prop · GY03129 · 2011-04-14 00:00:00 — Det ska inte vara möjligt att kunna identifiera vilken person referensuppgifterna hänför sig till. När en automatisk sökning eller en automatisk jämförelse leder till en träff reg- lerar den anmodade medlemsstatens lagstiftning, inkluderande reglerna om rättslig hjälp, vilka personuppgifter som får översändas. Artiklarna behandlar informationsutbyte i samband med större evenemang med gränsöverskridande verkningar. För att förebygga brott och upprätthålla allmän ordning och säkerhet i samband med sådana evenemang ska medlemsstaterna på begäran eller på eget initiativ sända varandra personuppgifter och andra uppgifter under vissa förutsättningar. I syfte att förebygga terroristbrott får medlemsstaterna enligt artikel 16 i enskilda fall, även utan föregående förfrågan, utbyta vissa personupp- gifter i enlighet med nationell rätt. Artikeln innehåller inga förpliktelser för medlemsstaterna. Rådsbeslutet innehåller också nya möjligheter till operativt samarbete mellan tjänstemän i olika medlemsstater. En behörig myndighet i en medlemsstat kan enligt artikel 17, för att upprätthålla allmän ordning och säkerhet eller förebygga brott, inrätta en gemensam patrull eller genom- föra en annan gemensam insats. Inom ramen för en sådan insats kan tjänstemän från en stat ges möjlighet att utöva myndighet på en annan stats territorium. Artikel 18 innebär en skyldighet för medlemsstaterna att ge varandra bistånd i samband med större evenemang, katastrofer och allvarliga olyckor. Biståndet, som ska syfta till att förhindra brott och upprätthålla allmän ordning och säkerhet, ska kunna avse t.ex. underrättelser eller bistånd genom tjänstemän och specialister. I artiklarna finns bestämmelser om bl.a. vapenanvändning, skadestånd och straffansvar. Dessa ska gälla vid gemensamma insatser och när bistånd lämnas. I artiklarna finns bestämmelser om dataskydd. Dessa gäller alla uppgifter som översänds och mottas med stöd av beslutet. De reglerar bl.a. hur länge uppgifter får lagras, vilka myndigheter som får behandla uppgifterna samt frågor om information till enskilda och rätten till dom- stolsprövning eller prövning hos ett oberoende tillsynsorgan. För en närmare redogörelse av innehållet i rådsbeslutet hänvisas till departementspromemorian Genomförandet av delar av Prümrådsbeslutet (Ds 2009:8). Genomförande av rådsbeslutet i svensk rätt Prümrådsbeslutet innehåller dels bestämmelser som medlemsstaterna är skyldiga att genomföra, dels bestämmelser som är frivilliga att genom- föra. De obligatoriska delarna av Prümrådsbeslutet ska vara genomförda i två steg. Den del som gäller informationsutbyte vid större evenemang och skyldigheten att lämna bistånd vid större evenemang, katastrofer och allvarliga olyckor samt de generella dataskyddsbestämmelserna (artik- larna 1315, delar av 18 samt 2432) har behandlats i propositionen Genomförande av delar av Prümrådsbeslutet (prop. 2009/10:177). Mer- parten av artiklarna bedömdes inte kräva några lagändringar. Lagförs- lagen, som avsåg ändringar i lagen (2000:343) om internationellt polisiärt samarbete, har godkänts av (bet. 2009/10:JuU30 och rskr. 2009/10:265) och trädde i kraft . Övriga delar genom- fördes i förordningen (2010:705) om internationellt polisiärt samarbete, som trädde i kraft . Den del som gäller automatiserat utbyte av DNA-, fingeravtrycks- och fordonsuppgifter (artiklarna 212 samt delar av 26 och 30) ska genom- föras senast . I denna proposition behandlas dessa delar av Prümrådsbeslutet. Vidare behandlas medverkan i uppgiftsut- byte enligt artiklarna 13 och 14 och förhållandet mellan reg- lering av behandling av personuppgifter och bestämmelserna om person- uppgiftsbehandling i lagen och förordningen om internationellt polisiärt samarbete. En särskild utredare har haft i uppdrag att utreda merparten av de delar av rådsbeslutet som är frivilliga att genomföra, dvs. gemensamma in- satser enligt artikel 17 och möjligheten att ta emot bistånd från andra medlemsstater vid större evenemang, katastrofer och allvarliga olyckor enligt artikel 18. Utredaren har också utrett de frågor som aktualiseras när svenska tjänstemän inbjuds att delta i verksamhet i en annan stat. Uppdraget redovisades (SOU 2011:25). Betänkandet bereds i . 5.3 Nationella register som berörs Prümrådsbeslutet innebär att utländska myndigheter ska ges möjlighet att söka i svenska register med DNA-, fingeravtrycks- och fordonsuppgifter. Det innebär också att svenska myndigheter ska ges möjlighet att utföra för med stöd av 2227 §§ i den nu gällande polis- datalagen (1998:622) ett DNA-register, ett utredningsregister och ett innehåller uppgifter om resultatet av DNA- analyser som har gjorts med stöd av bestämmelserna i 28 kap. rätte- gångsbalken och som avser personer som genom lagakraftvunnen dom har dömts till annan påföljd än böter eller har godkänt ett strafföre- läggande som avser villkorlig dom. som är skäligen misstänkta för brott på vilket fängelse kan följa. registret finns uppgifter om DNA-analyser som har gjorts under utred- ning av brott och som inte kan hänföras till en identifierbar person. bestämmelser har i huvudsak oförändrade förts över till den nya polis- datalagen (2010:361), som träder i kraft (se avsnitt 6.2.3 Prop. 2010/11:129 och 8.1). I 2931 §§ i den nu gällande polisdatalagen finns bestämmelser om att får behandla uppgifter i fingeravtrycksregister för att underlätta identifiering av personer i samband med brott. Fingeravtrycks- register får endast innehålla uppgifter om den som är misstänkt eller dömd för brott eller som har fått lämna fingeravtryck med stöd av en viss bestämmelse i lagen om särskild utlänningskontroll. Bestämmelserna i polisdatalagen har dock i praktiken inte börjat tillämpas. Rikspolisstyrel- sen för i stället fingeravtrycksregistret med stöd av den upphävda data- lagen (1973:289) och tillstånd från Datainspektionen enligt punkten 2 i övergångsbestämmelserna till polisdatalagen. Övergångsbestämmelserna har förlängts och senast till . I 4 kap. 11 17 §§ i den nya polisdatalagen, som träder i kraft , finns bestämmelser om fingeravtrycks- och signalementsregister. Till dess den nya polisdatalagen träder i kraft är det således den upphävda datalagen som tillsammans med Datainspektionens tillstånd är tillämplig på finger- avtrycksregistret. Fordonsuppgifter finns i vägtrafikregistret som förs av Transport- styrelsen. I lagen (2001:558) och förordningen (2001:650) om vägtrafik- register finns bl.a. bestämmelser om behandling av personuppgifter i samband med registrering av fordon. har presenterat ett förslag till ny reglering som ska ersätta lagen och förord- ningen om vägtrafikregister (se avsnitt 6.2.4 och 11.1). När Prümrådsbeslutets bestämmelser om automatiserat utbyte av DNA-, fingeravtrycks- och fordonsuppgifter nu ska genomföras berörs samtliga dessa register och författningarna som reglerar dem. För en närmare redogörelse för de olika registren hänvisas till departements promemorian (Ds 2009:8). 6.1.1Europakonventionen och om medborgerliga och politiska rättigheter antog () den allmänna förklaringen om de mänskliga rättigheterna. De rättigheter som räknas upp i förklaringen har därefter vidareutvecklats bl.a. i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen) och FN:s konvention om medborgerliga och politiska rättigheter . Enligt artikel 8 i har var och en rätt till respekt bl.a. för sitt privat- och familjeliv. En offentlig myndighet får inte in- skränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I rekvisitet med stöd av lag ligger, utöver att intrånget ska ha stöd i nationell lag, att den åberopade lagen måste uppfylla vissa minimikrav i fråga om kvalitet och tydlighet. En rättighetsinskränkande tolkning av lagen ska kunna förutses och lagen ska vara allmänt tillgänglig. Åtgärder som innefattar intrång i en skyddad rättighet kan godtas endast om de är proportionerliga. Det innebär att intrånget måste svara mot ett angeläget samhällsbehov och stå i rimlig proportion till det syfte som ska uppnås. I artikel 13 i föreskrivs att var och en, vars i konventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en nationell myndighet. Detta gäller även om kränkning har förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde ska ha tillgång till en nationell instans för att kunna få saken prövad och kunna få upprättelse. Även i FN:s konvention om medborgerliga och politiska rättigheter finns en bestämmelse till skydd för godtyckligt eller olagligt ingripande i någons privat- eller familjeliv (artikel 17). Bestämmelser av betydelse för automatisk databehandling av person- uppgifter finns också i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (data- skyddskonventionen). Dataskyddskonventionen trädde i kraft den 1 okto- ber 1985 och har ratificerats av samtliga medlemsstater i EU. Dataskyddskonventionens innehåll kan ses som en precisering av arti- kel 8 i för enskilda vid automatisk databehandling. Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med behandling av personuppgifter och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatisk databehandling ska häm- tas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare måste uppgifterna vara relevanta för ändamålen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Särskilda kategorier av person- uppgifter, t.ex. uppgifter om enskildas ras, politiska tillhörighet eller religiösa tro samt uppgifter om brott, får behandlas endast om den nationella lagstiftningen innehåller lämpliga skyddsregler. I konventionen föreskrivs att lämpliga skyddsåtgärder ska vidtas för att hindra avsiktlig eller otillåten förstörelse m.m. Vidare finns bestäm- melser om registrerade personers möjligheter till insyn i register och rätt att få uppgifter rättade. Dataskyddskonventionens roll som grundläggande dokument för automat- iserad behandling av personuppgifter inom EU har i princip övertagits av dataskyddsdirektivet (avsnitt 6.1.5). Direktivet omfattar dock inte be- handling av personuppgifter inom områden som allmän säkerhet, försvar och statens säkerhet. På dessa områden är dataskyddskonventionen därför fortfarande av betydelse. När det gäller polissamarbete och straffrättsligt Prop. 2010/11:129 samarbete finns numera också dataskyddsrambeslutet (avsnitt 6.1.6). antog 2001 ett tilläggsprotokoll till dataskyddskonventionen. Det innehåller bestämmelser om tillsynsmyn- digheter och överföring av personuppgifter till länder som inte är bundna av konventionen. har ratificerat tilläggsprotokollet som trädde i kraft . 6.1.3Europarådets rekommendation för polissektorn Utöver dataskyddskonventionen har tagit fram sektorsvisa rekommendationer om dataskydd, bl.a. en rekommendation, No. R (87), som reglerar användningen av personuppgifter inom polissektorn. Re- kommendationen innehåller speciella skyddsregler för personuppgifter som polisen samlar in, lagrar, använder eller överför med hjälp av auto- matiserad behandling i syfte att förhindra och bekämpa brott eller upp- rätthålla allmän ordning. Endast sådana uppgifter som är nödvändiga för att förhindra en verklig fara eller bekämpa ett visst brott får samlas in, om inte den nationella lagstiftningen tillåter ett mer omfattande uppgifts- samlande. Olika kategorier av lagrade uppgifter ska så långt som möjligt kunna skiljas från varandra efter graden av riktighet och tillförlitlighet. I synnerhet ska uppgifter som grundar sig på fakta kunna skiljas från uppgifter som grundar sig på omdömen eller personliga värderingar. 6.1.4Europeiska unionens stadga om de grundläggande rättigheterna Lissabonfördraget innebär att EU:s stadga om de grundläggande rättig- heterna, tillkännagiven av parlamentet, rådet och kommissionen och anpassad , är rättsligt bin- dande. Detta sker genom att en referens till stadgan har införts i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemen- samma författningstraditioner och internationella förpliktelser, Europa- konventionen, unionens och sociala stadgor samt rätts- praxis vid och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I artikel 7 föreskrivs bl.a. att var och en har rätt till respekt för sitt privatliv och sitt familjeliv. I artikel 8 föreskrivs vidare bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade upp- gifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Av artikel 51 i stadgan följer att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar . Dataskyddsdirektivet syftar till att garantera en hög och i alla medlems- stater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet innehåller generella krav och riktlinjer för all behandling av personupp- gifter. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personupp- gifter inom unionen. Direktivet gäller inte för sådan behandling av per- sonuppgifter som rör allmän säkerhet, försvar, statens säkerhet och sta- tens verksamhet på straffrättens område. Direktivet omfattar således inte statens behandling av personuppgifter i brottsbekämpande verksamhet. Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgifts- lagen (1998:204), se avsnitt 6.2.2. Lagen har gjorts generellt tillämplig och omfattar således även sådan verksamhet som faller utanför direk- tivets tillämpningsområde (prop. 1997/98:44, bet. 1997/98:KU18). Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) reglerar dataskyddet inom angivna områden. Rambeslutet är föranlett av de nya EU-instru- ment som rör utvidgat polisiärt och rättsligt samarbete avseende gräns- överskridande informationsutbyte. Dataskyddsrambeslutet förpliktar medlemsstaterna att behandla upp- gifter som utbyts mellan staterna inom ramen för det angivna samarbetet på ett sådant sätt att skyddet för enskildas integritet värnas. Det inne- håller bestämmelser som avser att förstärka skyddet vid behandling av personuppgifter som överförs. Rambeslutet utgör ett komplement till andra instrument om informationsutbyte inom ramen för polisiärt och straffrättsligt samarbete. Det innehåller bl.a. bestämmelser om allmänna utgångspunkter för behandlingen av personuppgifter och känsliga per- sonuppgifter, rättelse, radering och gallring av personuppgifter, informa- tion till den registrerade samt skadestånd och sanktioner. Till stora delar motsvarar innehållet dataskyddsdirektivet. Regeringen har i propositionen Godkännande av Dataskyddsrambes- lutet (prop. 2008/09:16) på ett övergripande plan övervägt vilka lagänd- ringar som kan krävas. har godkänt utkastet till rambeslut (bet. 2008/09:JuU7, rskr. 2008/09:41). Utredningen om informations- utbyte vid brottsbekämpning m.m. har i delbetänkandet Dataskydd vid europeiskt polisiärt och straffrättsligt samarbete lämnat förslag på hur rambeslutet ska genomföras i svensk rätt (SOU 2011:20). Utredningen har bl.a. föreslagit en ny lag lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt sam- arbete inom Europeiska unionen som gäller vidarebehandling av per- sonuppgifter som svenska myndigheter som deltar i polisiärt eller straff- rättsligt samarbete har tagit emot från en annan medlemsstat i EU. 2010/11:129 slaget bereds i . Enligt en ny bestämmelse i 2 kap. 6 § andra stycket regeringsformen ska var och en gentemot det allmänna vara skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden, se propositionen En reformerad grundlag (prop. 2009/10:80 s. 178 ff.). Skyddet mot intrång får begränsas i lag och bara i den ordning som före- skrivs i 2 kap. regeringsformen. Som exempel på åtgärder som kan inne- bära kartläggning anges i propositionen bl.a. registrering i polisens regis- ter. Bestämmelsen omfattar dock bara vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av vad som kan anses utgöra ett betydande intrång ska man enligt förarbetsuttalandena väga in uppgif- ternas karaktär och omfattning samt ändamålet med behandlingen och omfattningen av utlämnandet av uppgifter till andra. Personuppgiftslagen (1998:204), genom vilken dataskyddsdirektivet genomförts i svensk rätt, har gjorts generellt tillämplig och omfattar således även sådan verksamhet som faller utanför direktivets tillämp- ningsområde (prop. 1997/98:44, bet. 1997/98:KU18). Lagen trädde i kraft och innehåller de generella regler som krävs för genomförandet av direktivet. Lagen anger den grundläggande ramen för behandling av personuppgifter. Särreglering i lag eller förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger, är en garanti för att behovet av särregler över- vägs noga i den ordning som gäller för författningsgivning. Personuppgiftslagen innehåller generella bestämmelser för all be- handling av personuppgifter. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, söka, bevara och sprida uppgifter. Lagen omfattar i princip endast behandling av personuppgifter som är helt eller delvis automa- tiserad. Även behandling kan dock omfattas, nämligen om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av per- sonuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig se till att personuppgifter behandlas bara om det är lagligt. Den personuppgiftsan- svarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för sär- skilda, uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktu- Prop. 2010/11:129 ella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare reglerar personuppgiftslagen när behandling av uppgifter är tillåten. Detta är i princip fallet när den registrerade har lämnat sitt sam- tycke eller när behandlingen är nödvändig av olika angivna skäl, bl.a. för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet och för att den personuppgiftsansvarige, eller tredje man till vilken per- sonuppgifter lämnas ut, ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgiftslagen förbjuder andra än myndigheter att behandla per- sonuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Det finns dock ett bemyndigande för regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om undantag från förbudet. Datainspektionen har meddelat sådana föreskrifter; 1998:3, jfr 9 § personuppgiftsförordningen (1998:1191). trädde vissa ändringar av personuppgiftslagen i kraft, som innebär att lagen i viss utsträckning utformas enligt en s.k. missbruksmodell (prop. 2005/06:173). Regleringen tar därmed inte sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka bild- och ljudupptagningar, undantas från de flesta av personuppgiftsla- gens detaljerade hanteringsregler. Sådan behandling tillåts utan andra re- striktioner än att den registrerades personliga integritet inte får kränkas. Polisdatalagen (1998:622) Den nu gällande polisdatalagen trädde i kraft . Lagen gäller utöver personuppgiftslagen (1998:204) vid behandling av person- uppgifter i polisens verksamhet och i polisverksamhet vid Ekobrotts- myndigheten för att -förebygga brott och andra störningar av den allmänna ordningen och säkerheten, -övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när något sådant inträffat, eller -bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Lagen omfattar således inte all behandling av personuppgifter inom polisen. Uppgiftsbehandling inom den hjälpande och stödjande verksam- heten, tillståndsverksamheten och den administrativa verksamheten faller utanför lagens tillämpningsområde. För personuppgiftsbehandling i sådan verksamhet gäller personuppgiftslagen och eventuell särreglering i annan författning. Inom polisen förs även ett flertal register som i och för sig faller inom polisdatalagens tillämpningsområde men som med tillämpning av lagens övergångsbestämmelser förs med stöd av den upphävda datalagen och Datainspektionens tillstånd. Behandling av personuppgifter som sker med stöd av lagen om belast- ningsregister, lagen om misstankeregister, lagen om Schengens informa- tionssystem eller lagen om passagerarregister har uttryckligen undanta- gits från polisdatalagens tillämpningsområde. Polisdatalagen innehåller allmänna bestämmelser om behandling av personuppgifter i polisiärt arbete och särskilda bestämmelser om behand- ling i kriminalunderrättelseverksamhet och om vissa register. Det finns två kategorier av allmänna bestämmelser i lagen, dels sådana som gäller för all behandling av personuppgifter (dvs. även sådan behandling som inte är automatiserad), dels sådana som endast gäller automatiserad be- handling. Till den förstnämnda kategorin hör bestämmelser som reglerar behandling av känsliga personuppgifter, utlämnande av uppgifter, bl.a. till statistikmyndighet och utländsk myndighet och bestämmelser om rättelse och skadestånd. Därutöver gäller för automatiserad behandling även allmänna bestämmelser om behandling av uppgifter om kvarstående misstankar och om gallring. De register som regleras särskilt i lagen är kriminalunderrättelseregis- ter, register med uppgifter om DNA-analyser, fingeravtrycks- och sig- nalementsregister samt . Polisdatalagen (2010:361)