prop · GX0385 · 2010-01-08 00:00:00 — I andra lagstiftningsärenden har man konstaterat att riktlinjer för infor- mationssäkerhetsarbetet inte bör ges i lag utan vid behov bör ges på lägre föreskriftsnivå (se t.ex. prop. 2007/08:126 s. 149). Enligt regeringens mening behövs inga särskilda bestämmelser om informationssäkerhet i den nya lagen, utöver personuppgiftslagens regler om säkerheten vid behandlingen, som ska gälla i polisens brottsbekämpande verksamhet på samma sätt som (avsnitt 6.4.2). Polisen bör också, som Säkerhetspolisen påpekar, vinnlägga sig om att genomföra säkerhetsanalys samt att analysera och klassificera de upp- gifter som förekommer i IT-systemen, i syfte att förbättra informations- säkerheten. Sådan analys bör utgöra en integrerad del av arbetet både vid tillskapandet av nya system och förvaltningen av befintliga. Regeringens förslag: Datainspektionen, som är tillsynsmyndighet enligt personuppgiftslagen, ska utöva tillsyn över polisens behandling av personuppgifter inom den brottsbekämpande verksamheten. Per- sonuppgiftsbehandlingen ska också stå under tillsyn av . Utredningens förslag överensstämmer i huvudsak med promemorians. Utredningen föreslår dock inte att personuppgiftsbehandlingen också ska granskas av . Remissinstanserna har inte haft någon invändning mot utredningens förslag eller har inte kommenterat saken närmare. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: tillstyr- ker förslaget men anser att det bör klargöras i vad mån nämnden ska vara skyldig att på begäran av en enskild kontrollera om han eller hon varit föremål för personuppgiftsbehandling. Datainspektionen anser att det av principiella skäl bör undvikas att två myndigheter parallellt utövar tillsyn över samma verksamhet och att Säkerhets- och integritetsskyddsnämn- den inte bör ges en vidare tillsyn än den som nämnden redan har. Datain- spektionen är i övrigt positiv till förslaget. Övriga remissinstanser till- styrker eller har inte något att invända mot förslaget. Skälen för regeringens förslag Behovet av fristående tillsynsorgan Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen med uppgift att bl.a. verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter (1 och 2 §§ för- ordningen [1998:1192] med instruktion för Datainspektionen och 2 § personuppgiftsförordningen [1998:1191]). Denna tillsyn omfattar även den behandling av personuppgifter som sker med stöd av polisdatalagen (1998:622). Därutöver har till uppgift att granska Säkerhetspolisens behandling av uppgifter enligt polisdatalagen, särskilt med avseende på behandlingen av känsliga per- sonuppgifter (1 § andra stycket lagen [2007:980] om tillsyn över viss brottsbekämpande verksamhet). Det kan tilläggas att det ingår i Säker- hets- och integritetsskyddsnämndens uppgifter att på begäran av en en- skild kontrollera bl.a. om han eller hon har varit föremål för otillåten personuppgiftsbehandling hos . Nämnden är skyldig att utföra kontrollen och att underrätta den enskilde som begärt kontrollen om att den har utförts. En motsvarande ordning finns i ett flertal andra länder. Ett huvudskäl till att inrättades, hur tillsynsuppgiften utformades och att nämnden ålades att överlämna resultatet av sin tillsyn till andra myndigheter för åtgärd är att i målet SegerstedtWiberg m.fl. mot fann att i fråga om Säkerhetspolisens registrering så uppfyllde varken ombudsmän, , den dåvarande Regis- ternämnden eller Datainspektionen, ens sammantagna, kravet på effek- tiva rättsmedel enligt artikel 13 i . Såväl Säkerhetspolisen som polisen i övrigt ska säkerställa att det finns interna funktioner för att kontrollera att myndighetens tjänstemän följer reglerna för personuppgiftsbehandling. Frågan om hur enskilda tjänste- mäns tillgång till personuppgifter ska begränsas diskuteras i avsnitt 6.6. Det är dock inte alltid lätt för en brottsbekämpande myndighet för vilken det brottsbekämpande arbetet står i fokus att göra de ofta grann- laga avvägningar mellan brottsbekämpningsintresset och integritetsin- tresset som är nödvändiga. Det är mot den bakgrunden angeläget att personuppgiftsbehandlingen i polisens brottsbekämpande verksamhet blir föremål för tillsyn av ett i förhållande till polisen fristående organ. I sammanhanget är det viktigt att påpeka att det till stor del gäller sekretess i verksamheten. Det får till följd att den enskilde i många fall inte kom- mer att kunna ges information om pågående personuppgiftsbehandling som rör honom eller henne och därmed inte heller kommer att ha några praktiska möjligheter att själv göra gällande rätten till exempelvis rättelse eller skadestånd. De brister i skyddet för den enskilde som detta medför kan kompenseras genom ett fristående tillsynsorgan, som har tillgång till sekretesskyddad information. Genom tillsyn av ett fristående organ kan risken för onödiga integritetsintrång minimeras. Dataskyddsrambeslutet (avsnitt 4.4.1) förutsätter att det finns ett fristående tillsynsorgan. Frågan är nu hur denna tillsyn bör anordnas. En möjlighet är att anförtro tillsynen i dess helhet åt Datainspektionen. En sådan lösning skulle inne- bära en begränsning vad gäller tillsynen över Säkerhetspolisens person- uppgiftsbehandling. En annan möjlighet är att överlåta hela tillsynen till ett fristående organ som är särskilt inriktat på att granska brottsbekäm- pande verksamhet. En tredje möjlighet är att med vad som gäller i fråga om personuppgiftsbehandling inom som förebild an- förtro tillsynsuppgifterna åt två olika myndigheter som båda har den nödvändiga fristående rollen, i detta fall dels Datainspektionen, dels en myndighet vars verksamhet är inriktad på granskning av brottsbekäm- pande verksamhet. Det finns skäl som talar för att all tillsyn över myndigheternas person- uppgiftsbehandling bör ligga på en enda myndighet. Det står då klart vilken myndighet som bär ansvaret för att tillsynen är effektiv. Datain- spektionen anser att man av principiella skäl bör undvika att två myndig- heter parallellt utövar tillsyn över samma verksamhet, eftersom det finns risk för att en sådan lösning kan leda till oklarheter för allmänheten, tillsynsobjektet och tillsynsmyndigheterna. Det finns emellertid även fördelar med en ordning där två myndigheter, var och en med utgångspunkt i sitt uppdrag, utövar tillsyn över person- uppgiftsbehandlingen i polisens brottsbekämpande verksamhet. Inom Datainspektionen finns det en väl upparbetad kompetens och erfarenhet vad gäller personuppgifts- och integritetsfrågor. En tillsyn genom Datain- spektionen ger därför goda förutsättningar att framför allt kontrollera att allmänna principer för behandling av personuppgifter tillämpas också inom den brottsbekämpande verksamheten. Datainspektionen ställer sig också positiv till att myndigheten ges ansvaret för en sådan tillsyn. Sam- tidigt kan man utgå ifrån att ju större insikt i och erfarenhet av den granskade verksamheten som tillsynsmyndigheten har, desto lättare kan tillsynen inriktas på de områden som kan ge upphov till särskilda risker från integritetssynpunkt. I sammanhanget måste också beaktas att Data- inspektionens tillsynsområde är omfattande. I det perspektivet är det av värde om Datainspektionens tillsyn kan kompletteras med tillsyn genom en myndighet som har till särskild uppgift att utöva tillsyn över brottsbe- kämpande verksamhet. En sådan dubbel tillsyn förekommer, som har nämnts, , när det gäller behandling av personuppgifter i Säkerhetspolisens verksamhet. På försvarsunderrättelseområdet gäller också en liknande ordning; jfr propositionen Personuppgiftsbehandling hos Försvarsmakten och (prop. 2006/07:46). Tillsynen över Försvars- maktens och Försvarets radioanstalts personuppgiftsbehandling utövas dels av Datainspektionen, dels av . Övervägande skäl talar enligt regeringens mening för att välja den sist diskuterade lösningen. Den personuppgiftsbehandling som förekommer i polisens brottsbekämpande verksamhet bör således stå under tillsyn av både Datainspektionen och en annan fristående myndighet, inriktad på tillsyn över brottsbekämpande verksamhet. Säkerhets- och integritets- skyddsnämnden är en sådan myndighet, men dess tillsyn är begränsad till personuppgiftsbehandling på Säkerhetspolisens område. Vidare har nämnden till uppgift att utöva tillsyn över brottsbekämpande myndighe- ters användning av hemliga tvångsmedel samt kvalificerade skyddsiden- titeter och därmed sammanhängande verksamhet. Säkerhets- och integ- ritetsskyddsnämnden bör anförtros uppgiften att utöva ytterligare tillsyn över personuppgiftsbehandlingen inom polisen. Tillsynen bör avse per- sonuppgiftsbehandlingen i den brottsbekämpande verksamheten inom hela polisväsendet, inklusive Säkerhetspolisen, och den polisiära verk- samheten vid . Både Datainspektionen och Säker- hets- och integritetsskyddsnämnden ska alltså utöva tillsyn. Utöver den tillsyn som enligt förslaget ska utövas av Datainspektionen och , har både Justitiekanslern och ombudsmän rätt att, i enlighet med sina instruktioner, utöva tillsyn över polisverksamheten. I samband därmed kan de givetvis även kontrollera personuppgiftsbehandlingen vid den aktuella myndig- heten. Vilka uppgifter bör myndigheterna ha? Det kan först konstateras att personuppgiftslagen tillägger tillsynsmyn- digheten, dvs. Datainspektionen, vissa särskilda befogenheter, avsedda att möjliggöra en granskning av om personuppgiftsbehandlingen är lag- lig. Myndigheten har rätt att på begäran få tillgång till de personuppgifter som behandlas, upplysning om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana loka- ler som har anknytning till behandlingen av personuppgifter (43 § per- sonuppgiftslagen). Om Datainspektionen efter en sådan begäran inte kan få tillräckligt underlag för att konstatera att behandlingen av personupp- gifter är laglig, får myndigheten vid vite förbjuda den personuppgiftsan- svarige att behandla personuppgifter på något annat sätt än genom att lagra dem (44 §). Konstaterar Datainspektionen att personuppgifter be- handlas eller kan komma att behandlas på ett olagligt sätt, ska myndig- heten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på annat sätt, eller är saken brådskan- de, får Datainspektionen vid vite förbjuda den personuppgiftsansvarige att fortsätta behandlingen på annat sätt än genom lagring av uppgifterna (45 §). Vidare får Datainspektionen hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska förstöras. Beslut om utplånande ska dock inte meddelas om det är oskäligt. Det är naturligt att Datainspektionen har motsvarande uppgifter och be- fogenheter när den utövar tillsyn över polisens personuppgiftsbehand- ling. Den nya lagen bör därför innehålla bestämmelser som i allt väsent- ligt motsvarar de angivna bestämmelserna i personuppgiftslagen. Därmed kommer innehållet i inspektionens tillsyn att bli i stort sett det- samma, oavsett om tillsynen avser personuppgiftsbehandling i polisens brottsbekämpande verksamhet eller personuppgiftsbehandling i annan polisiär verksamhet. Dock bör, av de skäl som anges i avsnitt 6.4.2, Datainspektionen inte ha möjlighet att förena ett förbud mot viss person- uppgiftsbehandling med vite. utövar sin tillsyn genom in- spektioner och andra undersökningar för att säkerställa att den verksam- het som står under nämndens tillsyn bedrivs på ett författningsenligt sätt. Nämnden får uttala sig om konstaterade förhållanden och sin uppfattning om behov av förändringar i verksamheten och ska verka för att brister i regelverket avhjälps (12 §§ lagen om tillsyn över viss brottsbekäm- pande verksamhet). Vidare är nämnden skyldig att på begäran av en enskild person kontrollera om denne har utsatts för ett hemligt tvångs- medel eller, i fråga om Säkerhetspolisen, personuppgiftsbehandling i strid med författningar. Nämnden ska underrätta den enskilde om att kontrollen har utförts (3 §). I sin tillsyn har nämnden rätt att av förvalt- ningsmyndigheter som omfattas av tillsynen få de uppgifter och det bi- träde som nämnden begär. Också domstolar och förvaltningsmyndigheter som inte omfattas av nämndens tillsyn är skyldiga att lämna nämnden de uppgifter som den behöver (4 §). Säkerhets- och integritetsskyddsnämndens tillsyn bör, liksom Datain- spektionens tillsyn, avse frågan om personuppgiftsbehandlingen står i överensstämmelse med lag och annan författning och inriktas på att människor skyddas mot att deras integritet kränks vid behandlingen. tillstyrker att dess tillsynsupp- gift utvidgas i enlighet med förslaget. Nämnden anser att tyngdpunkten i tillsynen bör ligga på den personuppgiftsbehandling som är undandragen allmänhetens insyn och förordar att det klargörs i vad mån nämnden ska vara skyldig att på begäran av en enskild kontrollera om han eller hon varit föremål för personuppgiftsbehandling. Som föreslås i promemorian bör tillämpa samma arbetssätt som i sin övriga tillsynsverksamhet. Det innebär att nämnden på eget initiativ eller på enskildas begäran bör kunna genomföra olika slag av inspektioner och utredningar och därvid uttala sig om huruvida det har förekommit felaktigheter vid personuppgiftsbehandlingen. Behovet av Prop. 2009/10:85 inspektioner och kontroller genom nämndens försorg i anledning av en begäran från allmänheten torde vara störst när det gäller personuppgifts- behandling i sekretesskyddad verksamhet. Skyldigheten att genomföra kontroller på begäran av enskilda bör emellertid gälla all personuppgifts- behandling i polisens brottsbekämpande verksamhet. Vid sin tillsyn bör nämnden, liksom , ha rätt att få tillgång till de upplysningar och det biträde som den begär. Det har inte framkommit något behov av att ge nämnden möjlighet att meddela förelägganden eller förbud eller att ge den möjlighet att föra talan i domstol. Det är lämpligare att nämnden även fortsättningsvis, om den finner omständigheter som Datainspektio- nen bör uppmärksammas på, anmäler detta till inspektionen (22 § förord- ningen [2007:1141] med instruktion för Säkerhets- och integritetsskydds- nämnden). Samråd med Datainspektionen? En annan fråga, som hör samman med tillsynen, är om det bör införas en skyldighet för polisen att samråda med Datainspektionen i vissa fall. finns det en bestämmelse om förhandskontroll i 2 § polisdata- förordningen (1999:81). Den innebär att vissa typer av behandling av personuppgifter alltid ska anmälas i förväg. Fördelen med en bestämmelse om förhandskontroll eller samrådsskyldighet är att till- synsmyndigheten informeras om nya behandlingar av personuppgifter och vid behov kan reagera över den planerade behandlingen. Den nuva- rande bestämmelsen om förhandskontroll har dock den svagheten att det i praktiken är svårt för Datainspektionen att påverka framtida behand- lingar, eftersom anmälan inte behöver göras förrän inför igångsättandet av ny behandling av personuppgifter. Som promemorian föreslår bör det i stället finnas en skyldighet för polisen att i vissa situa- tioner samråda med Datainspektionen, exempelvis när polisen planerar att ta nya större system i bruk, förbereder omfattande förändringar i be- fintliga system eller genomför förändringar som påverkar hanteringen av särskilt känsliga uppgifter. Som Datainspektionen anför innebär en sådan ordning att frågan om integritetsskydd på ett bättre sätt kan beaktas då den väcks på ett tidigt stadium av systemutvecklingsprocessen. Detta är emellertid en fråga som inte bör regleras i lag utan som regeringen kan meddela föreskrifter om. Den föreslagna lagstiftningen innebär att polisens möjligheter att be- handla personuppgifter förändras. Den nya lagen ger ramarna för be- handlingen utan att styra den i detalj. Reformer av detta slag bör, som Lagrådet har framhållit, följas upp både när det gäller själva genomfö- randet och utvecklingen i fråga om tillämpningen av den nya lagstift- ningen. Det är också viktigt att identifiera eventuella brister i regleringen. Likaså är det angeläget att ta till vara de synpunkter som den förstärkta tillsynen kan resultera i. Regeringen har genom uppdraget till Rikspolis- styrelsen (se avsnitt 3), som löper fram till dess att lagstiftningen träder i Prop. 2009/10:85 kraft och ska redovisas därefter, försäkrat sig om att kunna följa genomförandet. bör en utvärdering av reformen göras, men det finns inte skäl att redan nu binda sig för vilka former eller vilket innehåll denna utvärdering bör ha. 18 Ikraftträdande och övergångsbestämmelser Regeringens förslag: Den nya polisdatalagen ska träda i kraft , då den nuvarande polisdatalagen (1998:622) ska upphöra att gälla. Fram till utgången av ska den nu gällande polisdatalagens bestämmelser tillämpas på behandlingen av personuppgifter i de sär- skilda undersökningar som har beslutats före ikraftträdandet. Vissa bestämmelser i den nya polisdatalagen om särskilda upplys- ningar, sökning samt behandling av uppgifter i brottsanmälningar och avslutade förundersökningar behöver inte tillämpas före utgången av . Signalements- och känneteckensregistret och det centrala brottsspa- ningsregistret, som enligt övergångsbestämmelserna till den nuva- rande polisdatalagen förs med stöd av Datainspektionens tillstånd och den upphävda datalagen, får fortsätta att föras enligt nu gällande regler fram till utgången av . Ett tillstånd från Datainspektionen kan upphöra att gälla tidigare, om registret avanmäls. Datainspektionens tillstånd för övriga register som enligt den nu gällande polisdatalagens övergångsbestämmelser förs med stöd av datalagen upphör att gälla när den nya lagen träder i kraft. Utredningen anser det viktigt att tiden fram till dess att den nya regle- ringen börjar gälla inte blir längre än nödvändigt. Remissinstanserna har inte haft några synpunkter. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian föreslår dock en kortare övergångsreglering. Remissinstanserna: framhåller behovet av en lång övergångsperiod för att undvika att polisen tvingas lägga resurser på att anpassa äldre datasystem till den nya regleringen i stället för att utveckla nya. Alltför snäva övergångsbestämmelser riskerar enligt styrelsen att leda till att den positiva utveckling som påbörjats vad gäller polisens elektroniska informationshantering bromsas upp. och framhåller att ikraftträdande- och övergångs- bestämmelserna bör utformas med beaktande av det arbete som pågår inom Rådet för rättsväsendets informationsförsörjning. För det fall punkten två i övergångsbestämmelserna till den nuvarande polisdatala- gen skulle behöva förlängas ytterligare anser Datainspektionen att detta inte bör göras generellt utan endast för vissa register. Skälen för regeringens förslag Behovet av en övergångsperiod anför i sitt remissvar att en så kort övergångsperiod som föreslås i promemorian kan leda till avsevärda kostnader för att anpassa polisens befintliga system till den nya regleringen och att kost- naderna beror på hur många av systemen som behöver anpassas. Bland annat mot denna bakgrund gav regeringen Rikspolisstyrel- sen i uppdrag att inventera de datasystem som helt eller delvis förs med stöd av polisdatalagen eller dess övergångsbestämmelser och som om- fattas av förslagen i departementspromemorian samt att redovisa vilka av dessa som inte utan förändringar skulle kunna föras med stöd av försla- gen. I redovisningen av uppdraget vidhåller behovet av och pekar på intressemotsättningen, resurs- mässigt och verksamhetsmässigt, mellan å ena sidan att utveckla nya datasystem som man å andra sidan, till ganska betydande kost- nader, ska förvalta och lagstiftningsanpassa befintliga system. När ny lagstiftning beslutas som påverkar förutsättningarna för att skapa tekniska system, behövs i allmänhet en övergångsreglering. Även om polisen har påbörjat arbetet med att modernisera sina datasystem är det först när den nya lagstiftningen har beslutats som polisen slutligt kan ta ställning till behovet av nya system och förutsättningarna för att ändra befintliga. Att planera och utveckla datasystem tar tid. Av Rikspolis- styrelsens redovisning framgår att polisen bedömer att flera av de nu- varande systemen kommer att behållas, i vart fall , och att den nya lagstiftningen kommer att kräva anpassning av systemen. Kost- nader för att anpassa äldre datasystem som ska avvecklas bör i möjlig mån undvikas. Hänsyn bör tas till detta när övergångsregleringen utformas. Dessutom behöver polisen tid att förbereda sig på en övergång till den nya regleringen genom utbildning m.m. En adekvat övergångsreglering åstadkoms dels genom att låta den nya lagen träda i kraft först efter det att lagen beslutats, dels genom ett mindre antal preciserade övergångsbestämmelser. Genom att låta lagen träda i kraft först efter att den har beslutats undviks omfattande och detaljerade övergångsbestämmelser som riskerar att skapa problem vid tillämpningen. Dessutom ges polisen nödvändig tid att förbereda de åtgärder som krävs. Dessa fördelar överväger de nackdelar som det generellt sett innebär att skjuta på en lags ikraftträdande, exem- pelvis risken att det efter beslutet men innan ikraftträdandet inträffar något som gör att den nya lagen behöver ändras. sker polisens behandling av personuppgifter dels med stöd av särskilda bestämmelser i polisdatalagen, dels med stöd av den upphävda datalagen och tillstånd från Datainspektionen enligt övergångs- bestämmelserna till polisdatalagen, dels med stöd av de allmänna be- stämmelserna i polisdatalagen och personuppgiftslagen (se avsnitt 5). I fråga om den behandling som sker med stöd av särskilda bestämmel- ser i polisdatalagen, bör det införas övergångsbestämmelser för den be- handling som sker i särskilda undersökningar (14 och 15 §§ polisdatala- gen). Vissa av dessa undersökningar kommer att omfattas av de före- slagna bestämmelserna om behandling av gemensamt tillgängliga upp- gifter, bl.a. bestämmelserna om gallring och särskilda upplysningar. För att undvika att belasta underrättelseverksamheten med arbetet att anpassa pågående särskilda undersökningar till den nya regleringen, bör nuva- rande regler fortsätta att tillämpas på de sär- skilda undersökningar som har påbörjats före lagens ikraftträdande. Övergångstiden bör gälla till utgången av . En särskild under- sökning ska pågå högst (se 16 § polisdatalagen), med möjlighet till fortsatt behandling om det finns särskilda skäl. De flesta särskilda under- sökningar bör alltså hinna avvecklas redan innan den nya polisdatalagen har trätt i kraft. Vid övrig behandling av personuppgifter är det framför allt några be- stämmelser i den nya lagen som polisen kan få svårigheter att tillämpa redan vid ikraftträdandet. Detta bekräftas i huvudsak av Rikspolisstyrel- sen i redovisningen av uppdraget. Det rör sig om delar av regleringen angående gemensamt tillgängliga uppgifter, nämligen vissa av bestäm- melserna om särskilda upplysningar, sökbegränsningar samt om behand- ling av uppgifter i brottsanmälningar och avslutade förundersökningar. Gemensamt för dessa bestämmelser är att de förutsätter en återkopp- ling till polisen från åklagarväsendet när en åklagarledd förundersökning eller ett åtal har lagts ned och från domstol om lagakraftvunna domar. Som påtalar saknas det sådana rutiner för återkoppling. Det behövs därför övergångsbestämmelser som medger undantag från tillämpningen av de aktuella bestämmel- serna. Rådet för rättsväsendets informationsförsörjning bedriver arbete som bl.a. syftar till att åstadkomma en rutin för elektronisk återkoppling till polisen av beslut av myndigheter i senare led i rättskedjan. Åklagar- myndigheten och framhåller vikten av att ikraftträ- dande- och övergångsbestämmelserna utformas med beaktande av det arbete som pågår. I fråga om bestämmelserna om sökning är det inte enbart bristen på återkoppling som motiverar övergångsbestämmelser.