sou · GZB380 · 2011-12-07 00:00:00 — Den ena invändningen gällde integritets- aspekten, den andra en eventuell konflikt med reglerna om fair trial i . När det gäller integritetsaspekten är det fråga om uppgifter från alla myndigheter, inte bara de brottsbekämpande. En sådan sekretess- brytande bestämmelse skulle således i stor utsträckning omfatta uppgifter som samlats in för ett annat ändamål än att bekämpa brott. Redan när sekretesslagen kom till ansågs just det vara en situation där sekretess som huvudregel borde gälla mellan myndigheter --- Eventuellt skulle en sekretessbrytande bestämmelse kunna begränsas, t.ex. genom anknytning till straffskalor för vissa brott, så att denna aspekt inte väger så tungt. Det finns dock möjlighet för de flesta myndigheter att lämna denna typ av uppgifter till de brotts- bekämpande myndigheterna efter en intresseavvägning med stöd av 14 kap. 3 § sekretesslagen. Mot den bakgrunden och med hänsyn till svårigheterna att avgränsa en bestämmelse som gäller alla myndigheter vill vi inte lägga fram ett sådant förslag. En annan tveksamhet när det gäller en sådan bestämmelse är frågan om förbudet mot att genom vitesföreläggande tvinga en person att medverka i en brottsutredning om sig själv. I den fiskala verksamheten hos och finns det möjlighet att genom vite tvinga fram uppgifter. I samband med införandet av ny register- lagstiftning för brottsbekämpande verksamhet har regeringen diskuterat frågan ytterligare (prop. 2004/05:164 s. 101– 105). Regeringen konstaterar att rättssäkerhetsgarantierna i Europa- konventionen artikel 6 inte kan anses hindra att de enheter inom som arbetar med underrättelseverksamhet inom ramen för den brottsbekämpande verksamheten tar del av fiskal information från tulldatabasen (s. 104). När det gäller möjlighet att använda vitesföreläggande har det dock ansetts nödvändigt att begränsa den om det finns anledning anta att gäldenären, eller om det är en juridisk person, ställföreträdare för gäldenären har begått brott (10 kap. 4 § tullagen [2000:1281]). Liknande bestämmelser finns för . Även många andra myndigheter har möjlighet att använda vites- förelägganden i sin verksamhet. Det är svårt att generellt uttala sig om när sådan information kan lämnas till brottsbekämpande myndigheter utan att det kommer i strid med rättssäkerhetskraven i Europa- konventionen. Även detta talar således mot att införa en generell sekretessbrytande bestämmelse som gäller alla myndigheter och som lämnas med stöd av generalklausulen i 14 kap. 3 Bör möjligheterna att lämna uppgifter vara större för vissa myndig- heter kan den frågan behandlas särskilt så att rättssäkerhetsaspekten får en nödvändig belysning. Efter det att utredningen överlämnat sitt slutbetänkande har regeringen dock valt att inte gå vidare med BRUs förslag i denna del. 5.1Allmänt om registerförfattningarna m.m. För att få till stånd ett i än högre grad bättre fungerande informationsutbyte mellan myndigheter som samarbetar i bekämp- ningen av grov organiserad brottslighet, krävs bl.a. att det inte finns några hinder för utbyte av personuppgifter. Behandling av personuppgifter regleras i svensk rätt i första hand genom personuppgiftslagen (1998:204). Denna generella lag- stiftning är vidare kompletterad med särregler i s.k. register- författningar för viktigare eller känsligare register inom det offentliga området. Enligt 2 § personuppgiftslagen gäller sär- reglering i lag eller förordning framför bestämmelserna i person- uppgiftslagen. För mer information om bl.a. förhållandet mellan personuppgiftslagen och registerförfattningarna, se exempelvis kap. 2 i vårt delbetänkande DATASKYDD VID EUROPEISKT POLISIÄRT OCH STRAFFRÄTTSLIGT SAMARBETE, Data- skyddsrambeslutet, Europolanställdas befattning med hemliga upp- gifter (SOU 2011:20). Skäl föreligger att närmare redogöra för de regelverk som reglerar behandlingen av personuppgifter för de i detta sammanhang aktuella myndigheterna. Nedan redogörs för vissa bestämmelser i myndigheternas registerförfattningar. Vi har framförallt ansett det vara av intresse att uppmärksamma utformningen av registerförfattningarnas ändamålsbestämmelser och reglerna om direktåtkomst och uppgiftsutlämnande (jfr nedan avsnitt 7.3 och 11.1). Redogörelsen i detta kapitel är i huvudsak koncentrerad till dessa sakområden och återges myndighet för myndighet. Vi har i arbetet utgått från gällande författningar, med undantag för vad som gäller regleringen av polisens behandling av person- uppgifter. I denna del har vi i stället utgått från polisdatalagen (2010:361), som – med vissa undantag – träder i kraft , då polisdatalagen (1998:622) upphör att gälla. Vi är medvetna om att det pågår arbeten med att utforma nya eller justerade registerförfattningar vad gäller flertalet av de myndigheter som är aktuella i arbetet med bekämpningen av grov organiserad brottslighet. Vissa av författningsförslagen har likheter med bestämmelserna i polisdatalagen (2010:361). Då någon proposition om ny lagstiftning inte – förutom vad gäller polisen – har beslutats vad avser aktuella myndigheter, har vi inte i vårt arbete ansett det som möjligt eller lämpligt att utgå från något av de nämnda författningsförslagen, utan i stället utgått från gällande svensk rätt. I vår redogörelse för gällande bestämmelser som reglerar behandlingen av personuppgifter enligt ovan har vi alltså inte – förutom vad gäller polisdatalagen – ansett oss kunna ta hänsyn till det lagstiftningsarbete m.m. som pågår inom ifrågavarande område. I slutet av varje avsnitt nedan redogörs dock något för det förändringsarbete som pågår. Redogörelsen i detta kapitel har i stora delar hämtats från kap. 4 i vårt delbetänkande SOU 2011:20. I delbetänkandet återges även, i nämnda kapitel, allmänna inledande beskrivningar av de olika myndigheternas verksamheter, dvs. även viss redogörelse för myndigheternas icke brottsbekämpande verksamhet. Dessa texter har till övervägande delar utelämnats i avsnitten nedan. Innan den specifika redogörelsen för de i myndigheternas registerförfattningar i sammanhanget relevanta bestämmelserna (se vidare kap. 5.4) lämnas, återges nedan en kort allmän bakgrund till personuppgiftslagens och registerförfattningarnas ändamåls- bestämmelser (se vidare kap. 5.2–5.3). Denna redogörelse är i stort hämtat från kap. 10 i vårt delbetänkande, SOU 2011:20. För behandling som omfattas av personuppgiftslagen gäller vissa grundläggande krav. I exempelvis 9 § personuppgiftslagen finns bestämmelser om krav på behandling av personuppgifter som en personuppgiftsansvarig alltid måste följa. När det gäller ändamål anges i 9 § första stycket personuppgiftslagen att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkt c). De insamlade personuppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (punkt d). Denna sistnämnda bestämmelse kallas för finalitetsprincipen. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade personuppgifterna finns angivna redan då uppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns alltså inte. Uppgifterna ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Personuppgiftslagens regler om grundläggande krav på behandlingen i dessa delar gäller inom de nu aktuella verksamhetsområdena. Enligt 9 § andra stycket personuppgiftslagen ska senare behandling av uppgifter för historiska, statistiska eller veten- skapliga ändamål dock inte anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Enligt 3 § personuppgiftslagen avses vad gäller begreppet behandling i detta sammanhang varje typ av åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, registrering, organi- sering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller sam- körning, blockering, utplåning eller förstöring. I regel innehåller registerförfattningar bestämmelser om ändamål med behandlingar av de uppgifter som omfattas av den särskilda regleringen. I registerförfattningarna finns ofta en hänvisning till 9 § personuppgiftslagen eller en bestämmelse i själva register- författningen med samma innehåll. Den ram för tillåtna behand- lingar som ges genom en angivelse av ändamål definieras i regel av 9 § första stycket c) och d) personuppgiftslagen i förening med den aktuella registerförfattningen (jfr SOU 2003:99 s. 236 och prop. 2002/03:135 s. 55). Finalitetsprincipens innehåll är något oklar och har varit föremål för diskussion. Det har bl.a. diskuterats i vad mån ändamålsbestämningar i registerförfattningar ska anses vara uttömmande eller inte. Med andra ord om andra med ändamålsbestämningen inte oförenliga ändamål ska anses vara tillåtna eller inte vid sidan av de uttryckliga ändamålen, då det handlar om en behandling av redan insamlade personuppgifter. – Att myndigheten inom ramen för register- författningens tillämpningsområde inte får behandla person- uppgifter för helt andra ändamål än de i författningen angivna, trots att det om författningen inte funnits skulle ha varit tillåtet enligt 10 § personuppgiftslagen, torde stå klart. Det är likaså klart att myndigheten oberoende av ändamålsangivelserna och register- författningen i övrigt ska uppfylla sina skyldigheter att enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen söka efter, sammanställa och lämna ut personuppgifter. Det följer om inte annat av att grundlag tar över författningar av lägre rang. I de särskilda registerförfattningarna anges de tillåtna ändamålen, men av 9 § personuppgiftslagen – som normalt gäller vid behandling som omfattas av en registerförfattning – framgår indirekt (första stycket punkt d) att det inte är otillåtet att personuppgifterna också behandlas för alla ändamål som inte är oförenliga med det för vilket uppgifterna samlades in och (andra stycket) under alla förhållanden för historiska, statistiska och vetenskapliga ändamål. (: till , 2006 s. 700). I dessa sammanhang har det uttolkats (bl.a. av Patientdata- utredningen 2006:82) att – om det inte framgår av den aktuella registerförfattningen att ändamålsbestämmelsen syftar till att vara uttömmande och personuppgiftslagen gäller utöver den särskilda registerförfattningen – även andra icke angivna ändamål torde vara tillåtna, om dessa andra ändamål är förenliga med de i författningen angivna ändamålen eller om det är fråga om behandling för historiska, statistiska eller vetenskapliga ändamål. För den brottsbekämpande verksamheten som bedrivs av Kust- bevakningen, och åklagarväsendet, finns bestämmelser om personuppgiftsbehandling som innebär att bestämmelsen i 9 § första stycket d) personuppgiftslagen i princip är tillämplig. I 2 kap. 2 § 3. polisdatalagen (2010:361) regleras bl.a. för- hållandet mellan denna lag och personuppgiftslagen varvid framgår att när personuppgifter behandlas enligt lagen eller enligt föreskrifter som har meddelats i anslutning till lagen gäller 9 §, med undantag för första stycket i) och tredje stycket, om grundläggande krav på behandling av personuppgifter. För del finns en motsvarande hänvisning i 6 § första stycket 3. lagen (2005:787) om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet, men där hänvisningen till personuppgiftslagens bestämmelser om grundläggande krav på behandling i 9 § första stycket är begränsad till punkterna a), b) och e)–h). 5.3.2Primära och sekundära ändamål I personuppgiftslagen är ett av de grundläggande kraven att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I registerförfattningarna förekommer ofta även en indelning i primära och sekundära ändamål för behandling av personuppgifter. Primära ändamål är sådana som är direkt anpassade till den verksamhet som bedrivs av personuppgiftsansvarig myndighet. Sekundära ändamål är i stället sådana som kan hänföras till andra myndigheters eller enskildas verksamhet; t.ex. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan. Eftersom personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket det samlades in, fyller de sekundära ändamålen sin plats i och med att de anger för vilka andra ändamål än de primära, som uppgifter får behandlas genom lagring och annan behandling inom den aktuella myndig- hetens verksamhet (jfr betänkande, Skyddet för den personliga integriteten – kartläggning och analys, SOU 2007:22 s. 465). Sekundära ändamål förutsätter förekomst av primära ändamål. Vissa registerförfattningar är utformade på så sätt att en upp- delning mellan primära och sekundära ändamål inte görs. 5.4Närmare om myndigheternas register- författningar I detta kapitel redogörs närmare för de samarbetande myndig- heternas registerförfattningar och då främst reglerna om ändamål, direktåtkomst och uppgiftsutlämnande, vilka vi anser utgör de i sammanhanget centrala bestämmelserna för att få till stånd ett fungerande informationsutbyte vid samarbetet mellan myndigheter i bekämpningen av grov organiserad brottslighet (jfr 11.1 nedan). Den för aktuella registerförfattningen och det pågående lagstiftningsarbetet inom området återges nedan i avsnitt 5.4.11 tillsammans med författningar m.m. vad gäller . Behandling av personuppgifter vad avser socialförsäkringsförmåner som administreras av är huvudsakligen reglerad i 114 kap. socialförsäkringsbalken (2010:110, SFB) samt i förord- ningen (2003:766) om behandling av personuppgifter inom social- försäkringens administration. Personuppgiftslagen (1998:204, PUL) tillämpas subsidiärt, dvs. bestämmelserna i tillämpas i den mån något annat inte framgår av SFB. Ändamålen för behandling av personuppgifter inom social- försäkringens administration definieras primärt i 114 kap. 7 § SFB, som har följande innehåll. och får i sin verksamhet behandla personuppgifter om det är nödvändigt för att 1.återsöka vägledande avgöranden, 2.tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar som avses i 2 § ska kunna bedömas eller fastställas, 3.informera om sådana förmåner och ersättningar som avses i 2 §, 5.planera verksamhet samt genomföra resultatstyrning, resultat- uppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet, eller 6.framställa statistik i fråga om verksamhet enligt 4 och 5. Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas. Behandling av personuppgifter för kontrollsyfte anges inte bland ändamålen. För kontrollverksamheten inom är de ändamål som anges i punkterna 4 och 5 av största intresse. I 114 kap. 8 och 9 §§ SBF finns bestämmelser som tar upp ytterligare uppgiftslämnande som ändamål. Bestämmelserna har följande utformning. Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas av och för till- handahållande av information som behövs 1.som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av och arbetslöshetskassorna, 2.för samordning av tjänstepensioner i den verksamhet som bedrivs av och det för kommunerna och landstingen gemensamma organet för administration av personalpensioner, 3.för handläggning av ärenden hos där regler om statens tjänstegrupplivförsäkring ska tillämpas, 4.som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. socialtjänstlagen (2001:453) åt enskild i den verksamhet som bedrivs av socialnämnderna, eller 5.som underlag för beslut om och kontroll av vårdnadsbidrag enligt lagen (2008:307) om kommunalt vårdnadsbidrag. och får även behandla personuppgifter som behandlas för ändamål som anges i 7 § för att tillhandahålla information utanför den egna myndigheten på grund av 1.sådan bestämmelse om skyldighet att lämna ut uppgifter till andra myndigheter som avses i 10 kap. 28 § första stycket offentlighets- och sekretesslagen (2009:400), 2.sådant medgivande att lämna ut uppgifter som följer av särskilda bestämmelser i lag eller förordning, 3.sådan skyldighet att lämna ut uppgifter som följer av unionsrätten inom Europeiska unionen, eller 4.åtaganden i samarbetet inom Europeiska ekonomiska samarbets- området eller i avtal om social trygghet eller utgivande av sjukvårds- förmåner som ingått med andra stater. Förutom de ändamål som uttryckligen anges i SFB innehåller 114 kap. 10 § i balken en hänvisning till 9 § första stycket d) personuppgiftslagen (1998:204). Den bestämmelsen ger uttryck för den s.k. finalitetsprincipen, dvs. att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Regler om direktåtkomst till socialförsäkringsdatabasen finns i 114 kap. 18–23 §§, där det bl.a. stadgas (18 §) att sådan direkt- åtkomst endast är tillåten i den utsträckning som anges i lag eller förordning. När det gäller utlämnande på medium för automatiserad behandling framgår det av 114 kap. 24 § SFB att personuppgifter som lämnas ut till den registrerade får lämnas ut på medium för automatiserad behandling. I övrigt får personuppgifter i social- försäkringsdatabasen lämnas ut på detta sätt om det behövs för något av de ändamål som anges i 114 kap. 8 och 9 §§ SFB. Dessa ändamål avser utlämnande på grund av uppgiftsskyldig- het, särskilt författningsreglerade medgivanden om utlämnande och utlämnande på grund av skyldigheter som följer av gemenskaps- rätten inom Europeiska unionen (EU) och andra internationella åtaganden. Kriminalvårdens behandling av personuppgifter regleras i lagen (2001:617) om behandling av personuppgifter inom kriminalvården och den tillhörande förordningen (2001:682). Ändamålet med behandlingen regleras i 3 § i lagen. I bestäm- melsens första stycke anges följande. Kriminalvården får behandla personuppgifter bara om det behövs för att 1.myndigheten skall kunna fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning, 2.underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets myndigheter behöver, eller 3.upprätthålla säkerheten och förebygga brott som en åtgärd enligt 1 § första stycket 2–9 pågår. Enligt andra stycket får personuppgifter som behandlas enligt första stycket också behandlas om det behövs för tillsyn, planering, uppföljning och kvalitetssäkring av verksamheten. Åtgärderna som anges i 3 § 3 avser Kriminalvårdens verksamhet i fråga om personer som är häktade, som är dömda till fängelse, som är dömda till skyddstillsyn, som är dömda till villkorlig dom med föreskrift om samhällstjänst, som är ålagda fängelse som förvandlingsstraff för böter eller vite, som på grund av utländsk dom ska verkställa en sådan påföljd som avses i 3–6 i , som på annan grund är intagna i häkte eller kriminalvårdsanstalt eller som annars transporteras av kriminalvårdens transporttjänst. Ändamålet enligt 3 § 1 styrs således av vilka Kriminalvårdens författningsreglerade uppgifter är. Kriminalvårdens huvudsakliga uppgifter framgår av 2 § förordningen (2007:1172) med instruktion för Kriminalvården. Enligt bestämmelsen ska Kriminalvården verka för att 1.påföljder verkställs på ett säkert, humant och effektivt sätt, 2.lagföring kan ske på ett effektivt sätt, och 3.återfall i brott förebyggs. Kriminalvården ska särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras, frigivningen för- bereds, narkotikamissbruket bekämpas och innehållet i verkställig- heten anpassas efter varje individs behov. Enligt 5 § i lagen får uppgifter om en person inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga uppgifter). Om uppgifter om en person behandlas på annan grund får dock uppgifterna kompletteras med känsliga uppgifter, om det är absolut nödvändigt för syftet med behandlingen. Känsliga uppgifter får inte användas som sökbegrepp om inte regeringen har föreskrivit det. – Föreskrifter om sökbegrepp har meddelats i 40 § i förordningen. Enligt den bestämmelsen får känsliga uppgifter användas som sökbegrepp för sökning i säkerhetsregistret. Enligt 10 § i lagen meddelar regeringen föreskrifter om bl.a. vilka myndigheter som får ha direktåtkomst till personuppgifter som ska lämnas ut av Kriminalvården. Enligt 37 § andra stycket i förordningen får , med vissa inskränkningar samt och polismyndigheter ha direktåtkomst till kriminalvårdsregistret. Enligt 44 § första stycket i förordningen får chefen för och de personer inom myndigheten som denne utser ha direktåtkomst till uppgift om en person finns registrerad i säkerhetsregistret. får sedan lämna ut en sådan uppgift under vissa närmare angivna förutsättningar. Vid sidan av reglerna om direktåtkomst har Kriminalvården skyldighet att lämna vissa uppgifter till Totalförsvarets rekryteringsmyndighet, , polismyndighet, Riks- polisstyrelsen och (46 § i förordningen). Kriminalvården ska dessutom på begäran lämna uppgifter ur kriminalvårdsregistret till , en domstol, Åklagar- myndigheten, , Justitiekanslern, ombudsmän, , en polismyndighet, Data- inspektionen eller en myndighet som får besluta om frihets- berövande åtgärder enligt lagen (1957:688) om utlämning för brott, lagen (1959:254) om utlämning för brott till , , eller eller utlänningslagen 2005:716 (37 § första stycket i förordningen). behandling av personuppgifter regleras i lagen (2001:184) om behandling av uppgifter i Kronofogde- myndighetens verksamhet (KFMdbL) samt förordningen (2001:590) i samma ämne (KFMdbF). 1 kap. 2 § i nämnda lag anger att lagen gäller för behandling av uppgifter i verksamhet i stället för personuppgiftslagen, om inte annat särskilt anges i 1 kap. 3 § eller 3 kap. KFMdbL. Den nämnda lagen består av tre kapitel, varav kap. 1 innehåller allmänna bestämmelser, kap. 2 bestämmelser om Kronofogde- myndighetens databaser; utsöknings- och indrivningsdatabasen (1– 6 §§), betalningsföreläggande- och handräckningsdatabasen (7– 12 §§), skuldsaneringsdatabasen (13–18 §§), konkurstillsynsdata- basen (19–23 §§) och gemensamma bestämmelser om databaserna (24–31 §§) samt kap. 3 bestämmelser om enskildas rättigheter. I bland annat 1 kap. 4 § och 2 kap. 2, 3, 8, 9, 14, 15 och 20 §§ KFMdbL anges för vilka ändamål behandling av personuppgifter får förekomma. 2 kap. 2 § har följande lydelse. Uppgifter får behandlas i databasen för tillhandahållande av informa- tion som behövs i och verksamhet för 1.verkställighet eller annan åtgärd som särskilt åligger Kronofogde- myndigheten enligt utsökningsbalken eller annan författning, 2.indrivning av statliga fordringar m.m., 3.avräkning vid återbetalning av skatter och avgifter, 4.ansökan om och tillsyn över näringsförbud, 5.förebyggande av överskuldsättning, och 6.tillsyn, kontroll, uppföljning och planering av verksamheten. I 2 kap. 3 § i nämnda lag regleras behandlingen av uppgifter i ut- söknings- och indrivningsdatabasen som behövs i författnings- reglerad verksamhet hos någon annan än . Paragrafen har följande lydelse. Uppgifter får behandlas i databasen för tillhandahållande av informa- tion som behövs i författningsreglerad verksamhet hos någon annan än för 1.avräkning vid återbetalning av skatter och avgifter, 2.kvittning vid utbetalning av bidrag, 3.planering, samordning och uppföljning av revision och annan kontrollverksamhet vid beskattning och tulltaxering, 4.utredningar vid bestämmande och betalning av skatter, tullar och avgifter, 5.ärenden om ansvar för någon annans skatter och avgifter, och