prop · GX0385 · 2010-01-08 00:00:00 — De uppgifter som bör få behandlas i registret är således dels uppgifter som krävs för att ska kunna fungera som mellanhand i det polisiära och rättsliga samarbetet, dels uppgifter i vissa frågor av konsulär art. Eftersom ett begränsat antal personer kommer att ha tillgång till regist- ret och detta främst ska fungera som ett verksamhetsstöd för mottagning och vidareförmedling av uppgifter där skälet till att uppgifterna behand- las som regel framgår av sammanhanget, finns det inte något behov av att införa bestämmelser om särskilda upplysningar eller sökbegränsningar för uppgifter i registret. I avsnitt 12.3.3 behandlas frågan om direktåtkomst till registret och i Prop. 2009/10:85 avsnitt 12.4 möjligheten att lämna ut uppgifter ur registret på medium för Någon möjlighet till direktåtkomst föreslås inte. När det gäller gallring behövs en särskild reglering för det internatio- nella registret. framhåller att gallringstid som föreslås gälla generellt för internationella ärenden är alltför kort, bl.a. med hänsyn till att handläggaren kan avsluta ärendet när en fråga från utlandet har besvarats. Om utredningen fortsätter i det andra landet och kompletterande information begärs när det förflutit kommer, med en gallringstid , ärendet inte längre att kunna återfinnas. anser att gallring bör ske först . Eftersom internationella ärenden ibland löper över , t.ex. när det finns en internationell efterlysning på en person som är misstänkt för allvarliga brott där preskriptionstiden är lång, måste det vara möjligt att behandla och återfinna uppgifter än vad som generellt medges i fråga om ärendehantering. Likaså kan ett ärende dra ut beroende i ett annat land. En särskild gallringsbe- stämmelse som tar hänsyn till detta bör införas. Vid en avvägning mellan verksamhetsintressen och integritetsintressen framstår en regel om gall- ring efter utgången av det kalenderår då ärendet avslutades som rimlig. Av de skäl som anges i avsnitt 15.3 och 15.4 bör regeringen, eller den myndighet som regeringen bestämmer, kunna meddela föreskrifter om undantag från bestämmelsen om gallring för bevarande för historiska, statistiska eller vetenskapliga ändamål. 16Behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet Säkerhetspolisen ingår i men har en egen organisation. Av 4 § förordningen (1989:773) med instruktion för framgår att Säkerhetspolisen bedriver polisverksamhet för att förebygga och avslöja brott mot rikets säkerhet m.m. I förordningen (2002:1050) med instruktion för Säkerhetspolisen preciseras dess uppgifter och orga- nisation. Utöver att förebygga och avslöja brott mot rikets säkerhet ska Säkerhetspolisen bl.a. bekämpa terrorism, skydda personer i den centrala statsledningen och fullgöra uppgifter enligt säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Säkerhets- polisens verksamhet syftar till att skydda det demokratiska systemet, medborgarnas fri- och rättigheter och den nationella säkerheten. Verksamheten delas in i fem huvudområden. heten har till uppgift att förebygga och avslöja spioneri, olaglig under- rättelseverksamhet och andra brott mot rikets säkerhet. För att förebygga och avslöja olaglig underrättelseverksamhet mot och svenska intressen bedriver myndigheten operativt fältarbete samt arbetar med analyser och kontakter med olika delar av det svenska samhället. I arbetet ingår också att avslöja flyktingspionage och annan förföljelse av utlän- ningar i från utländska regimer och organisationer. Inom kontraterrorismverksamheten har Säkerhetspolisen till uppgift att förebygga och avslöja terrorism som riktas mot eller utländska intressen här i landet, terroristhandlingar i andra länder samt förekomsten av internationella terroristnätverks förgreningar i . I denna verk- samhet ingår också att förebygga och utreda brott vid handel med pro- dukter som kan användas för att framställa massförstörelsevapen. Säkerhetspolisens författningsskyddande verksamhet syftar till att före- bygga och avslöja brott mot rikets inre säkerhet, dvs. olaglig verksamhet som syftar till att med våld, hot eller tvång ändra vårt statsskick, förmå beslutande politiska organ eller myndigheter att fatta beslut i en viss rikt- ning eller att hindra enskilda medborgare från att utöva sina grundlags- fästa fri- och rättigheter. Inom ramen för den författningsskyddande verk- samheten kartläggs också brott som används som medel för att uttrycka en politisk åsikt eller för att uppnå ett politiskt mål. Hos Säkerhetspolisen bedrivs även personskyddsverksamhet i form av bevaknings- och säkerhetsarbete. Verksamheten omfattar skyddet av den centrala statsledningen. Till den centrala statsledningen räknas statsche- fen, , regeringen samt statssekreterarna och kabinettssekretera- ren. I kretsen av personer som ska skyddas ingår även personer som vistas här i samband med statsbesök och de som omfattas av s.k. annat personskydd. Med det sistnämnda avses skydd som Säkerhetspolisen handhar efter särskilt beslut, som skydd av kungafamiljen och främman- de stats beskickningsmedlemmar. Inom säkerhetsskyddsverksamheten arbetar man för att höja säkerhets- nivån i samhället. Säkerhetspolisen ger råd till och kontrollerar myndig- heters och företags verksamhet. Syftet är att skydda mot spioneri, sabo- tage och andra brott som kan röra rikets säkerhet, att skydda hanteringen av uppgifter som har betydelse för rikets säkerhet och att förebygga ter- rorism. I arbetet ingår att genomföra registerkontroll av personer efter framställan från berörda myndigheter eller i vissa fall annan stat eller mellanfolklig organisation. Tyngdpunkten i Säkerhetspolisens verksamhet ligger på förebyggande arbete. 16.1.2Säkerhetspolisens nuvarande behandling av personuppgifter Säkerhetspolisens behandling av personuppgifter sker med stöd av be- stämmelserna i personuppgiftslagen (1998:204) och den allmänna delen av polisdatalagen (1998:622), dvs. 19 och 13 §§. Utöver detta finns det särskilda bestämmelser om det s.k. i 3235 §§ polis- datalagen och 12 och 13 §§ polisdataförordningen (1999:81). Bestäm- melserna innebär att det ska föras ett SÄPO-register som har till ändamål att underlätta spaning i syfte att förebygga och avslöja brott mot rikets säkerhet och bekämpa terroristbrott samt utgöra underlag för register- kontroll enligt säkerhetsskyddslagen. I polisdatalagen anges vilka uppgif- ter som får föras in i registret och när dessa ska gallras. Bestämmelserna i 10 och 11 §§ om behandling av uppgifter om kvarstående misstankar och 1421 §§ polisdatalagen om kriminalunderrättelseverksamhet gäller inte för Säkerhetspolisen. Säkerhetspolisen för bl.a. ett centralregister samt särskilda uppgifts- samlingar för bearbetning och analys av underrättelseinformation. Dess- utom förs diarier. utgör ett arbetsverktyg i vilket behöriga befattningsha- vare för in uppgifter genom att bearbeta avslutade ärenden och göra upp- gifterna sökbara. Endast sådana uppgifter som enligt 33 och 34 §§ polis- datalagen får finnas i registreras. Tillgången till uppgifter i centralregistret begränsas till vad var och en behöver för att kunna ut- föra sina arbetsuppgifter (jfr 13 § polisdataförordningen). För att få behö- righet till registret måste personalen genomgå en utbildning som avslutas med ett prov, som måste vara godkänt. Behörigheten delas upp i olika nivåer beroende på vilka behov den anställde har. De enskilda handlingarna i varje ärende finns inte i centralregistret men kan nås via registret genom en sökning på ärendet. En förutsättning för att en tjänsteman ska få tillgång till handlingarna i ett ärende är att denne är behörig. I varje ärende finns det uppgift om uppgiftslämnarens tillförlitlighet. Där anges vidare om uppgifterna bygger på uppgiftsläm- narens egna iakttagelser eller om det är fråga om andrahandsuppgifter. Dessutom klassificeras uppgifternas tillförlitlighet enligt ett särskilt system. Alla transaktioner och frågor i centralregistret loggas. Enhetsche- ferna kontrollerar regelbundet den egna personalens loggningar i regist- ret. En särskild enhet utför daglig kontroll av all uppdatering som görs i centralregistret. Beslut om nyregistrering av en fysisk eller juridisk per- son i centralregistret fattas av den enhetschef som ansvarar för doku- mentation. Gallring genomförs av enheten för dokumentation efter ytt- rande från ansvarig enhet. Den ansvariga enheten bevakar gallringsfrister och begär vid behov förlängd gallringstid enligt 35 § första stycket polis- datalagen. För bearbetning och analys av underrättelser behandlas personuppgifter även i avgränsade uppgiftssamlingar. En närmare beskrivning av de databaser och ärendehanteringssystem som förs hos finns i bilaga 6. Inom pågår arbete med att ta fram ett nytt ärende- hanteringssystem. 16.1.3Extern kontroll av personuppgiftsbehandlingen Datainspektionen utövar tillsyn över Säkerhetspolisens behandling av personuppgifter inom den brottsbekämpande verksamheten enligt samma regler som gäller för alla myndigheter. Därutöver har , som övertog Register- nämndens uppgifter, till uppgift att granska Säkerhetspolisens behandling av personuppgifter enligt polisdatalagen, särskilt med avseende på 5 § som reglerar behandling av känsliga personuppgifter (1 § andra stycket Prop. 2009/10:85 lagen [2007:980] om tillsyn över viss brottsbekämpande verksamhet). avsnitt 17.2 redogörs närmare för tillsynen över polisens personuppgifts- behandling. Nämnden utövar tillsyn såväl på eget initiativ som på begäran av en enskild. Vid nämndens tillsyn på eget initiativ används både slumpmäs- siga urval och riktade urval av områden där det bedöms finnas en påtag- lig risk för felaktigheter. Nämnden är skyldig att på begäran av en en- skild kontrollera bl.a. om han eller hon i strid med lag eller annan författ- ning har varit föremål för Säkerhetspolisens personuppgiftsbehandling. När kontrollen har utförts ska nämnden underrätta den enskilde om detta. vid en kontroll finna att Säkerhetspolisen har behandlat personuppgifter i strid med gällande författningar ska den person som har begärt kontrollen underrättas även om detta. Nämnden är då också skyl- dig att anmäla den författningsstridiga verksamheten till Justitiekanslern, , Datainspektionen eller någon annan behörig myn- dighet för åtgärd. Inrättandet av har medfört att möjligheten för enskilda att begära en kontroll av Säkerhetspolisens personuppgiftsbehandling har ökat. 16.2.1Huvuddragen i den nya regleringen Regeringens förslag: På grund av särdragen i Säkerhetspolisens verk- samhet införs särskilda bestämmelser för behandlingen av personupp- gifter i dess brottsbekämpande verksamhet. Regeringens bedömning: Bestämmelserna om Säkerhetspolisens behandling av personuppgifter bör i huvudsak ha samma innebörd som gällande rätt. Utredningen föreslår ett mindre antal särbestämmelser för Säkerhets- polisen. Utredningens bedömning överensstämmer i huvudsak med pro- memorians. Remissinstanserna har inte haft något att invända mot utredningens förslag. har vitsordat att inte längre behöver föras i den form som polisdatalagen kräver. Promemorians förslag och bedömning överensstämmer med rege- ringens. Remissinstanserna tillstyrker eller har inget att invända mot förslaget i stort. Vissa detaljsynpunkter framförs dock. Remissinstanserna tillstyr- ker eller har inget att invända mot promemorians bedömning. Skälen för regeringens förslag och bedömning: Säkerhetspolisens verksamhet bedrivs i stor utsträckning på liknande sätt som verksamhe- ten vid polisen i övrigt. Den reglering som föreslås för polisen i övrigt bör därför i många avseenden tillämpas även på Säkerhetspolisen. Sär- dragen i Säkerhetspolisens verksamhet motiverar dock att vissa bestäm- melser, liksom , utformas på ett sätt som är särskilt anpassat till I motsats till vad som gäller för polisen i övrigt är Säkerhetspolisens brottsutredande verksamhet mycket liten. Tyngd- punkten ligger i stället på underrättelseverksamhet och renodlat förebyg- gande arbete. Säkerhetspolisen behöver behandla personuppgifter på ett i huvudsak oförändrat sätt. Bestämmelserna om Säkerhetspolisens behandling av personuppgifter bör därför i huvudsak ha samma innebörd som gällande rätt. Utöver de föreskrifter som finns i lag och förordning har Säkerhets- polisen utarbetat interna bestämmelser för att garantera ett starkt skydd för enskilda som registreras. Skyddet kontrolleras och utvärderas löpande såväl inom myndigheten som av Säkerhets- och integritetsskyddsnämn- den. Regeringen delar och promemorians uppfattning att den nya lagen inte bör innehålla några bestämmelser om SÄPO- registret. Lagen bör så långt möjligt vara teknikneutral och reglera be- handlingen av personuppgifter, inte arbetsmetoderna. Som beskrivs i avsnitt 6.1 går utvecklingen mot att behandling av personuppgifter i traditionella register överges och att sådan behandling i stället sker i mer avancerade datasystem. På samma sätt som för polisen i övrigt bör det i den nya lagen införas särskilda bestämmelser om uppgifter som görs eller har gjorts gemensamt tillgängliga i Säkerhetspolisens brottsbekäm- pande verksamhet. Dessa bestämmelser syftar till att skydda den person- liga integriteten för berörda personer, bl.a. genom att säkerställa att det tydligt framgår varför en personuppgift behandlas. Som anförs i promemorian bör bestämmelserna i den nya lagen endast ge ramen för den tillåtna personuppgiftsbehandlingen. Ingen remiss- instans har ifrågasatt denna utgångspunkt. En sådan reglering innebär emellertid att det i stor utsträckning överlåts till Säkerhetspolisen att avgöra hur insamlade uppgifter ska struktureras, göras åtkomliga och behandlas i verksamheten. För att detta ska vara acceptabelt från integri- tetsskyddssynpunkt krävs att verksamheten fortlöpande kontrolleras av någon med särskild insyn i verksamheten. Justitiekanslern pekar i sitt remissvar på att det såväl historiskt som i modern tid har funnits problem med insyn i Säkerhetspolisens registerhantering och hänvisar till betän- kandena Rikets säkerhet och den personliga integriteten (SOU 2002:87) och Politisk övervakning och personkontroll 19692002 (SOU 2002:89). Justitiekanslern framhåller vidare att i en dom har funnit att brutit mot ett antal grundläggande fri- och rättigheter i genom viss lagring av personupp- gifter hos (m.fl. mot ). Enligt regeringens bedömning utgör inrättandet av Säkerhets- och integritets- skyddsnämnden, vilket skett bl.a. mot bakgrund av dom, och den tillsyn som nämnden bedriver en bra grund för att värna integritetsskyddet. Utöver denna särskilda tillsyn utövar Datainspektio- nen sedvanlig tillsyn över personuppgiftsbehandlingen (se avsnitt 17.2). Sammantaget tillgodoses därmed integritetsskyddsintressena på ett till- fredsställande sätt. I det följande redovisas hur bestämmelserna om behandling av person- uppgifter i Säkerhetspolisens brottsbekämpande verksamhet bör utfor- mas. 16.2.2Bestämmelser som ska gälla även för Säkerhetspolisen Regeringens förslag: Huvuddelen av de bestämmelser som föreslås gälla i polisens brottsbekämpande verksamhet i övrigt ska gälla även i Säkerhetspolisens verksamhet, däribland bestämmelserna om förhållandet till personuppgiftslagen (1998:204), behandlingen av känsliga personuppgifter, tillgången till uppgifter, och utlämnande av uppgifter till bl.a. utländsk myndighet. Vidare ska bestämmelser med i huvudsak samma innebörd som motsvarande bestämmelser för polisen i övrigt gälla i fråga om be- handlingen av uppgifter om juridiska personer och personuppgiftsan- svar. Personuppgifter som behandlas automatiserat i Säkerhetspolisens verksamhet får inte bevaras än vad som behövs för något eller några av de ändamål som gäller för Säkerhetspolisens be- handling av personuppgifter. Vidare ska samma regler gälla för Sä- kerhetspolisen som för polisen i övrigt när det gäller gallring av upp- gifter som inte har gjorts gemensamt tillgängliga samt vissa andra be- stämmelser om bevarande och gallring. Utredningens förslag: Utredningen väljer en annan lagteknisk lös- ning. I sak överensstämmer dock utredningens förslag i allt väsentligt med promemorians. Remissinstanserna: har ifrågasatt om det kommer att vara möjligt att undvika att känsliga personuppgifter kommer att behandlas på ett otillåtet sätt, bl.a. i de s.k. analysdataba- serna. Övriga remissinstanser har inte yttrat sig i frågan. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian föreslår dock inte någon uttrycklig bestämmelse som anger att uppgifter aldrig får bevaras längre än vad som behövs för något eller några av de ändamål som gäller för Säkerhetspolisens personuppgiftsbe- handling. Remissinstanserna tillstyrker eller har inget att invända mot prome- förslag. Säkerhetspolisen efterlyser dock ett klargörande av när myndigheten omfattas av lagens bestämmelser. Skälen för regeringens förslag: Åtskilliga av de bestämmelser som föreslås gälla för den övriga polisens behandling av personuppgifter bör gälla även för Säkerhetspolisen. Till dessa hör bestämmelserna om lagens tillämpningsområde (avsnitt 6.3). Detsamma gäller förhållandet till personuppgiftslagen och tillämpliga bestämmelser i personuppgiftsla- gen (avsnitt 6.4). Vidare bör, som föreslås i avsnitt 17.2, gälla i huvudsak samma bestämmelser om tillsyn över behandlingen av personuppgifter som för polisen i övrigt. I avsnitt 8 föreslås bestämmelser som begränsar möjligheten att be- handla känsliga personuppgifter. Också dessa bör gälla vid personupp- giftsbehandling i Säkerhetspolisens verksamhet. ifrå- gasatte i sitt remissyttrande över betänkande om de regler som utredningen föreslagit var tillräckliga för att förhindra otillåten behandling av känsliga personuppgifter. utarbetade Säkerhetspolisen en särskild rutin för registreringen av känsliga person- uppgifter vilken accepterades av . Syftet var att undvika att känsliga personuppgifter behandlas i strid med gällande regler. Av Registernämndens verksamhetsberättelse för framgår att nämn- den särskilt granskade samtliga nyregistreringar i centralregistret på kontraterrorismens område . Vid inspektionen påträf- fades inte några registreringar som stred mot 5 § polisdatalagen. Säker- hetspolisens behandling av känsliga personuppgifter har varit föremål för Säkerhets- och integritetsskyddsnämndens granskning i ett stort antal fall. Av nämndens årsberättelse för framgår att granskningen inte har påvisat några brister i behandlingen av känsliga personuppgifter, med undantag för ett påpekande vilket föranlett åtgärder från Säkerhetspolisens sida. Den principiellt viktiga bestämmelsen om att endast de personer i verksamheten som behöver ha tillgång till uppgifter för att kunna full- göra sina arbetsuppgifter ska ha det (avsnitt 6.6) bör gälla även för Säkerhetspolisen. När det gäller utlämnande av uppgifter till bl.a. utländ- ska myndigheter föreslås i avsnitt 12 att den nya lagen ges ett innehåll som motsvarar nuvarande reglering. Förslaget omfattar även Säkerhets- polisens personuppgiftsbehandling. Vidare bör samma regler gälla för Säkerhetspolisens utlämnande av uppgifter på medium för automatiserad behandling som för polisen i övrigt. Säkerhetspolisen bör vara personuppgiftsansvarig för den behandling av personuppgifter som sker i dess egen verksamhet. Vidare bör, på samma sätt som för polisen i övrigt, bestämmelserna om Säkerhetspoli- sens personuppgiftsbehandling i tillämpliga delar gälla för uppgifter om juridiska personer (avsnitt 6.3). I avsnitt 14.1 redogörs närmare för de allmänna utgångspunkter för be- varande och gallring som föreslås gälla för polisen i övrigt. Där bemöts även den remisskritik som riktas mot promemorians förslag i denna del. De utgångspunkter som anges där bör gälla i tillämpliga delar även för Säkerhetspolisen. Lagen bör således innehålla en bestämmelse som anger att uppgifter inte får bevaras längre än vad som behövs för något eller några av de ändamål som gäller för Säkerhetspolisens behandling av personuppgifter. Denna generella bestämmelse bör kompletteras med bestämmelser som föreskriver en yttersta gräns för bevarande av vissa kategorier av personuppgifter. Vidare bör en motsvarande bestämmelse som för polisen i övrigt om gallring av uppgifter som inte har gjorts gemensamt tillgängliga gälla för Säkerhetspolisens personuppgiftsbe- handling (avsnitt 14.2). Gallringsbestämmelsen ska på samma sätt som för övriga polisen inte gälla uppgifter i ärenden om utredning eller beiv- rande av brott. Även vad som anförs i avsnitt 14.1 beträffande digital arkivering bör gälla för Säkerhetspolisen. När det gäller Säkerhetspolisens önskemål om att myndigheten bl.a. ska anges direkt i bestämmelserna och inte ha ställning som polismyn- dighet alternativt finns det inte skäl att göra någon annan bedömning än den som gjorts i promemorian. I avsnitt 6.3 redovi- sas skälen för detta. Regeringens förslag: I lagen ska det anges för vilka ändamål Säker- hetspolisen får behandla personuppgifter i den brottsbekämpande verksamheten. Ändamålen ska delas in i primära och sekundära. De primära ändamålen avser behandling av personuppgifter för att tillgo- dose Säkerhetspolisens egna behov. Dessa ändamål är uttömmande angivna i lagen. De sekundära ändamålen avser behandling för att lämna ut personuppgifter. I fråga om behandling av personuppgifter för andra sekundära ändamål än de i lagen angivna tillämpas den s.k. finalitetsprincipen. Utredningens förslag: Personuppgifter ska få behandlas bara om be- handlingen är nödvändig för att sådan verksamhet som omfattas av lagen ska kunna utföras. Personuppgifter ska få samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och senare behandling får inte ske för något ändamål som är oförenligt med det för vilket uppgif- terna samlades in. Remissinstanserna: Flertalet remissinstanser har tillstyrkt utredning- ens förslag eller inte haft något att invända mot det. Promemorians förslag överensstämmer delvis med regeringens. Pro- memorian föreslår emellertid en uttömmande reglering av för vilka ändamål personuppgifter får behandlas och finalitetsprincipen föreslås inte vara tillämplig. Remissinstanserna tillstyrker eller har inget att invända mot prome- förslag när det gäller Säkerhetspolisen. Generellt kritiseras dock lagens ändamålsreglering av flera remissinstanser. Skälen för regeringens förslag: I avsnitt 7.1 redogörs närmare för hur den nya lagens ändamålsreglering bör utformas. Där bemöts den re- misskritik som riktas mot promemorians förslag i denna del. Den ända- målsreglering som föreslås i avsnitt 7.1 bör gälla även för Säkerhetspoli- sen. I lagen bör således göras en uppdelning mellan primära och sekun- dära ändamål. De primära ändamålen bör anges uttömmande medan de sekundära ändamålen bör anges så tydligt och fullständigt som möjligt och kompletteras med en möjlighet att behandla uppgifter även för än- damål som inte är oförenliga med insamlingsändamålet inom ramen för finalitetsprincipen. I avsnitt 16.3.2 och 16.3.3 redovisas närmare de pri- mära respektive sekundära ändamålen för vilka Säkerhetspolisen bör få behandla personuppgifter. Regeringens förslag: Personuppgifter ska få behandlas i Säkerhets- polisens verksamhet om det behövs för att 1.förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet, terroristbrott samt vissa yttrande- frihetsbrott och tryckfrihetsbrott, 2.utreda eller beivra sådana brott som avses i 1, eller, efter särskilt beslut, annat brott, 3.fullgöra uppgifter i samband med personskydd, 4.fullgöra uppgifter enligt säkerhetsskyddslagen (1996:627), 5.fullgöra förpliktelser som följer av internationella åtaganden, eller 6.lämna tekniskt biträde till , polismyndigheter, , eller . Personuppgifter ska alltid få behandlas om behandlingen är nödvän- dig för diarieföring eller om uppgifterna har lämnats till Säkerhetspo- lisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen.