom den samlade organisationen. Flera av poli- sens nuvarande register förs lokalt vid respektive polismyndighet och åt- komsten till registren begränsas i regel till tjänstemän vid den egna myn- digheten. Som exempel kan nämnas att polisen i princip endast har till- gång till de brottsanmälningar som gjorts i det egna polisdistriktet, efter- som varje polismyndighet har sitt eget register över brottsanmälningar (Rationell anmälningsrutin; RAR). På samma sätt förekommer det att olika organisatoriska enheter inom en myndighet inte har tillgång till insamlad information på ett effektivt och ändamålsenligt sätt. Samman- taget bör enligt regeringens mening polisen ges bättre möjligheter att ta till vara och tillgängliggöra den samlade informationen inom polisen. Utgångspunkten bör vara att behovet av information ska styra tillgången till uppgifterna. Tillgången ska inte vara beroende av var informationen har samlats in eller lagrats. Bättre förutsättningar för att samverka i brottsbekämpningen Från brottsbekämpningssynpunkt är det angeläget att samhällets samlade resurser används rationellt och effektivt. En väl utvecklad samverkan mellan de brottsbekämpande myndigheterna ger bättre förutsättningar att förhindra och klara upp brott, inte minst grova brott. Detta framhålls bl.a. i departementspromemorian Nationell mobilisering mot den grova orga- niserade brottsligheten överväganden och förslag (Ds 2008:38), i vil- ken lämnas förslag på åtgärder som syftar till att lägga grunden till en effektivare och mer uthållig bekämpning av den grova organiserade brottsligheten. En utgångspunkt för den nya lagstiftningen måste vara att, med beak- tande av befogade krav på skydd för enskildas integritet, var och en av de brottsbekämpande myndigheterna kan få tillgång till uppgifter från andra brottsbekämpande myndigheter, i den mån uppgifterna behövs i verk- samheten. Ett stort antal av remissinstanserna har välkomnat promemorians tyd- liga målsättning att möjliggöra ett utökat och mer effektivt informations- utbyte mellan de brottsbekämpande myndigheterna. Den grova brottsligheten är också ofta gränsöverskridande. Det inter- nationella polisiära samarbetet är därför av stor betydelse för möjligheten att bekämpa sådan brottslighet. har i olika internationella över- enskommelser förbundit sig att bistå andra länder med brottsbekämpande åtgärder av skilda slag. En ny reglering av polisens behandling av per- sonuppgifter i den brottsbekämpande verksamheten bör därför ge polisen goda möjligheter att utbyta information inom ramen för det internatio- Prop. 2009/10:85 nella samarbetet. En utvecklad samverkan är också utgångspunkten för det arbete som bedrivs av Rådet för rättsväsendets informa- tionsförsörjning (RIF). Arbetet syftar bl.a. till en gemensam säkerhets- och kommunikationslösning mellan myndigheterna i rådet. Bör promemorians förslag ligga till grund för lagstiftning eller krävs det ytterligare överväganden? Några remissinstanser kritiserar promemorians förslag. Datainspektio- nen, och Justitiekanslern anser bl.a. att pro- memorian brister i redovisningen av avvägningen mellan verksamhetsin- tressen och integritetsskyddsintressen. Både Datainspektionen och Sveri- ges advokatsamfund förordar att frågorna utreds ytterligare. Några re- missinstanser som i och för sig ställer sig bakom förslaget i stort, bl.a. Kammarrätten i och Säkerhetspolisen, pekar på att det är svårt att överblicka de sammantagna konsekvenserna av förslaget. Andra remissinstanser, bl.a. och , anser att promemorians lagförslag är för detaljerat och svårtillgängligt och att det i alltför stor utsträckning begränsar polisens möjlighet att behandla personuppgifter. Det finns flera skäl till att det är komplicerat att utforma lagstiftning som reglerar behandlingen av personuppgifter i polisens brottsbekäm- pande verksamhet. Polisens verksamhet består av en mängd disparata uppgifter. Polisen hanterar också i stor utsträckning integritetskänslig information. Det är svårt att hitta en optimal balans mellan verksam- hetsintressen och integritetsskyddsintressen. Det är därför inte förvå- nande att de brottsbekämpande myndigheterna å ena sidan och de myn- digheter som har till huvuduppgift att värna den personliga integriteten å den andra har framfört diametralt olika kritiska synpunkter mot förslaget. I och med att i stort sett all informationshantering inom polisen sker med stöd av datorer och att informationen i stor utsträckning innehåller personuppgifter är det ofrånkomligt att en personuppgiftslag påverkar polisens arbetssätt. En alltför detaljerad och begränsande reglering skulle enligt regeringens mening kunna försämra polisens förutsättningar att be- kämpa brott. Från integritetsskyddssynpunkt är det dock uteslutet att helt överlåta åt polisen att utifrån verksamhetsintressen själv avgöra vilken behandling av personuppgifter som bör få ske. En annan omständighet som gör lagstiftningsarbetet på området kom- plicerat är den ständigt pågående tekniska utvecklingen. Nya möjligheter att hantera information skapas fortlöpande vilket medför att bl.a. be- greppsbildning snabbt blir inaktuell. Äldre lagstiftning och i viss mån även dataskyddsprinciper utgår t.ex. i stor utsträckning från att person- uppgifter lagras och struktureras i särskilda register för särskilt angivna ändamål. Moderna system skapas inte på detta sätt. Utvecklingen går t.ex. mot att hela aktmaterial behandlas digitalt. En ny lagstiftning på området måste förhålla sig till att det numera finns tekniska möjligheter att lagra mycket stora mängder uppgifter under i stort sett obegränsad tid, att uppgifterna kan göras tillgängliga genom avancerade sökmotorer och att olika uppgiftssamlingar kan länkas samman på ett otal olika sätt, att uppgifterna kan göras tillgängliga via olika former av mobil utrustning, att insamling och överföring av ljud och bild kan ske digitalt och att uppgifter kan bearbetas i avancerade analyssystem. Det ligger i sakens natur att det inte i detalj går att lagreglera hur polisen och andra myndig- heter ska få hantera information digitalt. Utgångspunkten måste i stället vara att skapa generella bestämmelser till skydd för den personliga integ- riteten. Frågan är då om det behövs ytterligare beredningsunderlag i detta lag- stiftningsärende, vilket bl.a. Datainspektionen anser. Som underlag för arbetet finns dels betänkande, dels en departe- mentspromemoria som tagits fram inom . Såväl betänkandet som promemorian har remissbehandlats. Vid utarbetandet av departementspromemorian har man övervägt det som framkommit i remissvaren på betänkande. Likaså har betänkan- den och lagstiftning på angränsande områden studerats, t.ex. beträffande , och . Ett flertal bestämmel- ser i promemorians lagförslag svarar mot bestämmelser i motsvarande reglering för dessa myndigheter och förslagets struktur liknar i flera avse- enden bl.a. lagstiftning om behandling av uppgifter i dess brottsbekämpande verksamhet. Det beredningsunderlag som finns motsvarar väl det krav som bör ställas på underlaget i ett lagstiftnings- projekt av detta slag. Det saknas därför skäl att inhämta ytterligare be- redningsunderlag. Det kan dock finnas skäl att i annat sammanhang för- söka uppnå större enhetlighet i begreppsbildningen på registerlagstift- ningens område, vilket förordar. Flera remissinstanser framför uppfattningen att det är svårt att fullt ut överblicka de sammantagna konsekvenserna av en ny lagstiftning om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Att ställa ett sådant krav på en lagstiftning av detta slag låter sig dock svårligen göras. Komplex lagstiftning måste enligt regeringens mening kunna beslutas och genomföras utan att varje enskildhet kan förutses. Lagrådet har instämt i denna bedömning. Det är emellertid viktigt att lagstiftningen utvärderas, vilket diskuteras i avsnitt 17.3. Den kritik som framställs av remissinstanserna, både den mer över- gripande och den som rör enskildheter i förslaget, kommer att beröras i de följande avsnitten. En ny lag om behandling av personuppgifter inom polisen Personuppgiftslagen gäller generellt för all behandling av personuppgif- ter, såvida det inte finns en särskild registerförfattning för viss behand- ling. I det lagstiftningsärende som föregick personuppgiftslagen uttalade regeringen att lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodo- ses genom andra författningar (prop. 1997/98:44 s. 40 f.). Sådan författ- ningsreglering, genom s.k. registerlagar, har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör regleras i lag. Register- författningar finns för ett flertal olika myndigheters verksamheter, bl.a. för övriga myndigheter med brottsbekämpande uppgifter. För polisens Prop. 2009/10:85 del utgör bl.a. polisdatalagen en sådan lag. Det finns inget skäl att nu göra någon annan bedömning när det gäller behovet av en särlagstiftning för polisens behandling av personuppgifter i den brottsbekämpande verksamheten. Det bör alltså även i fortsättningen finnas en särskild lag för sådan behandling. För att bättre tillgodose kra- vet på en effektiv brottsbekämpande verksamhet som också väl tillgodo- ser skyddet för den personliga integriteten bör den nuvarande polisdata- lagen ersättas med en ny lag. föreslår att den nya lagen i likhet med den nuva- rande ska benämnas polisdatalag, medan promemorian föreslår ett namn som knyter an till benämningarna på de författningar som gäller bl.a. för personuppgiftsbehandling i och brottsbekäm- pande verksamhet, nämligen behandling av personuppgifter i polisens brottsbekämpande verksamhet. I lagrådsremissen benämns den nya lagen på det sätt som promemorian föreslår. Enligt Lagrådet är den föreslagna rubriken för lång och intetsägande och klargör inte att lagen handlar om registerfrågor. Ett alternativ som Lagrådet förordar är att lagen i likhet med den nuvarande lagen benämns polisdatalag. Regeringen har ingen invändning mot detta, eftersom det är praktiskt med ett kort namn som ändå ger rimlig vägledning om vad lagen handlar om. Då det också finns anledning att utgå från att den nya lagen i vardagligt språkbruk kommer att kallas polisdatalagen framstår den benämningen som lämpligast. Lagens syfte och skyddet för den personliga Regeringens förslag: Syftet med denna lag ska vara att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin