prop · GX0385 · 2010-01-08 00:00:00 — Det innebär t.ex. att information inte behöver lämnas om sådant som polisen har inhämtat i sin underrättelseverksamhet, om det kan antas att syftet med beslutade eller förutsedda åtgärder skulle motverkas av att informa- tion lämnas (18 kap. 2 § offentlighets- och sekretesslagen). Enligt hänvisningen i punkten 6 till 28 § personuppgiftslagen ska också den lagens bestämmelser om rättelse tillämpas. Den personuppgiftsan- svarige är alltså skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med förevarande lag däribland de bestämmelser i personupp- giftslagen till vilka lagen hänvisar eller föreskrifter som har utfärdats i anslutning till lagen. Rättelse ska dock inte ske enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brotts- misstankar, senare har visat sig vara oriktiga. I punkten 7 görs en hänvisning till 30 och 31 §§ samt 32 § första stycket personuppgiftslagen. Enligt 30 § första stycket får ett personupp- giftsbiträde (dvs. den som behandlar personuppgifter för den person- uppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personupp- gifter enbart i enlighet med instruktioner från den personuppgiftsansva- rige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, gäller dock enligt 30 § tredje stycket dessa i stället. Den sistnämnda be- stämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekre- tess (se prop. 1997/98:44 s. 136). Av 31 § följer bl.a. att den personupp- giftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Med tillsyns- myndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen (2 § personuppgiftsförordningen [1998:1191]). En hänvisning görs i punkten 8 till 3335 §§ personuppgiftslagen. Enligt 33 § är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga om- ständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behand- lingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. I 34 och 35 §§ föreskrivs undan- tag från förbudet. Enligt 34 § får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa uppräknade omständig- heter. Det är också enligt den paragrafen tillåtet att föra över personupp- gifter för användning enbart i en stat som har anslutit sig till dataskydds- konventionen. I 35 § föreskrivs att regeringen, och för vissa fall även den myndighet som regeringen bestämmer, får meddela föreskrifter om undantag från förbudet i 33 §. I punkten 9 görs en hänvisning till 3840 §§ personuppgiftslagen, där det framgår vilka närmare uppgifter ett personuppgiftsombud har. Jfr 5 § angående skyldigheten att utse personuppgiftsombud. En hänvisning görs också till 41 § personuppgiftslagen. Enligt den paragrafen har regeringen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska an- mälas till Datainspektionen för förhandskontroll. Hänvisningen i punkten 10 till 42 § personuppgiftslagen innebär att den personuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten, dvs. Sekretessbelagda uppgifter och uppgifter om vidtagna sä- kerhetsåtgärder behöver dock inte lämnas ut. Datainspektionen har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personupp- gifter. Detta framgår av hänvisningen i punkten 11 till 43 § personupp- giftslagen. Om inspektionen inte har tillräckligt underlag för att konsta- tera att behandlingen av personuppgifter är laglig, får den med stöd av hänvisningen till 44 § personuppgiftslagen förbjuda behandlingen. Kon- staterar Datainspektionen att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska inspektionen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Om det inte går att få till stånd rättelse, eller om saken är brådskande, får Datainspektio- nen förbjuda behandlingen, vilket följer av hänvisningen till 45 § första stycket personuppgiftslagen. Vidare hänvisas till 47 § personuppgiftsla- gen där Datainspektionen ges rätt att hos länsrätten ansöka om att per- sonuppgifter som har behandlats på ett olagligt sätt ska utplånas. Som framgår av hänvisningen i 6 § till lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet utövar även viss tillsyn över polisens personuppgiftsbe- handling. Nämndens befogenheter regleras i den lagen. Frågor om tillsyn har behandlats i avsnitt 17.2. Av hänvisningen i punkten 12 till 48 § personuppgiftslagen följer att den personuppgiftsansvarige ska ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av per- sonuppgifter i strid med förevarande lag och de bestämmelser i per- sonuppgiftslagen till vilka lagen hänvisar har orsakat. Av hänvisningen i punkten 13 till 51 § första stycket personuppgiftsla- gen följer att Datainspektionens beslut får överklagas till allmän förvalt- ningsdomstol. Som framgår av hänvisningen till 52 § första stycket per- sonuppgiftslagen kan den personuppgiftsansvariga myndighetens beslut om information enligt 26 §, om rättelse och om underrättelse till tredje man enligt 28 § och om upplysningar enligt 42 § personuppgiftslagen också överklagas hos allmän förvaltningsdomstol. Av hänvisningen till 53 § personuppgiftslagen följer att andra beslut inte får överklagas. I andra stycket regleras hur gallringsregler i lagen, och i föreskrifter som meddelats i anslutning till lagen, förhåller sig till hänvisningen i första stycket punkten 2. Bestämmelsen innebär att denna lag ges före- träde framför bestämmelserna i 8 § andra stycket personuppgiftslagen. Det tredje stycket innehåller två undantag från informationsskyldighe- ten i 23 § personuppgiftslagen. För det första behöver information inte lämnas om uppgifterna samlas in genom bild- eller ljudupptagning. Undantaget omfattar bl.a. insamling genom hemlig teleavlyssning, hem- lig rumsavlyssning och kameraövervakning enligt bestämmelser i rät- tegångsbalken, lagen (1998:150) om allmän kameraövervakning, lagen (2007:978) om hemlig rumsavlyssning, lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott och lagen (2008:854) om åt- gärder för att utreda vissa samhällsfarliga brott. Särskilda bestämmelser om tvångsmedelsanvändning som omfattas av undantaget finns dessutom i lagen (1988:97) om förfarandet hos kommunerna, förvaltningsmyndig- heterna och domstolarna under krig eller krigsfara m.m. Vidare omfattas fotografering som sker med stöd 28 kap. 14 § av undantaget från informationsskyldigheten. Även insamling genom bild- och ljudupptagning som inte är författningsreglerad omfattas av undanta- get. För det andra behöver information enligt 23 § inte lämnas om uppgif- terna samlas in i samband med ett larm och det med hänsyn till omstän- digheterna inte finns tid att lämna information. Med larm avses en bråd- skande begäran om att polisen ska vidta en åtgärd av något slag. Larm görs vanligtvis till polisens kommunikationscentraler, men bestämmelsen tar sikte även på de situationer där en person vänder sig till en enskild polisman eller till en telefonist i polisens allmänna växel. I sådan verksamhet som består av att ta emot larm, t.ex. vid en kommuni- kationscentral, torde information enligt 23 § aldrig behöva lämnas, efter- som det i den verksamheten typiskt sett inte finns tid att lämna informa- tion. När larm görs i andra sammanhang, måste det avgöras från fall till fall om det finns tid att lämna informationen. Avgörande för denna be- dömning bör främst vara om det skulle medföra en försening av den efterfrågade åtgärden eller om åtgärden på annat sätt skulle påverkas ne- gativt av att informationen lämnas. Om undantaget från informations- plikten är tillämpligt, behöver polisen inte heller lämna informationen i efterhand. Förbud enligt 44 eller 45 § personuppgiftslagen får normalt förenas med vite. I fjärde stycket föreskrivs dock att förbud som meddelas i sam- band med tillsyn enligt denna lag inte får förenas med vite. Definition av DNA-analys, DNA-profil och fingeravtryck 3 § I denna lag avses med DNA-analys: varje förfarande som kan användas för analys av deoxyribo- nukleinsyra i humant material, DNA-profil: resultatet av en DNA-analys som presenteras i form av siffror eller bokstäver, och fingeravtryck: fingeravtryck eller handavtryck. I paragrafen definieras begreppen DNA-analys, DNA-profil och finger- avtryck. I förhållande till definitionen av DNA-analys i 3 § polisdatala- gen (1998:622) har ett tillägg gjorts för att tydliggöra att regleringen enbart omfattar DNA-analys av prov från en människa. Vid en DNA- analys undersöks en liten del av arvsmassan i syfte att få fram för indivi- den unika identifikationsuppgifter. I den nuvarande polisdatalagen finns ingen definition av DNA-profil. stället för DNA-profil används uttrycket uppgifter om resultatet av En DNA-profil består av uppgifter som har tagits fram med hjälp av DNA-analys, dvs. analys av deoxyribonukleinsyra i an- tingen ett särskilt prov från humant biologiskt material (t.ex. blod, hår eller hudceller) eller från spår som innehåller sådant material och som har påträffats på eller i nära anslutning till en brottsplats. får enbart presenteras i form av siffror eller bokstäver eller en kombina- tion av siffror och bokstäver. Därmed går det inte att identifiera en per- son enbart med stöd av DNA-profilen. Bakgrunden till att det införs en definition av begreppet DNA-profil har beskrivits i avsnitt 9.6. I paragrafen definieras även vad som avses med fingeravtryck. tionen motsvarar vad som registreras , dvs. fingrar eller hand. Definitionen uppfyller kraven i Prümrådsbeslutet (se 4 § är personuppgiftsansvarig för den behandling av person- uppgifter som myndigheten utför och den behandling som utförs i polisens verk- Varje polismyndighet är personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför. Paragrafen innehåller bestämmelser om personuppgiftsansvar. behandlats i avsnitt 6.5. I paragrafen anges att och var och en av polismyn- digheterna är personuppgiftsansvariga för den behandling av person- uppgifter enligt 14 kap. som respektive myndighet utför. Av 5 kap. 5 § framgår att Säkerhetspolisen på motsvarande sätt är personuppgiftsansva- rig för den behandling av personuppgifter som Säkerhetspolisen utför. Enligt 1 kap. 2 § första stycket är lagen tillämplig på polisens brotts- bekämpande verksamhet vid . som arbetar vid är tillkallad av ; se 8 § förordningen (1989:773) med instruktion för och 7 § förordningen (2007:972) med instruktion för Ekobrottsmyndig- leder sådan verksamhet vid Ekobrottsmyndig- heten som enligt lag eller annan författning endast får utföras av anställda inom polisen (6 § 7 instruktionen för ). enligt förevarande paragraf personuppgiftsansvarig för den personupp- giftsbehandling som sker i den brottsbekämpande verksamhet som be- drivs av polispersonal vid . Begreppet personuppgiftsansvarig definieras i 3 § personuppgiftslagen (1998:204). Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av Flera bestämmelser i personuppgiftslagen, till vilka det Prop. 2009/10:85 hänvisas i 2 §, ålägger den personuppgiftsansvarige särskilda skyldighe- Så är det t.ex. enligt 9 § första stycket personuppgiftslagen den per- sonuppgiftsansvariges skyldighet att se till att de behandlade personupp- gifterna är adekvata och relevanta i förhållande till ändamålen för be- handlingen och att inte fler personuppgifter behandlas än som är nöd- vändigt med hänsyn till ändamålen för behandlingen. Det ankommer också på den personuppgiftsansvarige att se till att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Den myndighet som samlar in och lagrar personuppgifter är person- uppgiftsansvarig för den behandlingen. Om samma uppgift lämnas ut till en annan myndighet, genom direktåtkomst eller på annat sätt, blir den mottagande myndigheten personuppgiftsansvarig för den fortsatta be- handlingen av uppgiften hos den myndigheten. När uppgifter lämnas ut till olika myndigheter kan alltså personuppgiftsansvaret för en och samma uppgift komma att ligga hos flera myndigheter. Var och en av dessa ansvarar för den egna behandlingen. 5 § och varje polismyndighet ska utse ett eller flera person- uppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt per- sonuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller entledigas. Frågan har kommenterats i avsnitt 6.5. I första stycket föreskrivs att och varje polismyn- dighet ska utse ett eller flera personuppgiftsombud. Hänvisningen i 2 § första stycket 9 till 3840 §§ personuppgiftslagen (1998:204) innebär att den lagens bestämmelser om personuppgiftsombudets uppgifter blir tillämpliga vid och polismyndigheterna. Som framgår av kommentaren till 4 § är personupp- giftsansvarig för den personuppgiftsbehandling som sker i den brottsbe- kämpande verksamhet som bedrivs av polispersonal vid Ekobrottsmyn- digheten. Personal anställd vid får inte utses till personuppgiftsombud för sådan behandling. Enligt andra stycket ska den personuppgiftsansvarige anmäla till till- synsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen, när ett personuppgiftsombud utses eller entledigas. En motsvarande bestäm- melse finns i 36 § andra stycket personuppgiftslagen. 6 § Ytterligare bestämmelser om tillsyn finns i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. Paragrafen innehåller en erinran om den tillsyn som Säkerhets- och in- tegritetsskyddsnämnden ska utöva över polisens personuppgiftsbehand- ling. Frågan har behandlats i avsnitt 17.2. 7 § Personuppgifter får behandlas om det behövs för att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller beivra brott, eller 3.fullgöra förpliktelser som följer av internationella åtaganden. Paragrafen anger de primära ändamål för vilka personuppgifter får be- handlas i polisens brottsbekämpande verksamhet. Avgränsningen av dessa ändamål har behandlats i avsnitt 7.27.4. Personuppgifter får också behandlas för planering, uppföljning och utvärdering av polisens brotts- bekämpande verksamhet. Sådan behandling anses utgöra en del av själva verksamheten och behöver inte regleras särskilt (se avsnitt 7.6 och prop. 2004/05:164 s. 179). Personuppgifter som behandlas med stöd av 7 § får också behandlas för ett antal ytterligare ändamål. Behandlingen för dessa sekundära ändamål regleras i 8 §. Av 9 § framgår att personuppgifts- behandling dessutom får ske för diarieföring och inom ramen för viss ärendehantering. Vidare får personuppgifter behandlas för ett annat sekundärt ändamål än de i lagen angivna, om det nya ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Ramarna för sådan vidarebehandling sätts således av den s.k. finalitetsprincipen. Som framgår av hänvisningen i 2 § första stycket punkten 2 till 8 § per- sonuppgiftslagen (1998:204) får behandling också ske i den mån den är nödvändig för att polisen ska kunna fullgöra sina skyldigheter enligt 2 kap. tryckfrihetsförordningen. Tillsammans avgränsar de nu nämnda bestämmelserna för vilka ändamål behandling av personuppgifter är tillåten i polisens brottsbekämpande verksamhet. Lagens ändamålsregle- ring har behandlats i avsnitt 7.1. En grundläggande förutsättning för att en personuppgift ska få behand- las med stöd av 7 § är att den behövs för viss särskilt angiven polisiär verksamhet. Med detta avses att det ska finnas ett konkret behov av att utföra behandlingen och att detta behov svarar mot ändamålet med denna. Som exempel kan nämnas att det i en förundersökning kan vara nödvändigt att sammanställa uppgifter om vilka personer som har befun- nit sig på platsen för brottet för att säkerställa att alla presumtiva vittnen har hörts i saken, att sammanställa en förteckning över alla målsägande och deras ersättningskrav eller att redovisa vilka personer som har haft kontakt med ett offer i tidsmässigt nära samband med brottet. Likaså måste självfallet många personuppgifter om misstänkta behandlas för att tillgodose dels åklagarens behov av underlag för sitt ställningstagande i åtalsfrågan, dels domstolens behov av personutredning i brottmål (jfr bestämmelserna i 20 och 21 §§ förundersökningskungörelsen [1947:948] om vad ett förundersökningsprotokoll ska innehålla). Om ändamålet med personuppgiftsbehandlingen är att förebygga eller förhindra brott, kan det t.ex. vara nödvändigt att sammanställa uppgifter om vem som hyr vissa lokaler eller vem som äger eller disponerar fordon som man misstänker används i den brottsliga verksamheten. Det kan också handla om att klarlägga vilka personer som regelbundet besöker en viss plats där man misstänker att allvarlig brottslig verksamhet förekommer. Som exempel på att en viss behandling normalt inte behövs kan nämnas att det i en för- undersökning om ekonomisk brottslighet rimligen inte behövs behand- ling av uppgifter om att den misstänkte har varit misstänkt för eller dömts för sexualbrott. I underrättelseprojekt som rör en viss typ av allvarlig brottslighet bör inte underrättelseuppgifter som helt saknar sam- band med just det aktuella projektet få behandlas. Är uppgifterna av annat skäl av intresse för brottsbekämpningen, får de i stället behandlas inom ramen för en annan förundersökning eller ett annat underrättelse- projekt. En stor mängd av den information som polisen samlar in och bearbetar för ett specifikt ändamål, exempelvis för att utreda ett visst brott, måste kunna vidarebehandlas för andra ändamål som antingen anknyter till det ursprungliga ändamålet eller ligger vid sidan av detta. Sådan vidarebe- handling är tillåten, under förutsättning att den efterföljande behand- lingen faller in under något av de primära eller sekundära ändamål som anges i lagen. Dessutom får uppgifter behandlas för andra sekundära ändamål än de som anges i lagen, om det efter en prövning i det enskilda fallet bedöms att vidarebehandlingen inte kan anses oförenlig med in- samlingsändamålet (finalitetsprincipen). I punkten 1 anges att personuppgifter får behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet (avsnitt 7.2). Det polisarbete som åsyftas är framför allt det som vanligtvis kallas underrättelseverksamhet, dvs. arbete med insamling, bearbetning och analys av information för att förhindra eller upptäcka brottslig verksam- het när det ännu inte finns konkreta misstankar om att ett visst brott har begåtts. Även behandling av överskottsinformation med stöd av 27 kap. 23 a § andra stycket omfattas av denna punkt, om syftet är att förhindra brott. Polisarbete som är inriktat på en redan begången individualiserad brottslig gärning faller in under punkten 2. Av punkten 2 framgår att personuppgifter får behandlas för att utreda eller beivra brott (avsnitt 7.3). Huvuddelen av polisens verksamhet under denna punkt består av förundersökning eller annan utredning enligt be- stämmelserna i 23 kap. , men polisen har även vissa uppgifter som avser beivrande av brott. Under beivrande av brott faller främst föreläggande av ordningsbot men även biträde till åklagare t.ex. i ärenden om ändrad påföljd. Med brott avses ett konkret brott. Det kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Om misstankarna enbart gäller icke-preciserad brottslighet, är det dock i stället fråga om sådan brottslig verksamhet som avses i punkten 1. Rör misstanken ett visst brott som kan komma att begås kan per- sonuppgiftsbehandling vara tillåten med stöd av punkten 1. Har den för- väntade gärningen nått den punkt där den är straffbar såsom försök, för- beredelse, stämpling eller anstiftan dvs. om det finns grund för att in- leda förundersökning är det däremot fråga om personuppgiftsbehand- ling som faller under punkten 2. Under punkten 2 faller all personuppgiftsbehandling inom ramen för en förundersökning (även spaning). Detsamma gäller behandling av person- uppgifter med stöd av 23 kap. 3 och 8 §§ innan en för- undersökning har inletts och behandling inom ramen för en s.k. förenklad utredning enligt 23 kap. 22 § . brottsanmälan hör också hit, även om denna inte leder till något beslut om att inleda förundersökning. Punkten 2 är också tillämplig vid sådan utredning som inte utgör för- undersökning men som polisen utför, för egen räkning eller åt åklagare, med stöd av lag eller annan författning enligt reglerna i 23 kap. rätte- gångsbalken om förundersökning. Exempel på sådana bestämmelser finns i 31 § lagen (1964:167) med särskilda bestämmelser om unga lag- överträdare, 16 § lagen (1957:668) om utlämning för brott, 10 § lagen (1959:254) om utlämning för brott till , , och , 9 § lagen (1988:688) om besöksförbud, 4 kap. 3 § lagen (2003:1156) om överlämnande från enligt en europeisk arreste- ringsorder och 8 § lagen (2005:321) om tillträdesförbud vid idrottsarran- gemang. Punkterna 1 och 2 avser endast brottsbekämpande verksamhet som be- drivs av svensk polis för dess egna intressen. Av punkten 3 följer att behandling av personuppgifter i vissa fall får utföras, om syftet är att gagna utländsk brottsbekämpande verksamhet (avsnitt 7.4). I den mån ett internationellt åtagande innebär att svensk polis är skyldig att fullgöra vissa förpliktelser och den konkreta arbetsuppgiften kräver att polisen ska kunna behandla personuppgifter, är behandlingen tillåten enligt denna punkt. Detta gäller oavsett om den brottslighet som den utländska brottsbekämpande verksamheten avser faller in under svensk jurisdiktion eller inte. Sådana förpliktelser kan följa dels av vissa lagar som genomför internationella överenskommelser och som reglerar viss polisverksamhet, dels direkt av vissa internationella överenskommelser. Till de lagar som innehåller förpliktelser av detta slag hör lagen (2003:1174) om vissa former av internationellt samarbete i brottsutred- ningar. Den reglerar polisiärt samarbete mellan EU:s medlemsstater och innehåller bl.a. bestämmelser om gemensamma utredningsgrupper och om uppgifter och bevisning som lämnas till en sådan grupp. En annan sådan lag är lagen (2000:343) om internationellt polisiärt samarbete, som reglerar operativt polisiärt samarbete bl.a. inom EU. Som framgår av 1 kap. 2 § andra stycket faller däremot behandling av personuppgifter som utförs med stöd av lagen (2000:344) om Schengens informations- system utanför denna lags tillämpningsområde. Sådan brottsutredning som sker inom ramen för rättslig hjälp till en annan stat hör också hemma under punkten 3, om den inte faller under punkten 2. Som exempel på situationer där punkten 3 kan bli tillämplig kan näm- nas att i flera internationella överenskommelser har åtagit sig att inom polisen ha en nationell kontaktpunkt som myndigheter i andra län- der kan nå dygnet runt, året om.