prop · GX0385 · 2010-01-08 00:00:00 — ingen hos polisen nyckeln till en effektivare informationshantering inom Att polisens informationshantering är effektiv är således ett övergripande intresse för statsförvaltningen. Jämfört med den nuvarande regleringen innebär förslagen att polisen ges bättre förutsättningar att använda modern teknik i den brottsbekäm- Detta, i förening med förbättrade och förenklade möjligheter att lämna ut uppgifter både till andra brottsbekämpande myndigheter och till andra myndigheter i syfte att samverka mot brott, bör kunna leda till såväl en ökad brottsuppklarning som vissa ekono- De ekonomiska besparingarna kommer emellertid först när äldre system har kunnat ersättas. Vid redovisningen av det uppdrag till som beskrivs i avsnitt 3 har styrelsen försökt uppskatta kostnaderna för anpassningen av nuvarande system till en ny lagstiftning, men framhåller att de exakta kostnaderna inte kan anges utan närmare förstudier. även att man bör undvika kostnader för anpassning av system som man vet ska fasas ut och ersättas med nya system. Styrelsen förordar därför en generell övergångstid samt undantag från vissa av den nya polisdatalagens bestämmelser under . utgångspunkt uppskattar styrelsen kostnaderna för bl.a. ändrad teknik, inklusive förstudier, till sammanlagt , fördelat över tiden fram till dess att lagen har trätt i kraft i sin helhet. för anpassning av nuvarande fingeravtrycksregister är dock inte medräk- Den framtida utvecklingen av teknik och system för personuppgiftsbe- handling läggs i stor utsträckning i händerna på polisen, genom att lag- stiftningen inte längre i samma utsträckning som bygger på en reglering av vilka register som får föras. Den nya polisdatalagen reglerar ramarna för behandlingen. innehåller annan lagstiftning krav på polisens arbete som i många avseenden styr vilken personuppgiftsbe- handling som behövs. Utvecklingen när det gäller elektroniskt informa- tionsflöde i rättskedjan spelar också roll. Regeringen bedömer att den nya regleringen kommer att medföra vissa begränsade kostnader för änd- ringar i de nuvarande systemen. I avsnitt 19, som behandlar ikraftträdande- och övergångsbestämmel- Prop. 2009/10:85 ser, föreslås att den nya polisdatalagen ska träda i kraft och att några av lagens bestämmelser inte behöver tillämpas . Vidare föreslås särskilda övergångsbestämmelser för ett fåtal regi- ster. Härigenom tillgodoses krav för anpassning av datasystemen än den som föreslogs i promemorian, i syfte att minska kostnaderna. Vid planering och anskaffning av nya system ska den nya lagstiftningen beaktas. Några särskilda kostnader utöver vad som uppstår inom ramen för ordinarie utvecklingsarbete förutses inte. De kostnader som uppstår för polisen ska finansieras inom ramen för poli- sens anslag. Det vidgade tillsynsansvar som föreslås för Säkerhets- och integritets- skyddsnämnden kommer att medföra ökade kostnader för nämnden. Dessa kostnader ska finansieras inom ram på statsbudgeten. För Datainspektionens del innebär lagförslagen inte några nya uppgif- ter. Det förhållandet att en ny lagstiftning är mera komplex än den nuva- rande motiverar inte att myndigheten tillförs ytterligare resurser. Den begränsade samrådsskyldighet som diskuteras i avsnitt 17.2 bör kunna hanteras inom myndighetens ordinarie anslag. Några merkostnader för andra brottsbekämpande myndigheter förutses inte. Eventuella merkostnader ska dock finansieras inom befintliga ramar. Förslagen kommer att möjliggöra en effektivisering av polisens arbete med inhämtning, bearbetning och analys av information både i underrät- telseverksamheten och vid utredning och beivrande av brott. Vidare ska- pas bättre förutsättningar för att kunna nyttiggöra all den information som polisen förfogar över. Dessutom utökas möjligheterna att utbyta information mellan polisen och andra brottsbekämpande myndigheter, vilket också effektiviserar brottsbekämpningen. Förutsättningarna för polisen att tillsammans med andra myndigheter effektivt samverka mot brott förbättras också. Sammantaget kommer således reformen att ha en positiv effekt på det brottsförebyggande arbetet och skapa bättre för- utsättningar för polisen och övriga brottsbekämpande myndigheter att effektivt bekämpa brottsligheten. Förslagen bedöms inte ha några konsekvenser när det gäller kostnader och intäkter för kommuner, landsting, företag eller andra enskilda. Inte heller bedöms förslagen ha några konsekvenser för den kommunala självstyrelsen, sysselsättningen, den offentliga servicen i olika delar av landet, små företags arbetsförutsättningar, konkurrensförmågan, eller villkor i övrigt i förhållande till större företag. Den nya lagstiftningen bedöms inte heller ha någon påverkan på jämställdheten mellan män och kvinnor och möjligheterna att nå de integrationspolitiska målen eller på miljön. Lagens syfte och tillämpningsområde 1 § Syftet med denna lag är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I paragrafen anges det övergripande syftet med lagen. Syftet är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Paragrafen har utformats med beaktande av Lagrådets synpunkter. Motiven till bestäm- melsen har redovisats i avsnitt 6.2. 2 § Denna lag gäller vid behandling av personuppgifter i polisens brottsbekäm- pande verksamhet vid , polismyndigheterna och Ekobrotts- myndigheten, om behandlingen är helt eller delvis automatiserad eller om person- uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen gäller inte vid behandling av personuppgifter enligt lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister eller lagen (2010:000) om polisens allmänna spaningsregister. Lagen gäller inte heller när personuppgifter behandlas i vapenregister med stöd av vapenlagen (1996:67), om inte detta särskilt anges i den lagen. Paragrafen anger lagens tillämpningsområde. Frågan har behandlats i avsnitt 6.3. I första stycket anges inledningsvis att lagen gäller vid behandling av personuppgifter. Med personuppgifter avses detsamma som i 3 § per- sonuppgiftslagen (1998:204), dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Också begreppet behandling har samma innebörd som i den paragrafen. Därmed avses således varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, t.ex. insamling, registrering, organisering, lagring, bearbet- ning, användning, spridning eller annat tillhandahållande, sammanställ- ning eller samkörning samt utplåning eller förstöring. För att denna lag ska vara tillämplig krävs att behandlingen är helt eller delvis automatiserad eller att personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier (jfr 5 § per- sonuppgiftslagen som innehåller samma rekvisit). Utanför lagens till- lämpningsområde faller således helt behandling av personupp- gifter som inte ingår i någon samling som är tillgänglig för sökning. Av första stycket följer vidare att lagen endast är tillämplig i polisens brottsbekämpande verksamhet. Med brottsbekämpande verksamhet avses i detta sammanhang den verksamhet för vilken personuppgifter får be- handlas enligt 2 kap. 7 § eller 5 kap. 1 §. I avsnitt 7.27.4 och 16.3.2 samt i kommentaren till nämnda paragrafer lämnas en närmare redo- görelse för den verksamhet som här avses med begreppet brottsbekäm- pande verksamhet. Lagen är däremot inte tillämplig på annan verksamhet som polisen bedriver, t.ex. hjälpande verksamhet eller verksamhet för att upprätthålla ordning och säkerhet utan anknytning till brottsbekämpning. För behandling av personuppgifter i sådan verksamhet gäller i stället bestämmelserna i personuppgiftslagen. Därmed faller också en del av polisens register utanför den nya lagens tillämpningsområde, t.ex. poli- sens adressdatabas, polisens fastighetsfråga och polisens folkbokförings- databas samt passregistret. I vilken utsträckning uppgifter från dessa register får användas i den brottsbekämpande verksamheten får alltså bedömas enligt personuppgiftslagen. Däremot är det bestämmelserna i förevarande lag som avgör i vilken utsträckning personuppgifter som har samlats in i den brottsbekämpande verksamheten får tillhandahållas po- övriga verksamhet (främst 2 kap. 8 § första stycket 3 och 4). Polisen bedriver brottsbekämpande verksamhet vid och polismyndigheterna samt vid . I första stycket klargörs att lagen gäller oavsett vid vilken av dessa myndigheter som personuppgiftsbehandlingen sker. Personuppgiftsbehandling vid Eko- brottsmyndigheten som inte hänför sig till polisens brottsbekämpande verksamhet faller således utanför lagens tillämpningsområde. I andra stycket föreskrivs att lagen inte gäller vid sådan personupp- giftsbehandling som sker med stöd av lagen (1998:620) om belastnings- register, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister eller lagen om polisens allmänna spaningsregister. Detta överensstäm- mer, förutom såvitt avser personuppgiftsbehandling som sker med stöd av den sistnämnda lagen, med vad som gäller enligt 1 § tredje stycket polisdatalagen (1998:622). Enligt tredje stycket gäller lagen inte heller behandling av personupp- gifter i vapenregister med stöd av 2 kap. 1721 §§ vapenlagen (1996:67). Detta hindrar dock inte att det i vapenlagen uttryckligen anges att någon särskild bestämmelse i lagen ska tillämpas på viss behandling. En sådan bestämmelse finns i 2 kap. 22 § vapenlagen. 3 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1.2 kap. 79 §§ om ändamålen för behandlingen, 2.2 kap. 11 § om tillgången till personuppgifter, 3.2 kap. 12 och 13 §§ om bevarande och gallring, 4.3 kap. 13, 912, 14 och 15 §§ om gemensamt tillgängliga uppgifter, 5.4 kap. 1820 §§ om behandling av personuppgifter i penningtvättsregister, 6.4 kap. 21 och 22 §§ om behandling av personuppgifter i det internationella registret, 7.5 kap. 13 §§ om ändamålen för behandlingen hos , 8.5 kap. 4 § 5 om tillgången till personuppgifter hos , 9.5 kap. 6 och 7 §§ om bevarande och gallring hos , och 5 kap. 8, 9 och 1214 §§ om gemensamt tillgängliga uppgifter hos Säker- hetspolisen. Paragrafen, som i förhållande till 2 § utvidgar lagens tillämpningsom- råde, innehåller bestämmelser om behandling av uppgifter om juridiska personer. Frågan har behandlats i avsnitt 6.3. I paragrafen föreskrivs att vissa av lagens bestämmelser ska tillämpas vid behandling av uppgifter om juridiska personer. Det gäller bestäm- melserna om ändamålen med behandlingen (2 kap. 79 §§), om till- gången till personuppgifter (2 kap. 11 §) och om bevarande och gallring (2 kap. 12 och 13 §§). Det gäller vidare vissa bestämmelser om gemen- samt tillgängliga uppgifter (3 kap. 13, 912 samt 14 och 15 §§) samt om personuppgifter som behandlas i penningtvättsregister (4 kap. 1820 §§) och i det internationella registret (4 kap. 21 och 22 §§). Motsvarande be- stämmelser för Säkerhetspolisens personuppgiftsbehandling (5 kap. 1 3 §§, 4 § 5, 69 §§ samt 1214 §§) ska också tillämpas på juridiska personer. Paragrafen har i allt väsentligt utformats i enlighet med Lagrådets för- slag. 4 § I 2 kap. finns allmänna bestämmelser om behandling av personuppgifter. För personuppgifter som görs eller har gjorts gemensamt tillgängliga gäller För personuppgifter som behandlas i register över DNA-profiler, fingerav- trycks- eller signalementsregister, penningtvättsregister eller i det internationella registret, gäller 4 kap. i stället för 3 kap. I 5 kap. finns bestämmelser om behandlingen av personuppgifter i Säkerhets- polisens verksamhet. Paragrafen anger hur lagen är uppbyggd. Det första kapitlet gäller för all behandling enligt lagen. Första stycket erinrar om att 2 kap. innehåller allmänna bestämmelser om sådan behandling av personuppgifter som lagen reglerar. Bestämmel- serna i 2 kap. gäller alltså i princip för all personuppgiftsbehandling som omfattas av lagen (se dock fjärde stycket angående behandling av per- sonuppgifter i Säkerhetspolisens verksamhet). I andra stycket klargörs att det i 3 kap. finns bestämmelser som är till- lämpliga vid behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Med detta uttryck avses såväl sådan behandling som innebär att personuppgifterna blir gemensamt tillgängliga som be- handling av sådana uppgifter som har blivit gemensamt tillgängliga ge- nom tidigare behandling. Vad som avses med gemensamt tillgängliga behandlas närmare i kommentaren till 3 kap. 1 §. Vid behandling av personuppgifter som omfattas av bestämmelserna i 3 kap. gäller även bestämmelserna i 2 kap. I tredje stycket föreskrivs att vid behandling av personuppgifter i regis- ter över DNA-profiler (dvs. , utredningsregistret och spår- registret), fingeravtrycks- eller signalementsregister, penningtvättsregi- ster eller i det internationella registret gäller, utöver bestämmelserna i 2 kap., även vissa bestämmelser i 4 kap. Bestämmelserna i 3 kap. är där- emot inte tillämpliga vid sådan behandling. I fjärde stycket anges att bestämmelserna i 5 kap. gäller för behand- Prop. 2009/10:85 lingen av personuppgifter i Säkerhetspolisens verksamhet. I 5 kap. anges de bestämmelser i 24 kap. som gäller i Säkerhetspolisens verksamhet. Övriga bestämmelser i 24 kap. gäller däremot inte för behandling av personuppgifter i den verksamheten. I vissa bestämmelser i 24 kap. anges vilka myndigheter som får ta emot uppgifter som behandlas med stöd av reglerna i kapitlen, t.ex. vilka myndigheter som får beviljas direktåtkomst. I dessa bestämmelser nämns inte Säkerhetspolisen särskilt som mottagare av uppgifter. Säkerhetspoli- sen kan vara mottagare när anges som mottagande myndighet, eftersom Säkerhetspolisen är en del av . Säkerhetspolisen kan även komma att omfattas när polismyndighet anges som mottagande myndighet, eftersom Säkerhetspolisen för Rikspolissty- relsens räkning leder viss polisverksamhet och därmed anses som polis- myndighet (se 7 § andra stycket polislagen [1984:387] jämförd med 2 § förordningen [2002:1050] med instruktion för Säkerhetspolisen). 2 kap. Allmänna bestämmelser 1 § Om inte annat anges i 2 §, gäller denna lag i stället för personuppgiftslagen (1998:204). Paragrafen reglerar förhållandet till personuppgiftslagen. Om något annat inte anges i 2 § gäller denna lag i stället för personuppgiftslagen. Vid sådan personuppgiftsbehandling som omfattas av lagen ska alltså bestämmelser i personuppgiftslagen tillämpas endast om det finns en hänvisning till dem i 2 §. Utformningen av den nya lagen skiljer sig i detta avseende från polisdatalagen (1998:622), som gäller utöver person- uppgiftslagen. Skälen för detta har utvecklats i avsnitt 6.4.1. 2 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller följande bestämmelser i personupp- giftslagen (1998:204): 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 §, med undantag för första stycket i och tredje stycket, om grundläggande krav på behandlingen av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 2527 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.3335 §§ om överföring av personuppgifter till tredjeland, 9.3841 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befo- genheter, 12.48 § om skadestånd, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personupp- Information enligt 23 § personuppgiftslagen behöver inte lämnas vid behand- Prop. 2009/10:85 ling som består av insamling av personuppgifter genom bilder eller ljud. information behöver inte heller lämnas om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna infor- mationen. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. Paragrafen har behandlats i avsnitt 6.4.2. Utgångspunkten är att bestämmelserna i personuppgiftslagen (1998:204) inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av förevarande lag eller föreskrifter som meddelats i an- slutning till lagen. Detta följer av 1 §. Vissa utpekade paragrafer i per- sonuppgiftslagen ska dock tillämpas. Dessa anges i första stycket. Upp- räkningen är uttömmande. Enligt punkten 1 ska de definitioner som anges i 3 § personuppgiftsla- gen tillämpas även vid behandling av personuppgifter som omfattas av förevarande lag. Genom hänvisningen i punkten 2 till 8 § personuppgiftslagen klargörs att bestämmelserna i förevarande lag eller de bestämmelser till vilka lagen hänvisar inte ska tillämpas om det skulle inskränka polisens skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personupp- gifter (jfr 8 § första stycket personuppgiftslagen). Det innebär t.ex. att en myndighet inte kan vägra att ta fram och lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser enbart med hänvisning till att utlämnandet inte ryms inom de i 79 §§ angivna ändamålen för be- handling. I sammanhanget bör dock understrykas att offentlighetsprinci- pen inte innebär någon skyldighet att lämna ut uppgifter i elektronisk form. Vid bedömningen av om en uppgift kan lämnas ut i elektronisk form måste alltså lagens regler beaktas. Av hänvisningen till 8 § personuppgiftslagen följer också att föreva- rande lag inte hindrar att en myndighet arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (jfr 8 § andra stycket personuppgiftslagen). Bestämmelserna om gallring i förevarande lag gäller dock framför bestämmelsen i 8 § andra stycket. Detta följer av paragrafens andra stycke. Vidare hänvisas i punkten 3 till 9 § personuppgiftslagen, med undantag för första stycket i och tredje stycket. Hänvisningen innebär att den per- sonuppgiftsansvarige (jfr 4 §) ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt och i enlighet med god sed. I förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 143) uttalas att vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av personuppgiftslagen, de branschregler på området som kan ha utarbetats av etablerade branschor- ganisationer eller andra representativa sammanslutningar och hur an- svarsfulla personuppgiftsansvariga som regel beter sig. Den personuppgiftsansvarige ska också se till dels att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen för behandlingen, dels att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen för behandlingen, dels att de be- handlade personuppgifterna är riktiga och, om det är nödvändigt, aktu- ella, dels att alla rimliga åtgärder vidtas för att rätta, blockera eller ut- plåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det är givet att man vid till- lämpningen av de aktuella bestämmelserna måste ta hänsyn till den sär- skilda karaktären hos de uppgifter som förekommer i brottsbekämpande Exempelvis kan kravet på att de behandlade uppgifterna är riktiga inte anses innebära något hinder mot att samla in osäkra under- rättelseuppgifter, under förutsättning att uppgifterna har relevans för underrättelsearbetet och att det framgår att uppgiftens riktighet är osäker (se kommentaren till 3 kap. 4 § andra stycket). vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Hänvisningen till 9 § första stycket d personuppgiftslagen innebär att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna sam- lades in (den s.k. finalitetsprincipen). Genom att ange vissa primära och sekundära ändamål i 7 och 8 §§ har ställningstagandet gjorts att vidare- behandling för dessa ändamål är förenlig med finalitetsprincipen. primära ändamålen är uttömmande angivna medan det framgår av 8 § fjärde stycket att det, utöver vad som framgår av förstatredje styckena, är möjligt att lämna ut uppgifter för ett ändamål som inte kan anses oför- enligt med det ändamål för vilket uppgifterna samlades in. uppgiftsansvarige har därför att tillse dels att behandling inte sker för andra primära ändamål än de som anges i lagen, dels att vidarebehand- ling för andra sekundära ändamål än de i lagen angivna endast sker om det är förenligt med finalitetsprincipen. Hänvisningen till 9 § andra stycket personuppgiftslagen innebär att en vidarebehandling för histo- riska, statistiska eller vetenskapliga ändamål alltid ska anses förenlig Vidare hänvisas i punkten 4 till 22 § personuppgiftslagen. sen innebär att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke i polisens brottsbekämpande verksamhet bara när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av en säker identifiering eller något annat beaktansvärt Av hänvisningen i punkten 5 till 23 § personuppgiftslagen följer att den myndighet som samlar in uppgifter om en enskild person från personen själv självmant ska informera honom eller henne om behandlingen. innebär t.ex. att en polismyndighet i samband med att den tar emot och behandlar en uppgift från en person om att denne har utsatts för brott ska underrätta honom eller henne om behandlingen. I 25 § personuppgiftsla- gen anges att informationen ska omfatta uppgift om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen samt övrig information som den aktuella personen behöver för att ta till vara sina rättigheter i samband med behandlingen av uppgifterna. Bestämmelserna om informationsplikt i 23 och 25 §§ personuppgifts- lagen modifieras emellertid av andra bestämmelser. hänvisningen till 27 § personuppgiftslagen gäller informationsplikten inte i den utsträckning det råder sekretess eller tystnadsplikt för informatio- Som en följd av detta gäller t.ex. ingen informationsplikt när en polis som arbetar under skyddsidentitet samlar in uppgifter från miss- tänkta, eftersom informationsinhämtandet i den situationen torde skyddas av sekretess enligt 18 kap. 1, 2, 5 eller 6 § offentlighets- och sekretessla- gen (2009:400). Informationsskyldigheten begränsas också av de sär- skilda bestämmelserna i tredje stycket. Som framgår av hänvisningen till 26 § personuppgiftslagen är den per- sonuppgiftsansvarige skyldig att på begäran lämna information till en sökande om huruvida personuppgifter som rör denne behandlas eller inte. Om sådan behandling sker, ska upplysning också lämnas om bl.a. ända- målet med behandlingen. Också denna informationsskyldighet modifie- ras genom bestämmelserna i 27 § personuppgiftslagen. Om det gäller sekretess för uppgiften behöver någon information inte lämnas.