prop · GX0385 · 2010-01-08 00:00:00 — Det är vanligt att man i registerförfattningar delar upp ändamålen i primära och sekundära. De primära ändamålen är utformade för att till- godose den behandling som behövs i de berörda myndigheternas egen Sekundära ändamål reglerar i vilken utsträckning uppgifter, som samlats in för något primärt ändamål, får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. För polisens del kan det vara fråga om att uppgifter i den brottsbekäm- pande verksamheten behöver användas i annan polisverksamhet eller att uppgifterna behövs i brottsbekämpande verksamhet som någon annan Det finns flera olika möjligheter att utforma ändamålsregleringen i Det går dock att urskilja två principiellt olika sätt. Det ena är att ange samtliga ändamål för vilka behandling får ske, både primära och sekundära. Det andra är att de i lagen angivna ändamålen kompletteras med en möjlighet att vidarebehandla uppgifter även för ändamål som inte är oförenliga med insamlingsändamålet. till vidarebehandling får således avgöras med tillämpning av finalitets- I flertalet registerlagar, däribland polisdatalagen, är ändamåls- bestämmelserna utformade enligt det senare alternativet. utredningen föreslår en sådan lösning. Promemorian förordar däremot att ändamålen anges uttömmande enligt det förra alternativet. Den lösningen har också valts i lagen (2005:787) om behandling av uppgifter i Tullver- kets brottsbekämpande verksamhet. En utgångspunkt bör vara att tillåtna ändamål anges så tydligt och full- ständigt som möjligt. Regeringen anser att de primära ändamålen bör anges uttömmande. En svårare fråga är om även de sekundära ändamå- len, som syftar till att beskriva för vilka ändamål uppgifter får tillhanda- hållas andra, bör anges uttömmande. Det kan finnas fördelar med en sådan reglering. Lagstiftaren kan sägas en gång för alla ha bestämt i vilken utsträckning uppgifter ska få behandlas för att spridas till andra. Under förutsättning att ändamålen är tydligt avgränsade står det genom en sådan reglering klart både för tillämpare och andra vilken personupp- giftsbehandling som får förekomma med stöd av den aktuella lagen. I förarbetena till flera registerlagar har man dock gjort bedömningen att det inte är möjligt att i en lag om personuppgiftsbehandling på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras. Att bedöma nuvarande och förutse framtida behov av att kunna ut- lämna uppgifter är särskilt svårt i en sådan varierad och omfattande verk- samhet som polisens brottsbekämpande verksamhet. Flera remissinstan- ser har också pekat på att promemorians förslag avseende sekundära ändamål är för begränsande. Även Datainspektionen kritiserar promemo- rians förslag för att det inte innehåller någon hänvisning till finalitets- principen. Datainspektionen är vidare kritisk till att det saknas krav på att ett när- mare preciserat insamlingsändamål anges och dokumenteras. Inspek- tionen menar att om inte finalitetsprincipen gäller och det inte ställs krav på specifika ändamål tillåts uppgifter flöda fritt inom polisens brottsbe- kämpande verksamhet. Inledningsvis kan konstateras att Datainspektionens uppfattning att polisen vid insamling av uppgifter måste ha ett närmare preciserat ända- mål för insamlingen, t.ex. att utreda ett visst brott, har fog för sig. Därför föreslår regeringen, i motsats till promemorian, att den nya lagen ska hänvisa till 9 § första stycket c personuppgiftslagen (se avsnitt 6.4.2). Skyldigheten att ha ett preciserat ändamål för insamlingen kan visserli- gen sägas följa redan av de materiella bestämmelser som styr polisens verksamhet. Detsamma gäller för den fortsatta behandlingen. Varje åt- gärd (inklusive vidarebehandling), som polisen vidtar med insamlade uppgifter, måste naturligtvis ske för ett närmare preciserat ändamål (när det gäller lagringen, se avsnitt 14.1). I den nya lagen föreslås vidare be- stämmelser som ställer krav på att det av uppgifter som har gjorts gemensamt tillgängliga ska framgå för vilket närmare ändamål en uppgift behandlas, se avsnitt 10. Något annat krav på dokumentation kan inte anses nödvändigt. Något sådant krav finns inte heller i andra registerla- gar. Den hänvisning till 9 § första stycket c personuppgiftslagen som rege- ringen föreslår ska tas in i den nya lagen innebär således att personupp- gifter endast får samlas in för särskilda, uttryckligt angivna och berätti- gade ändamål. Enligt finalitetsprincipen får insamlade uppgifter sedan inte behandlas för ändamål som är oförenliga med det ursprungliga än- damålet. En av polisens av statsmakterna fastlagda övergripande uppgifter är att utreda brott och bekämpa brottslig verksamhet. Har personuppgifter samlats in för att utreda ett visst brott kan det generellt sett mot bak- grund av polisens övergripande uppgift inte anses vara oförenligt med det ursprungliga ändamålet att behandla samma uppgifter för att utreda annat brott eller bekämpa brottslig verksamhet. I vissa undantagsfall har lagstiftaren dock bedömt att behandling för sådana nya ändamål inte bör vara tillåten. Uttrycklig reglering om detta har då införts. Sådan reglering finns i bl.a. 27 kap. 23 a § och 12 § lagen (2007:978) om hemlig rumsavlyssning, som begränsar användningen av s.k. över- skottsinformation från hemliga tvångsmedel till enbart de fall som direkt anges i paragrafen. Vidare kan det när svenska myndigheter mottar uppgifter från andra stater finnas villkor som på grund av en internatio- nell överenskommelse är bindande för de svenska myndigheterna och som begränsar möjligheterna att använda uppgifterna eller bevisningen. I bl.a. 3 § lagen (2000:343) om internationellt polisiärt samarbete och 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp finns bestäm- melser som innebär att svenska myndigheter ska följa sådana villkor oav- sett vad som är föreskrivet i lag eller annan författning. En grundtanke med förslaget är således att det inom polisen bör vara tillåtet att använda sig av uppgifter som samlats in för ett visst brottsbe- kämpande ändamål för ett annat sådant ändamål, om polisen har behov av detta och det är tillåtet enligt den reglering som gäller för polisens verksamhet. Under sistnämnda förutsättning bör vidarebehandling också få ske om det behövs för brottsbekämpande ändamål hos andra myndig- heter eller för vissa andra sekundära ändamål som kan förutses och som anses förenliga med finalitetsprincipen. Genom att ange de primära ändamålen och nämnda sekundära ändamål i lagen görs ställningstagan- det att vidarebehandling för dessa ändamål är förenlig med finalitetsprin- cipen. Som tidigare nämnts bör enligt regeringens mening de primära ända- målen anges uttömmande i lagen. När det gäller de sekundära ändamålen bör dessa uttryckas så preciserat och fullständigt som möjligt. Mot bak- grund av vad remissinstanserna anför anser regeringen dock att vidarebe- handling därutöver bör vara möjlig om den är förenlig med finalitetsprin- cipen. För andra sekundära ändamål än de som anges i lagen bör utläm- nande alltså tillåtas under förutsättning att det i det enskilda fallet inte kan anses oförenligt med insamlingsändamålet att lämna ut uppgifterna. Som Lagrådet har anfört bör detta framgå uttryckligen i den paragraf i den nya lagen där de sekundära ändamålen anges. I syfte att åstadkomma ett fullgott integritetsskydd kompletteras den föreslagna ändamålsregleringen vidare med andra bestämmelser som sätter gränser för behandlingen, t.ex. bestämmelser om tillgång till upp- gifter och om gallring. Det bör vidare framhållas att ett utlämnande alltid måste vara förenligt med offentlighets- och sekretesslagen (2009:400), vilket ger ett grundläggande integritetsskydd. I avsnitten 7.27.4 diskuteras vilka de primära ändamålen för behand- lingen av personuppgifter i polisens brottsbekämpande verksamhet bör vara. Lagrådet har väckt frågan om utformningen av lagens primära ändamål är för begränsande. Regeringen gör bedömningen att så inte är fallet. I avsnitt 7.6 behandlas de sekundära ändamålen. Bestämmelserna om ändamål för behandling av personuppgifter bör Prop. 2009/10:85 inte få hindra rationella rutiner för diarieföring och ärendehantering. har föranlett särskilda överväganden som redovisas i avsnitt 7.5. I 8 § första stycket personuppgiftslagen, som föreslås vara tillämplig på behandlingen av personuppgifter enligt den nya lagen, finns en erinran om att bestämmelserna i personuppgiftslagen inte ska tillämpas i den ut- sträckning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Bestämmelser i grundlag tar över bestämmelser i vanlig lag. Tryckfrihetsförordningens bestämmelser har därför företräde framför bestämmelserna i den nya polisdatalagen. Be- handling av personuppgifter kommer därmed alltid att vara tillåten för att uppfylla de krav som offentlighetsprincipen ställer. 7.2Förebygga, förhindra eller upptäcka brottslig verksamhet Regeringens förslag: Personuppgifter ska få behandlas i polisens brottsbekämpande verksamhet, om det behövs för att förebygga, för- hindra eller upptäcka brottslig verksamhet. Utredningen föreslår att bestämmelserna om kriminalunderrättelse- verksamhet och kriminalunderrättelseregister ersätts med bestämmelser om behandling av uppgifter om andra personer än sådana som är miss- tänkta för brott. Enligt utredningen ska sådana uppgifter få behandlas för att förebygga, förhindra eller upptäcka sådan brottslig verksamhet som innefattar brott för vilket är föreskrivet fängelse . Utred- ningen föreslår vidare att det under vissa förutsättningar ska vara tillåtet att behandla uppgifter, om det är nödvändigt för att underlätta övervak- ning av vissa grovt kriminellt belastade personer och personer som kan antas vara farliga. Remissinstanserna: Flertalet remissinstanser har tillstyrkt eller inte invänt mot förslaget att utmönstra begreppen kriminalunderrättelseverk- samhet och kriminalunderrättelseregister. Datainspektionen har dock ansett att nuvarande regler är väl avvägda. Majoriteten av remissinstan- serna har ställt sig positiv till förslaget om att införa särskilda bestäm- melser om behandling av uppgifter om personer som inte är misstänkta för brott. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna godtar prome- förslag eller har inget att invända mot det. Datainspektionen anser att det finns ett stort behov av att modernisera lagstiftningen avse- ende kriminalunderrättelseverksamhet men tycker att den föreslagna regleringen är för generellt utformad. Den innebär enligt inspektionen att verksamheter med helt olika förutsättningar, behov och risker kommer att styras av samma reglering. Inspektionen efterlyser en analys av hur de olika brottsförebyggande verksamheterna påverkas av regleringen och menar att det inte utan en sådan analys går att göra en proportionalitets- bedömning av det slag som förutsätts enligt bl.a. . För behandling av uppgifter som inte har gjorts gemensamt tillgängliga anser inspektionen att den föreslagna regleringen helt saknar begräns- anser att rekvisitet förebygga brottslig verksamhet inte bör omfattas av ändamålen. uppfattning att förebygga bör inkluderas bland ändamålen. Skälen för regeringens förslag Begreppet kriminalunderrättelseverksamhet bör inte användas Inledningsvis måste ställning tas till i vilken utsträckning personuppgifter bör få behandlas inom ramen för brottsbekämpande verksamhet som inte avser utredning eller beivrande av ett bestämt brott. personuppgiftsbehandling skett inom ramen för polisdatalagens (1998:622) bestämmelser om kriminalunderrättelseverksamhet och kri- Å ena sidan måste polisen, för att kunna be- driva ett framgångsrikt brottsförebyggande arbete, få behandla uppgifter om personer som inte är misstänkta för något konkret brott men väl för att medverka i pågående eller planerad brottslig verksamhet. sidan skulle en möjlighet för polisen att utan någon närmare begränsning behandla personuppgifter som inte har samband med något konkret brott öppna vägen för en omfattande behandling av personuppgifter med bety- dande risker för intrång i den personliga integriteten. Underrättelseverksamhet definieras i 3 § första stycket polisdatalagen som polisverksamhet som består i att samla in, bearbeta och analysera in- formation för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. Motsvarande definition finns i 2 § första stycket lagen (1999:90) om behandling av personuppgifter vid medver- kan i brottsutredningar och i 2 § första stycket i den numera upphävda lagen (2001:85) om behandling av personuppgifter i brotts- I polisdatalagen tar begreppet sikte på all un- derrättelseverksamhet som bedrivs hos polisen. severksamhet som bedrivs av annan än Säkerhetspolisen används i sist- nämnda lag begreppet kriminalunderrättelseverksamhet. Som tidigare nämnts tillåter polisdatalagen inte att personuppgifter be- handlas i kriminalunderrättelseverksamhet annat än under vissa förut- sättningar som anknyter till hur polisen ska bedriva sådan verksamhet. En förutsättning är att en särskild undersökning har inletts (14 § första stycket polisdatalagen). Med begreppet särskild undersökning avses en undersökning i kriminalunderrättelseverksamhet som innebär insamling, bearbetning och analys av uppgifter i syfte att ge underlag för beslut om förundersökning eller om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. Har en särskild undersökning inletts, får personupp- gifter behandlas, om det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas. Vidare får personuppgifter behandlas i kriminalunderrättelseregister för att ge underlag för de nämnda särskilda undersökningarna eller underlätta tillgången till allmänna uppgifter med anknytning till under- rättelseverksamhet (17 § polisdatalagen). Sådana register får innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna Prop. 2009/10:85 ger anledning att anta att allvarlig brottslig verksamhet utövats eller kan komma att utövas och de som avses med uppgifterna skäligen kan miss- tänkas för att ha utövat eller komma att utöva den brottsliga verksamhe- ten (19 § polisdatalagen). Vissa indirekta personuppgifter, t.ex. uppgifter om transportmedel, får också behandlas i registren. Som både och promemorian framhåller är polis- datalagens systematik med reglering av kriminalunderrättelseverksamhet och kriminalunderrättelseregister, ägnad att ge upphov till tillämpnings- svårigheter. Definitionen av kriminalunderrättelseverksamhet täcker även sådan behandling av personuppgifter som rimligen inte är så känslig att den behöver regleras särskilt. Den omfattar, utöver det arbete som sker inom ramen för särskilda undersökningar, även polisens dagliga löpande arbete med att hantera information som på olika sätt kan bidra till att förebygga, förhindra eller upptäcka brottslig verksamhet. Eftersom polis- datalagen utgår från att all behandling av uppgifter för de nu aktuella ändamålen ska ske inom ramen för särskilda undersökningar eller krimi- nalunderrättelseregister, har lagen kommit att försvåra polisens arbete med att verka problemorienterat och brottsförebyggande. har regleringen skapat oklarheter beträffande flera andra register som polisen för. och promemorian pekar på att det kan ifråga- sättas om inte behandlingen av personuppgifter i vissa existerande polis- register till viss del skulle kunna tolkas som kriminalunderrättelseverk- samhet i polisdatalagens mening. Behandlingen skulle därmed inte vara tillåten annat än under de särskilda förutsättningar som gäller för behand- ling av uppgifter i kriminalunderrättelseverksamhet. Av dessa skäl bör man, som både och promemo- rian föreslår, inte använda begreppet kriminalunderrättelseverksamhet i den nya lagen. Ändamålen bör vara att förebygga, förhindra eller upptäcka brottslig verksamhet Som har nämnts användes begreppet underrättelseverksamhet i den numera upphävda lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet. Begreppet fördes dock inte över till den nuvarande lagen i samma ämne. Den lagen innehåller i stäl- let bestämmelser om behandling av personuppgifter för ändamålen att förhindra eller upptäcka brottslig verksamhet. Samma lösning bör väljas för polisens del. I förtydligande syfte bör bestämmelsen även innehålla ordet förebygga. uttalar sitt stöd för detta tillägg. Av den nya lagen bör alltså framgå att personuppgifter får behandlas för att före- bygga, förhindra eller upptäcka brottslig verksamhet. Därmed kommer bestämmelsen att ge utrymme för personuppgiftsbehandling inom all egentlig brottsbekämpande verksamhet inom polisen som inte direkt kan knytas till en brottsutredning, däribland behandling i polisens under- rättelseverksamhet. Både behandling av mera rutinmässig karaktär, t.ex. ordbehandling, och behandling av mera kvalificerat slag kommer att omfattas av bestämmelsen. anser att det strider mot en väl etablerad rättslig ter- minologi att låta förebygga brottslig verksamhet omfattas av beskriv- ningen av kriminalunderrättelseverksamhet och att det skapar en påtaglig otydlighet i förhållande till den ordningshållande verksamheten. Som nämnts är avsikten inte att det nu behandlade ändamålet enbart ska omfatta vad som traditionellt sett har betecknats som kriminalunderrät- telseverksamhet, utan vara något vidare. Frågan om eventuella gräns- dragningsproblem i förhållande till annan polisiär verksamhet behandlas i avsnitt 6.3. Vilka begränsningar bör gälla för behandlingen? Regleringen i polisdatalagen av behandling av personuppgifter i krimi- nalunderrättelseverksamhet har som tidigare nämnts lett till tillämpnings- problem. Regleringen av formen för behandlingen i särskilda undersök- ningar och kriminalunderrättelseregister har dessutom ansetts för begrän- sande för att tillgodose polisens behov av att bedriva en modern och effektiv brottsbekämpande verksamhet. Frågan är om det är lämpligt att i en lag som reglerar personuppgifts- behandling reglera i vilken form en myndighet ska bedriva sitt arbete. Så bör vara fallet endast om det är nödvändigt för regleringen av själva personuppgiftsbehandlingen. Avsikten med en sådan lag bör inte vara att detaljreglera en myndighets verksamhet. En detaljreglering försvårar också myndighetens möjlighet att anpassa sina arbetsformer till föränd- rade krav och förväntningar. Från integritetsskyddssynpunkt är det, som både och promemorian har funnit, inte nödvändigt att i den nya lagen införa bestämmelser om arbete i projektform motsva- rande de bestämmelser som finns om s.k. särskilda undersökningar. Från integritetsskyddssynpunkt finns det inte heller skäl att införa särskilda bestämmelser om kriminalunderrättelseregister. Som nämns i avsnitt 7.1 och utvecklas närmare i avsnitt 9, bör olika regler gälla för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och behandling av personuppgifter som endast ett fåtal tjänstemän har tillgång till. Skillnad bör göras mellan behandling av personuppgifter som sker i större respektive mindre projekt. Utgångs- punkterna som bör gälla för gränsdragningen mellan större och mindre projekt redovisas i avsnitt 9.1. Som polisen har påpekat kommer den allra största delen av dess personuppgiftsbehandling att omfattas av reglerna för behandling av gemensamt tillgängliga uppgifter. För denna behand- ling bör ett flertal begränsande bestämmelser gälla som syftar till att åstadkomma en väl avvägd balans mellan verksamhetsintressen och integritetsskyddsintressen (jfr bl.a. avsnitt 911 och 14). För övrig be- handling som behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet är det däremot tillräckligt från integritetsskyddssynpunkt att grundläggande dataskyddsbestämmelser gäller. Regeringen delar således inte Datainspektionens uppfattning att den reglering som föreslås i promemorian inte begränsar polisens möjligheter att behandla personuppgifter i tillräckligt hög grad. Det finns andra be- stämmelser som styr hur polisen ska bedriva sin verksamhet. Den polis- man som för att ta ett av inspektionens exempel i den egna datorn samlar uppgifter om allmänt misskötsamma ungdomar utan att ha ett bestämt brottsbekämpande syfte med behandlingen gör sig sannolikt skyldig till en tjänsteförseelse som kan beivras disciplinärt. Det bör dock betonas att det i det brottsförebyggande arbetet kan finnas sakliga skäl för exempelvis närpolisen att anteckna uppgifter om ungdomar i närom- rådet som bedöms befinna sig i riskzonen för att inleda en brottslig bana. Bedömningen kan t.ex. grunda sig på information från skola, föräldrar eller socialtjänst. Sådana noteringar har polisen alltid gjort. Bara för att anteckningar numera sker med hjälp av en dator bör behandlingen inte anses otillåten. Vilken verksamhet omfattas av ändamålen? Behandling av personuppgifter i brottsbekämpande verksamhet där det inte finns någon misstanke om ett konkret brott är särskilt känslig från integritetssynpunkt. Som Datainspektionen framhåller ingår i polisens uppgifter verksamheter av skilda slag där behovet av att behandla integ- ritetskänsliga uppgifter varierar. Datainspektionen efterfrågar en redogö- relse för de skilda behov och förutsättningar som olika brottsförebyg- gande verksamheter medför och en analys av hur den föreslagna regle- ringen kan komma att påverka de olika verksamheterna. Nedan följer en beskrivning av den verksamhet som är tänkt att omfattas av ändamålen förebygga, förhindra eller upptäcka brottslig verksamhet och hur polisen organiserar detta arbete. Redogörelsen är inte uttömmande. Den illustre- rar svårigheten att dra en klar gräns mellan de olika verksamheter som inryms i ändamålen. Den verksamhet som framför allt avses med de aktuella ändamålen är den som normalt kallas underrättelseverksamhet. Arbetet består främst i att samla in, bearbeta och analysera information och bedrivs numera enligt polisens underrättelsemodell (PUM). Detta är en modell för led- ning och styrning av planlagd operativ polisverksamhet där beslut om inriktning, prioritering och genomförande baseras på underrättelser och annan relevant kunskap. Enligt modellen ska underrättelseverksamhet bedrivas på lokal, regional och central nivå. Polisen beskriver den nuva- rande verksamheten på följande sätt. Den lokala kriminalunderrättelsetjänsten finns på samtliga polismyn- digheter och utgör basen i underrättelseverksamheten. Dels arbetar den med de problem som är viktiga för den egna polismyndigheten, dels medverkar den i kriminalunderrättelseverksamhet som har regional, nationell och internationell bäring. På regional nivå finns sju samverkansområden. För att knyta samman den lokala och nationella kriminalunderrättelseverksam- heten finns det, utifrån vad som överenskommits mellan polismyndighe- terna i respektive samverkansområde, en regional nivå för kriminalunder- rättelsetjänsten. Den regionala kriminalunderrättelsetjänsten ska vara samverkans- och samordningsfunktion för kriminalunderrättelsetjänsten inom respektive samverkansområde samt mellan dessa områden. Den ska också utgöra en länk till nationella kriminalunder- rättelsetjänst. Polismyndigheterna i , och har i projektform drivit regionala underrättelse- centrum där både brottsbekämpande och andra myndigheter ingår. Exempel på det senare är och fiskala del. Dessa underrättelsecentrum har permanen- tats och fem nya har inrättats. Den nationella kriminalunderrättelseverksamheten bedrivs vid Riks- kriminalpolisen och är huvudsakligen inriktad mot grova brott och grov organiserad brottslighet på nationell och internationell nivå. Rikskrimi- nalpolisen ska inom vissa prioriterade områden bedriva långsiktiga ope- rativa underrättelseprojekt samt strategiska projekt.