prop · GX0385 · 2010-01-08 00:00:00 — brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Utredningens förslag överensstämmer med promemorians. Remissinstanserna har inte yttrat sig särskilt i frågan. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian föreslår dock en annan utformning av bestämmelsen om Remissinstanserna: Majoriteten av remissinstanserna tillstyrker eller har inget att invända mot promemorians förslag och bedömning. remissinstanser, däribland Kammarrätten i , Ekobrottsmyndig- heten och , anser dock att det i författningstexten ut- tryckligen bör anges att lagen, utöver att skydda den personliga integri- teten, också syftar till att främja en effektiv brottsbekämpning. Skälen för regeringens förslag: En effektiv och rättssäker brottsbe- kämpning förutsätter att polisen har ett bra verksamhetsstöd i form av en väl fungerande informationsteknik. Polisen måste i olika typer av utred- ningar och undersökningar ha möjlighet att samla in, registrera, behandla och lagra uppgifter av vitt skilda slag, bl.a. om misstänkta, målsägande, vittnen och andra personer. Uppgifter måste också vid behov kunna till- handahållas elektroniskt till ett större antal personer vid en eller flera polismyndigheter eller andra brottsbekämpande myndigheter. Åklagare som leder förundersökningar kan t.ex. ha behov av att elektroniskt få tillgång till uppgifter från polisen. Uppgifter måste också inom ramen för det internationella samarbetet kunna utbytas elektroniskt med brottsbekämpande myndigheter i andra länder. Hantering av personuppgifter på det nu beskrivna sättet kan innebära en risk för intrång i den personliga integriteten. Det är viktigt att hitta en väl avvägd balans mellan å ena sidan skyddet för den personliga integri- teten och å andra sidan samhällets rättmätiga krav på att brott förebyggs och förhindras samt att brott utreds och personer som begår brott lagförs. Att brott utreds och att misstänkta lagförs är ett uttryck för att statsmak- terna menar allvar med straffbuden och beaktar brottsoffrens intresse. Intrång i den personliga integriteten måste dock alltid stå i rimlig propor- tion till det intresse som ska tillgodoses med behandlingen av person- uppgifterna. De grundläggande bestämmelserna till skydd för den personliga integ- riteten finns i regeringsformen och det är i första hand personuppgifts- lagen (1998:204) som ska tillgodose regeringsformens krav i fråga om integritetsskydd i automatiserad personuppgiftsbehandling, se avsnitt 4.1. Personuppgiftslagen kompletteras, såvitt nu är av intresse, av polisdata- lagen (1998:622). Integritetsskyddande bestämmelser om utlämnande av personuppgifter finns även i övriga registerlagar som reglerar polisens register, liksom i offentlighets- och sekretesslagen. Uttrycket personlig integritet är inte definierat vare sig i lag eller annan författning. Ett sätt att beskriva innebörden av detta är dock att skilja mellan olika former av handlanden som kan anses kränka den personliga integriteten. Man kan då sortera in handlanden som utgör intrång i integ- riteten i tre huvudkategorier: 1) intrång i en persons privata sfär, oavsett om det sker i fysisk eller annan mening; 2) insamlande av uppgifter om en persons privata förhållanden; 3) offentliggörande eller annan använd- ning av uppgifter om en persons privata förhållanden (se , SvJT 1971 s. 695 och Individens skyddade personlighetssfär i Om våra rättigheter. Antologi utgiven av Rättsfonden, 1980, samt Integritets- skyddskommitténs delbetänkande Skyddet för den personliga integrite- ten. Kartläggning och analys. Del 1 [SOU 2007:22] s. 52 f.). Ett annat sätt att beskriva begreppet är att skilja mellan olika former av integritet med utgångspunkt från bl.a. de grundläggande fri- och rättigheterna i 2 kap. regeringsformen (se t.ex. SOU 1984:54 s. 42). Med denna ut- gångspunkt utgör regler om dataskydd bestämmelser som tar sikte på den personliga integriteten när det gäller respekten för privatlivet. Bestäm- melser om skydd för privatlivet kan också sägas vara inriktade på att tillvarata integriteten i ideell mening (se SOU 1992:84 s. 187). Gemen- samt för beskrivningarna synes vara att de alla utgår från att en kränkning av integriteten innebär ett oönskat intrång i en fredad sfär som den en- skilde bör vara tillförsäkrad (prop. 2005/06:173 s. 15). Även om det alltså inte är möjligt att entydigt definiera vad som avses med begreppet personlig integritet torde det stå klart att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma intrånget i den personliga integriteten vid automatiserad behandling av personuppgifter. Sådana faktorer är arten av de personuppgifter som ska få behandlas, vilka som ska ha tillgång till uppgifterna genom direktåtkomst eller på annat sätt , hur sökning ska få ske, hur personuppgifterna ska få sparas samt vilken kontroll av verksamheten som finns. Ju fler uppgifter som får behandlas, ju större möjligheter till sammanställningar och sök- ningar som ges och ju som uppgifterna får sparas, desto större är, typiskt sett, risken för integritetsintrång. Ju större risken för intrång är, desto mer angeläget måste ändamålet med personuppgiftsbehandlingen vara. I 2 kap. 12 § andra stycket regeringsformen föreskrivs en proportiona- litetsprincip som innebär att viss rättighetsinskränkande lagstiftning ald- rig får gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Även om bestämmelsen inte gäller för 2 kap. 3 § andra stycket regeringsformen, som reglerar integritetsskyddet vid automatisk behandling av personuppgifter, anses det att en proportionalitetsprincip i vid mening gäller för all lagstiftning som inskränker de grundläggande fri- och rättigheterna. En proportionalitetsprincip finns också i Europa- konventionens artikel 8, som reglerar rätten till skydd för privat- och familjeliv. Mot bakgrund av det ovan sagda måste den närmare utformningen av de nya bestämmelserna om behandling av personuppgifter i polisens brottsbekämpande verksamhet föregås av en avvägning mellan å ena sidan intresset av en effektiv brottsbekämpning och å andra sidan intres- set av skydd för den personliga integriteten. Vid den avvägningen finns det anledning att hålla i minnet att de uppgifter som kan bli aktuella att behandla ofta är särskilt integritetskänsliga, dels därför att de kan peka ut personer såsom misstänkta för brott, dels därför att de inte sällan rör enskildas personliga sfär. Blotta det förhållandet att omfattande uppgifter om en enskilds privata förhållanden kan komma att sammanställas och göras tillgängliga inom polisens verksamhet kan uppfattas som ett integ- ritetsintrång. I de följande avsnitten diskuteras ingående hur polisens behov av att kunna behandla vissa uppgifter lämpligen bör vägas mot behovet av skydd för den personliga integriteten. I dessa avsnitt behandlas också den kritik som bl.a. Datainspektionen framför mot promemorians förslag när det gäller skyddet för den personliga integriteten. Det finns dock skäl att redan här redovisa några allmänna utgångspunkter för övervägandena. Det är till att börja med viktigt att den nya lagen tydligt anger för vilka ändamål behandling av personuppgifter ska få ske. Vidare bör det, på samma sätt som , finnas särskilda bestämmelser som begränsar möj- ligheterna att behandla s.k. känsliga personuppgifter, dvs. uppgifter om någons ras eller etniska ursprung, politiska åsikter, religiösa eller filoso- fiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Risken för otillbörliga intrång i den personliga integriteten är självfallet större när uppgifter registreras och lagras på ett sådant sätt att flera per- soner vid en eller flera myndigheter har möjlighet att ta del av dem, än när en enskild tjänsteman behandlar uppgifter vid sin egen dator utan att någon annan har åtkomst till uppgifterna. Det bör därför i lagen införas mera inskränkande bestämmelser för sådan behandling av personuppgif- ter som innebär att uppgifterna görs åtkomliga för en större krets görs gemensamt tillgängliga i den brottsbekämpande verksamheten än för behandling av personuppgifter som inte har gjorts gemensamt tillgäng- liga. En förutsättning för att polisen ska kunna bedriva ett effektivt brottsfö- rebyggande arbete är att polisen får behandla uppgifter om personer som inte är misstänkta för något konkret brott, men ändå misstänks ägna sig åt brottslig verksamhet. Att ge polisen möjlighet att bygga upp samlingar av uppgifter om enskilda, utan att det finns någon anknytning till ett visst brott, kan emellertid inge betänkligheter från integritetssynpunkt. En ut- gångspunkt bör därför vara att det bör gälla större restriktivitet för be- handlingen av uppgifter som inte har samband med ett konkret brott än för behandlingen av uppgifter som behövs för att utreda och beivra ett visst brott. I ett integritetsskyddsperspektiv är det också viktigt att särskilja olika typer av uppgifter. Det är särskilt viktigt att det inte uppstår oklarheter om huruvida den person som en behandlad uppgift rör är misstänkt eller inte. Detta kommer bl.a. till uttryck i rekommendation No. R (87) 15 om användningen av personuppgifter inom polissektorn (se avsnitt 4.2.3). En utgångspunkt för den nya lagstiftningen bör vara att det ska framgå huruvida behandlingen sker för att personen är misstänkt eller inte. Likaså bör tillförlitligheten av behandlade uppgifter kunna utläsas, exempelvis om informationen består av kontrollerade fakta eller av en- dast antaganden eller obekräftade påståenden. När det bedöms vilket intrång i den personliga integriteten som olika former av behandling av personuppgifter innefattar, finns det anledning att särskilt beakta i vilken utsträckning uppgifterna kan användas för sökning och sammanställning. Ju större möjligheter det finns att söka och sammanställa insamlade och lagrade uppgifter, desto större är risken för att behandlingen av personuppgifter leder till intrång i de registrerades personliga integritet. Mot denna bakgrund bör utgångspunkten vara att reglerna utformas så att endast en viss, begränsad, information erhålls initialt när namn eller personnummer eller andra liknande identitetsbe- teckningar, som kan hänföras till en bestämd individ, används som sök- begrepp i polisens brottsbekämpande verksamhet. Som redan nämnts måste de brottsbekämpande myndigheterna kunna utbyta information sinsemellan och, i viss utsträckning, lämna informa- tion till andra myndigheter. För att kunna utbyta uppgifter på ett effektivt och rättssäkert sätt behöver myndigheterna kunna utnyttja tillgängliga tekniska hjälpmedel. Av särskild betydelse är möjligheten att vid behov snabbt kunna få tillgång till uppgifter hos andra myndigheter på automa- tiserad väg, exempelvis genom direktåtkomst. En sådan möjlighet kan dock innebära ökade risker för integritetsintrång. Det beror framför allt på att system för direktåtkomst normalt medför att antalet personer som har tillgång till uppgifterna blir större. För att förhindra att uppgifter blir tillgängliga i andra myndigheters verksamhet även i situationer när detta inte är nödvändigt av verksamhetsskäl i det enskilda fallet bör tillgången till automatiserad information begränsas så att endast den som behöver en viss uppgift för att kunna fullgöra sina arbetsuppgifter kan få tillgång till den genom direktåtkomst. Från brottsbekämpningssynpunkt kan det ibland vara av värde att upp- gifter bevaras . För den enskilde kan emellertid ett sådant bevarande innebära att integritetsintrånget består. bevaras medför också att den totala mängden information Prop. 2009/10:85 om en person kan komma att öka, vilket kan vara negativt från integ- ritetsskyddssynpunkt. Det är därför nödvändigt att utforma den nya lagens bestämmelser om gallring så att personuppgifter inte bevaras än vad som behövs. I promemorian föreslås att bestämmelsen som anger lagens syfte ut- formas på samma sätt som motsvarande bestämmelse i personuppgiftsla- gen. Några remissinstanser, bl.a. Kammarrätten i , Ekobrotts- myndigheten och , anser att det bör förtydligas att la- gens syfte inte endast är att skydda den personliga integriteten vid per- sonuppgiftsbehandling inom polisen utan även att främja en effektiv brottsbekämpning. Som nämnts förutsätter samhällets rättmätiga krav på ett rättssäkert och effektivt brottsbekämpande arbete bl.a. att polisen ges möjlighet att behandla personuppgifter på ett ändamålsenligt sätt med hjälp av väl fungerande informationsteknik. måste skyddet av den enskildes personliga integritet värnas. Båda dessa utgångspunkter är enligt regeringens mening väsentliga för den nya lagen. Mot denna bak- grund bör det i lagen komma till uttryck att dess övergripande syfte inte bara är att skydda den enskildes personliga integritet utan även att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i den brottsbekämpande verksamheten. I lagrådsremissen föreslås en bestämmelse där båda dessa syften anges. Lagrådet har invänt att den föreslagna formuleringen av bestämmelsen ger intryck av att lagen i första hand är avsedd att förstärka integritetsskyddet och endast i andra hand att ge polisen möjligheter att på ett effektivt sätt utnyttja person- uppgifter i sin brottsbekämpande verksamhet. Som framgått ovan anser regeringen att båda perspektiven är väsentliga, utan att ange någon in- bördes ordning mellan dessa. Regeringen godtar emellertid Lagrådets invändning, varför bestämmelsen bör formuleras om med beaktande av Lagrådets synpunkter. Regeringens förslag: Den nya lagen ska gälla vid behandling av per- sonuppgifter i polisens brottsbekämpande verksamhet vid Rikspolis- styrelsen, polismyndigheterna och . sonuppgiftsbehandling som sker med stöd av de särskilda lagarna om belastningsregister, misstankeregister, Schengens informationssystem samt passagerarregister ska dock inte omfattas av den nya lagen. Lagen ska inte heller gälla för personuppgiftsbehandling i polisens vapenregister eller i det allmänna spaningsregistret. Lagen ska innehålla vissa bestämmelser om behandling av uppgif- ter om juridiska personer. Utredningens förslag överensstämmer delvis med promemorians. redningen föreslår dock inte att lagen ska omfatta polisverksamhet vid eller behandling av uppgifter om juridiska perso- Utredningen föreslår att lagen, liksom polisdatalagen, ska omfatta all personuppgiftsbehandling som faller in under 2 § 13 polislagen (1984:387). Utredningen föreslår dock ett generellt undantag för insam- ling genom bild och ljud. Remissinstanserna har i huvudsak inte haft någon invändning mot ut- redningens förslag i denna del. har dock ansett att den nya lagen ska omfatta all polisverksamhet enligt 2 § polislagen, dvs. även punkterna 4 och 5. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian undantar dock insamling av personuppgifter genom hemlig teleavlyssning, hemlig teleövervakning, hemlig rumsavlyssning samt allmän och hemlig kameraövervakning från lagens tillämpningsområde. Promemorian behandlar inte frågan om lagens tillämpning på vapenre- gistren. Remissinstanserna: Majoriteten av remissinstanserna har inga invänd- ningar mot promemorians förslag. Några remissinstanser, däribland Kammarrätten i och , efterlyser dock en närmare motivering till varför insamling av uppgifter genom bl.a. hemliga tvångs- medel har undantagits från lagens tillämpningsområde. anser att lagen inte bör gälla vid något slag av insamling av personupp- gifter i form av bild och ljud förrän åtgärder vidtagits för att göra upp- gifterna tillgängliga i presentabelt skick. Styrelsen anser vidare att be- skrivningen i promemorian av polisens brottsbekämpande verksamhet inte är helt korrekt, bl.a. med hänsyn till att polisen inte längre bedriver någon allmän övervakningsverksamhet. påpekar att det är svårt att dra en gräns mellan ordningshållande uppgifter och brottsbe- kämpande verksamhet. och ifrå- gasätter om behandling av uppgifter om juridiska personer ska omfattas av lagen. anser att den nya lagen även bör gälla för laboratoriet eftersom myndigheten ingår i polisen. Säkerhets- polisen anser att det bör klargöras när myndigheten omfattas av lagens bestämmelser och avstyrker att myndigheten i vissa fall inte direkt anges i bestämmelserna utan i stället har ställning som polismyndighet alterna- tivt . Skälen för regeringens förslag Myndigheter som ska omfattas av lagen Polisdatalagen gäller vid behandling av personuppgifter i polisens brotts- bekämpande verksamhet vid , polismyndigheterna och . Motsvarande bör gälla för den nya lagen. anser att även laboratoriet bör omfattas av den nya lagen eftersom det ingår i polisen. är en del av polisväsendet och är en självständig myndighet med som chefsmyndighet. Laboratoriets huvudsakliga uppdrag är att utföra kriminaltekniska under- sökningar som föranleds av misstanke om brott. Myndigheten ansvarar även för forskning, utveckling, information, utbildning samt stöd och service inom hela det kriminaltekniska området. Vid bedömningen av om myndigheten ska omfattas av lagen bör det beaktas dels att verksamheten inte är brottsbekämpande i vedertagen mening, dels att myndighetens personal inte är polismän utan specialister inom sina respektive verksam- hetsområden och inte har traditionella polisiära uppgifter eller befogen- heter utan arbetar som en sorts sakkunnigt biträde och expertorgan åt polismyndigheterna. Detta talar emot att laboratoriet ska omfattas av en reglering som motiveras av de särskilda krav som ställs på personupp- giftsbehandling i polisens brottsbekämpande verksamhet. Det är vidare viktigt att betona att när laboratoriet hanterar DNA-registren i egenskap av personuppgiftsbiträde åt är laboratoriet skyldigt att följa aktuella bestämmelser i den nya lagen. Utöver hanteringen av DNA-registren är den personuppgiftsbehandling som sker vid labora- relativt begränsad och åtkomsten till behandlade uppgifter i huvud- sak förbehållen dess egen personal. Mot denna bakgrund delar regeringen den bedömning som både och promemorian gör att lagen inte bör omfatta . Med hän- syn till bl.a. den snabba utvecklingen på området för kriminalteknik kan det emellertid finnas anledning att i ett annat sammanhang överväga behovet av att särskilt författningsreglera personuppgiftsbehandlingen vid laboratoriet. Säkerhetspolisen anser att det bör tydliggöras vilka av lagens bestäm- melser som är tillämpliga på dess verksamhet. Inledningsvis kan konsta- teras att Säkerhetspolisen utgör en del av . Det saknas därför skäl att särskilt omnämna Säkerhetspolisen i författningstexten annat än när bestämmelserna tar sikte på just den verksamhet som be- drivs där. Behandlingen av personuppgifter vid bör regleras i ett särskilt kapitel i den nya lagen, vilket utvecklas i avsnitt 16. I bestämmelserna i det kapitlet bör Säkerhetspolisen naturligtvis nämnas särskilt eftersom bestämmelserna endast tar sikte på behandlingen av personuppgifter vid . I kapitlet bör det hänvisas till öv- riga bestämmelser i den nya lagen som ska vara tillämpliga på Säker- hetspolisens behandling av personuppgifter. De kapitel i lagen som reglerar personuppgiftsbehandling vid polisen i övrigt föreslås bl.a. innehålla bestämmelser som reglerar möjligheten att behandla uppgifter för att tillhandahålla information till andra. Det rör sig om bestämmelser om sekundära ändamål, sekretessbrytande bestämmel- ser och bestämmelser om direktåtkomst. I sådana bestämmelser om- nämns mottagande myndigheter, t.ex. de myndigheter som får beviljas direktåtkomst. Eftersom exempelvis en polismyndighet bör kunna lämna ut uppgifter till och bevilja myndigheten direktåt- komst måste anges som mottagare i vissa bestämmel- ser. I sådana bestämmelser som reglerar t.ex. vilka myndigheter som kan vara mottagare av personuppgifter saknas det skäl att nämna Säkerhets- polisen särskilt, eftersom den utgör en del av . Av 7 § polislagen följer att när leder polisverksamhet ska vad som i lag eller annan författning föreskrivs om polismyndighet i tillämp- liga delar gälla även . Detta innebär att Säkerhetspoli- sen när den som en del av leder polisverksamhet för att förebygga och avslöja brott omfattas av begreppet polismyndighet i bestämmelser som anger polismyndighet som mottagande myndighet. I författningskommentaren till de aktuella bestämmelserna utvecklas detta ytterligare. I sammanhanget bör understrykas att det är polisen i övrigt, och inte Säkerhetspolisen, som ska tillämpa de aktuella bestämmelserna Prop. 2009/10:85 och som har att bedöma bl.a. i vilken utsträckning som Säkerhetspolisen ska medges direktåtkomst. Polisverksamhet som ska omfattas av lagen I 1 § första stycket polisdatalagen sägs att lagen gäller vid behandling av personuppgifter i polisens verksamhet för att (1) förebygga brott och andra störningar av den allmänna ordningen och säkerheten, (2) övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana inträffat, eller (3) bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Lagens tillämpningsområde motsvarar polisens uppgifter som de beskrivs i 2 § 13 polislagen. Polis- datalagen omfattar således inte personuppgiftsbehandling inom sådan polisverksamhet som faller under 2 § 4 och 5 polislagen, dvs. verksamhet som består i att lämna allmänheten skydd, upplysningar och annan hjälp samt annan verksamhet som ankommer på polisen enligt särskilda be- stämmelser. Sådan personuppgiftsbehandling regleras av bestämmelserna i personuppgiftslagen. föreslår att den nya lagen ska ha samma tillämp- ningsområde som polisdatalagen, dvs. omfatta polisens uppgifter som de beskrivs i 2 § 13 polislagen. Promemorian väljer en annan lösning och föreslår att lagen ska vara tillämplig i polisens brottsbekämpande verk- samhet, vilket enligt promemorian innebär ett något snävare tillämp- ningsområde än det nuvarande. Ett tredje alternativ skulle kunna vara att låta lagen omfatta all personuppgiftsbehandling i polisens verksamhet. Vid valet mellan dessa alternativ bör det beaktas vilka omständigheter som gör att personuppgiftslagens allmänna regler inte är ändamålsenliga vid personuppgiftsbehandling i polisiär verksamhet. Här finns det anled- ning att peka på flera olika förhållanden. För det första är det nödvändigt att i polisiär verksamhet behandla en stor mängd uppgifter som, typiskt sett, är känsliga till sin natur och inte bör ges en vidare spridning. För det andra gör sig särskilt starka samhällsintressen gällande inom delar av polisens verksamhet, vilket medför att sedvanliga avvägningar mellan berörda intressen i viss mån måste göras på ett sätt som tillåter större intrång i integriteten än vad som annars hade kunnat tillåtas. Omständig- heter av detta slag kan göra det befogat med särskilda från personupp- giftslagen avvikande bestämmelser om personuppgiftsbehandling. Det sagda gäller dock i varierande grad beträffande olika delar av polisens verksamhet. Vidare ska det beaktas att svensk lagstiftning måste vara förenlig med dataskyddsdirektivet inom dess tillämpningsområde. I den utsträckning polisens verksamhet som den beskrivs i 2 § polislagen om- fattas av gemenskapsrätten är det därför nödvändigt att säkerställa att lagen uppfyller de krav som direktivet ställer upp. I dataskyddsdirekti- vets artikel 3.2 undantas från direktivets tillämpningsområde bl.a. be- handling av personuppgifter som rör allmän säkerhet, statens säkerhet och statens verksamhet på straffrättens område. För att uppfylla direkti- vets krav bör personuppgiftslagen tillämpas på verksamhet som inte är undantagen från direktivets tillämpningsområde. Behovet av en särreglering av behandlingen av personuppgifter är tyd- ligast på det brottsbekämpande området. I annan polisverksamhet, t.ex. tillståndsgivning av olika slag, är behovet av särregler i förhållande till personuppgiftslagen litet eller obefintligt.