sou · GZB320 · 2011-03-15 00:00:00 — Som en följd av , bilaterala avtal med och samt vissa EU-rättsakter, infördes i en ny lag (2000:562) om internationell rättslig hjälp i brottmål. I förarbetena diskuterade regeringen frågor om sekretess i samband med nämnda internationella avtal och den nya lagen. Bland annat konstaterades att tidigare centrala konventioner inom området saknar bestämmelser om sekretess, men att frågor om offentlighet och sekretess har fått allt större betydelse i det europeiska samarbetet i och inom EU. I fråga om det internationella rättshjälpssamarbetet konstaterade regeringen att en ansökan om rättslig hjälp och andra uppgifter som lämnas av en annan stat måste åtnjuta sekretesskydd för att inte motverka brottsutredningen i den ansökande staten. Med hänvisning till ett JO-beslut (1997/98 s. 112) fann regeringen att sekretessen enligt 18 kap. 1–3 §§ OSL till skydd för brottsutredande verksamhet inte var tillämplig i förhållande till utredningar som utförs på ansökan av en främmande stat (prop. 1999/2000:61 s. 164). Behovet av sådan sekretess var däremot enligt regeringen detsamma och det ansågs inte självklart att uppgifter alltid kan hemlighållas med stöd av den generella bestämmelsen om utrikessekretess i 15 kap. 1 § OSL. Regeringen gjorde därför bedömningen att en ny bestämmelse behövde införas i offentlighets- och sekretesslagen. Med anledning av att tillträdde Romstadgan för Interna- brottmålsdomstolen fann regeringen att motsvarande skäl för en ny sekretessbestämmelse gjorde sig gällande även i fråga om sekretess i för ansökningar om rättslig hjälp eller om överlämnande av misstänkta, som domstolen lämnar till de anslutna staterna. Däremot fann regeringen att de sekretesskrav som kan ställas på underrättelser som domstolens åklagare lämnar till anslutande stater om pågående eller förestående utredning, i allmänhet torde kunna omfattas av utrikessekretess enligt 15 kap. 1 § OSL. Enligt 18 kap. 17–18 §§ OSL gäller således numera sekretess i verksamhet som avser rättslig hjälp på begäran av annan stat eller mellanfolklig domstol för uppgift som hänför sig till bl.a. utredning enligt bestämmelserna om förundersökning i brottmål. Sekretessen gäller om det kan antas att den rättsliga hjälpen har begärts under förutsättning att uppgifterna inte röjs. Skade- rekvisitet är alltså utformat med utgångspunkt i den ansökande statens vilja att hemlighålla uppgifter. Anledningen till att den utländska staten eller en mellanfolklig domstol på det sättet får förfoga över sekretessen i , är de svårigheter som en svensk myndighet skulle ha att bedöma behovet av sekretess i en annan stats förundersökning eller i Internationella brottmålsdomstolens brottsutredningar. Motsvarande sekretess gäller enligt samma paragraf också för vissa uppgifter hos , och som rör angelägenheter enligt lagen (2000:344) om Schengens informationssystem. På motsvarande sätt som för förundersökningssekretess enligt 18 kap. 1–3 §§ OSL gäller kvalificerad tystnadsplikt för uppgifter om vissa tvångsåtgärder som omfattas av sekretess enligt 18 kap. 17 §. Meddelarfriheten är alltså inskränkt. 6.5Särskilda sekretessbestämmelser i andra lagar För att handlingsoffentligheten ska kunna inskränkas krävs enligt 2 kap. 2 § tryckfrihetsförordningen att begränsningen anges noga i offentlighets- och sekretesslagen eller i annan lag som offentlig- hets- och sekretesslagen hänvisar till. Sådana hänvisningar görs i 7 kap. 1 § och 9 kap. 2 § OSL till de nedan redovisade lagarna. Dessa lagar innehåller bestämmelser som begränsar möjligheterna för en svensk myndighet att utnyttja vissa uppgifter som den har fått från en myndighet i en annan stat, t.ex. att lämna uppgifterna till andra svenska myndigheter. 7 kap. 1 § OSL stadgar att om enligt lagen förbud gäller mot att röja en uppgift, får uppgiften inte heller i övrigt utnyttjas utanför den verksamhet för vilken den är sekretessreglerad. 9 kap. 2 § OSL har följande lydelse. Bestämmelser som begränsar möjligheten att använda vissa uppgifter som en svensk myndighet har fått från en myndighet i en annan stat finns i 1.lagen (2000:343) om internationellt polisiärt samarbete, 2.lagen (2000:344) om Schengens informationssystem, 3.lagen (2000:562) om internationell rättslig hjälp i brottmål, 4.lagen (2000:1219) om internationellt tullsamarbete, och 5.lagen (2000:1174) om vissa former av internationellt samarbete i brottsutredningar. Angående vår bedömning rörande eventuella ändringar i OSL med anledning av dataskyddsrambeslutet, se avsnitt 12.3.4 nedan. 6.5.1Lagen (2000:343) om internationellt polisiärt samarbete och lagen (2000:562) om internationell rättslig hjälp i brottmål I avsnitt 6.4.8 redovisas kort bakgrunden till bestämmelsen om sekretess i 18 kap. 17 § OSL, bl.a. anslutning till . Särskilda bestämmelser som utöver denna sekretess begränsar svenska myndigheters möjlighet att använda sig av uppgifter som har lämnats av en annan stat finns i 3 § lagen om internationellt polisiärt samarbete och i 18 kap. 1-4 §§ lagen om internationell rättslig hjälp i brottmål (som gäller för åklagare och domstolar). Bestämmelserna ska tillämpas om en svensk myndighet i ett ärende om rättslig hjälp har fått uppgifter eller bevisning från en annan stat enligt en internationell överenskommelse som är bindande för . Om överenskommelsen innehåller villkor som begränsar möjligheten att använda uppgifterna eller bevisning- en vid utredning av brott eller i ett rättsligt förfarande med anledning av brott, ska svenska myndigheter följa villkoren oavsett vad som annars är föreskrivet i lag eller annan författning. Regeringen har i förarbetena till den aktuella lagstiftningen konstaterat att det i konventioner ofta förekommer bestämmelser och villkor om begränsning i rätten att använda bevismaterial m.m. som överlämnats från en annan stat, t.ex. i Schengen- och Dublinkonventionerna samt i bilaterala avtal med och . Sådana internationellt avtalade bestämmelser kan för svenskt vidkommande medföra att en konflikt uppkommer mellan bestämmelserna i överenskommelsen och inhemska regler om en myndighets skyldighet att fullgöra sina myndighetsuppgifter, inte minst inom det straffrättsliga området. Orsaken är att den s.k. officialprincipen gäller för svenska myndigheter. Den innebär bl.a. att en polis eller åklagare i princip är skyldig att inleda för- undersökning så snart det finns anledning att anta att ett brott som lyder under allmänt åtal har begåtts. Regeringen menade att denna konflikt måste undanröjas för att förhindra att svenska myndigheter tvingas avstå från viktig information som en främmande stat är villig att lämna. Det ansågs således nödvändigt att vidtog ovan nämnda lagstiftnings- åtgärder för att därigenom kunna uppfylla de villkor som det internationella samarbetet ställer för att över huvud taget ska få tillgång till information som ökar möjligheterna att komma till rätta med allvarlig brottslighet. 6.5.2Lagen (2000:344) om Schengens informationssystem Enligt lagen om Schengens informationssystem ska Rikspolis- styrelsen föra ett automatiserat register som utgör den svenska nationella enheten i Schengens informationssystem (SIS) och är anslutet till det centrala informationssystemet inom SIS. Registret ska vara ett hjälpmedel för de andra Schengenstaterna att göra framställningar till svensk polis för att främja samarbete som avser polisiära och rättsliga frågor samt frågor om inresa och uppe- hållstillstånd. Enligt lagen får registret endast användas för vissa angivna ändamål. Den svenska polisen har genom SIS tillgång till uppgifter som har förts in i registret av andra stater. I 10 § nämnda lag finns en bestämmelse som innebär att en svensk myndighet inte får utnyttja en uppgift i SIS för något annat syfte än det som den registrerande staten har angett vid registreringen. Om den registrerande staten har lämnat sitt samtycke, får dock en svensk myndighet använda uppgiften också för andra ändamål som anges i lagen. Bestämmelsen innebär alltså att de övriga Schengenstaterna i viss mån förfogar över den svenska polisens rätt att utnyttja uppgifter som den har tillgång till i SIS. 6.5.3Lagen (2000:1219) om internationellt tullsamarbete trädde en ny lag om internationellt tullsamarbete i kraft. Den är tillämplig på sådant samarbete som följer av en interna- tionell överenskommelse med en annan stat eller en mellanfolklig organisation som har tillträtt eller annars är förpliktat att följa och som har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser. Med stöd av såväl flera bilaterala tullsamarbetsavtal och internationella konventioner som EU-förordningar, deltar i ett omfattande internationellt samarbete av det slag som avses i lagen. I dessa avtal finns bestämmelser om såväl inskränkning i förfoganderätten över som sekretess för uppgifter som lämnas mellan avtalsstaterna. Bestäm- melserna innebär att samarbetande stater kan ställa upp villkor för hur uppgifter som lämnas ut får användas av den stat som tar emot dem. Med hänvisning till den dåvarande lagen om internationellt samarbete på brottmålsområdet ansåg regeringen att det i en ny lag om tullsamarbete måste införas en bestämmelse som möjliggör för att ta emot uppgifter från andra stater på de villkor som ställs upp vid utlämnandet. Därför framgår det av 4 kap. 2 § lagen om internationellt tullsamarbete att om en behörig svensk myndig- het vid tillämpning av lagen har tagit emot uppgifter eller bevisning från en annan stat enligt en internationell överenskommelse som omfattas av lagen och som innehåller villkor som begränsar möjligheten att använda uppgifterna, ska den svenska myndigheten följa villkoren oavsett vad som annars är föreskrivet i lag eller annan författning. 6.6Övrig gällande rätt inom området Några registerförfattningar innehåller bestämmelser om tystnads- plikt för den som får del av uppgifter ur registren. Sådana bestäm- melser finns i 19 § lagen om belastningsregister och 14 § lagen om misstankeregister. Bestämmelserna är utformade på samma sätt och innebär att den som med stöd av lagen har fått del av uppgifter om annans personliga förhållanden inte obehörigen får röja dessa uppgifter. Den som bryter mot en sådan tystnadsplikt kan straffas enligt 20 kap. 3 § . Regleringen ska ses mot bakgrund av att den som bedriver viss verksamhet, bl.a. den som beslutar om anställning av personer inom psykiatrisk vård, vård av utvecklingsstörda eller vård av barn och ungdom, kan ha rätt att få utdrag ur registren i fråga även om verksamheten bedrivs i privat regi. Registerkontroll är obligatorisk inom vissa sektorer, se exempelvis lagen (2000:783) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg. I det allmännas verksamhet tillämpas, som tidigare nämnts, i stället offentlighets- och sekretesslagen. I 9 § säkerhetsskyddslagen (1996:627) finns vissa regler om informationssäkerhet. Dessa syftar till att skydda sekretessbelagda handlingar som rör rikets säkerhet mot att dessa röjs, ändras eller förstörs (6 och 7 §§). I 12 § säkerhetsskyddsförordningen (1996:633) finns ytterligare föreskrifter med inriktning på skyddet för register och system för automatisk databehandling som innehåller sekretessbelagda uppgifter av nämnt slag. Vidare föreskrivs att myndigheter och andra som omfattas av reglerna i förordningen ska förvissa sig om att mottagaren har fullgod informationssäkerhet innan de sänder hemliga uppgifter i ett datanät utanför deras kontroll. Regelverket om arkivering räknas också som bestämmelser om informationssäkerhet (prop. 1997/98:44 s. 92). Som exempel kan nämnas reglerna i 3, 5 och 6 §§ arkivlagen (1990:782) om hur arkivhandlingar och arkiv ska hanteras. Vidare bör nämnas att regeln i 18 kap. 8 § offentlighets- och sekretesslagen om sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på byggnader eller andra anläggningar, lokaler eller inventarier har ansetts gälla för uppgifter om en tingsrätts datorer och tillhörande utrustning (RÅ 2004:97). 7.1Utgångspunkter för vårt arbete med dataskyddsrambeslutet I vårt kommittédirektiv Genomförande av dataskyddsrambeslutet (dir. 2010:17) har regeringen framhållit att de frågeställningar som är i behov av närmare analys är avgränsningen av rambeslutets tillämpningsområde, behandlingen av känsliga personuppgifter, och Vi har vid en genomgång av regeringens proposition 2008/09:16, Godkännande av Dataskyddsrambeslutet, funnit att det, förutom nämnda områden, även finns ett antal andra frågor som regeringen där anför bör belysas. Sammantaget finns på tjugotvå ställen i regeringens proposition – s. 30, 32, 33, 34, 35, 36, 38, 39, 40, 41, 42, 43, 44, 47, 49, 55, 56 och 57 – angivet olika områden som bör utredas ytterligare. Vi har i vårt arbete utgått från samtliga de frågeställningar som regeringen har lyft fram i propositionen. Dessa frågeställningar har därmed utgjort utgångspunkten för betänkandets utformning. De aktuella frågeställningarna finns redovisade i vart och ett av betänkandets kapitel 8–15. 7.2Lag, förordning eller myndighetsföreskrifter Vår bedömning: Bestämmelserna i artiklarna 5, 7, 10, 15, 21 och 22 i Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsram- beslutet) föranleder inte någon ändring i lag eller förordning. I proposition 2008/09:16, Godkännande av dataskyddsrambeslutet, har det inte pekats på behov av eller föreslagits några lagstiftnings- åtgärder vad gäller dataskyddsrambeslutets artiklar 5 (fastställande av tidsfrister för radering och kontroll), 7 (datoriserade beslut), 10 (registrering och dokumentation), 15 (information på begäran av den behöriga myndigheten), 21 (sekretess i samband med behandlingen av uppgifter) och 22 (säkerhet i samband med behandlingen av uppgifter). Vi ansluter oss till denna bedömning. Nämnda artiklar för- anleder inte någon ändring i lag eller förordning. En ytterligare frågeställning är om en reglering som berör personuppgiftsbehandling bör ha lagform för att den enskildes personliga integritet därmed ska kunna ha ett tillfredställande skydd. Gällande svensk rätt inom området för nu aktuella myndig- heters brottsbekämpande verksamhet m.m. har både lag- och förordningsform. För flertalet av de registerförfattningar som är förordningar finns dock i olika betänkanden förslag om ändringar till lagform (se vidare kap. 4). Regeringen har i denna del i prop. 2008/09:16 s. 30 framhållit följande. Även om det i det fortsatta lagstiftningsarbetet med att genomföra rambeslutet – beroende på vilka förändringar som har hunnit ske – kan vara lämpligt att överväga om viss reglering av personuppgifts- behandling som finns i förordning bör ges i lagform kan det dock inte hävdas att på den grunden inte uppfyller förpliktelserna i ram- beslutet, så länge författningarna i övrigt uppfyller kraven. Att vissa författningar inte har lagform spelar alltså ingen roll i det avseendet. En utgångspunkt i svensk rätt är att det i 2 kap. 6 § andra stycket regeringsformen stadgas att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. I vårt arbete har vi som utgångspunkt haft att grundläggande frågor bör regleras i lag, medan detaljfrågor lämpligen bör regleras i förordning. Frågor om regleringen av personuppgifter har behandlats av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll ska regleras särskilt i lag (se bet 1990/91:KU11 s. 11 och 1997/98:KU8 s. 48). Denna uppfattning har även regeringen givit uttryck för (se bl.a. prop. 1990/91:60 s. 58). Enligt vår mening är den automatiserade behandling av person- uppgifter som förekommer inom den brottsbekämpande verksamheten m.m. hos de i betänkandet aktuella myndigheterna (se kap. 4) av sådan karaktär och omfattning att de grundläggande principerna för behandling givetvis bör slås fast i lag. Mot bakgrund av det föreliggande lagstiftningsarbetet (se kap. 4) vad avser de i betänkandet aktuella myndigheterna och med beaktande av regeringens uttalande i prop. 2008/09:16 ovan, finner vi emellertid inte skäl i detta sammanhang att föreslå någon ändring av utformningen av registerförfattningarna i det avseendet att en författning ska vara lag i stället för förordning. Vi har därför i våra förslag nedan (se kap. 8–15) utgått från gällande rätt inom området och – där exempelvis en register- författning utgör en förordning – föreslagit tillägg eller justeringar i gällande författning. I kommittédirektivet Genomförande av dataskyddsrambeslutet (dir. 2010:17) hänvisas till propositionen Godkännande av data- skyddsrambeslutet (prop. 2008/09:16) och att det däri anges ett par områden där det finns skäl att närmare analysera behovet av lagändringar. Ett av dessa områden är avgränsningen av dataskydds- rambeslutets tillämpningsområde. Nedan följer en genomgång av dataskyddsrambeslutets syfte, allmänt om dess tillämpningsområde och undantagen härifrån. 8.2Allmänt om dataskyddsrambeslutets syfte och tillämpningsområde Artikel 1 i Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsram- beslutet) omfattar bestämmelser om dataskyddsrambeslutets syfte och innehåll. Innehållet i artikeln är följande. 1.Syftet med detta rambeslut är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, särskilt när det gäller deras rätt till privatliv, med avseende på behandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete enligt avdelning VI i fördraget om Europeiska unionen och garantera en allmän säkerhet på hög nivå. 2.I enlighet med detta rambeslut ska medlemsstaterna skydda fysiska personers grundläggande fri- och rättigheter, och särskilt deras rätt till privatliv, när personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder a)överförs, har överförts, görs eller har gjorts tillgängliga mellan medlemsstaterna, b)överförs, har överförts, görs eller har gjorts tillgängliga av medlemsstaterna till myndigheter eller informationssystem som in- rättats i enlighet med avdelning VI i fördraget om Europeiska unionen, eller c)överförs, har överförts, görs eller har gjorts tillgängliga för medlemsstaternas behöriga myndigheter av myndigheter eller informa- tionssystem som inrättats i enlighet med fördraget om Europeiska unionen eller fördraget om upprättandet av Europeiska gemenskapen. 3.Detta rambeslut gäller för sådan behandling av personuppgifter som helt eller delvis utförs automatiskt samt för annan behandling än automatisk av sådana personuppgifter som ingår i eller kommer att ingå i ett register. 4.Detta rambeslut påverkar inte viktiga nationella säkerhetsintressen och särskild underrättelseverksamhet inom området nationell säkerhet. 5.Detta rambeslut hindrar inte medlemsstaterna från att föreskriva strängare säkerhetsåtgärder för skydd av personuppgifter som samlas in eller behandlas på nationell nivå än de som fastställs i detta rambeslut. Syftet med dataskyddsrambeslutet är således enligt artikel 1 punkten 1 ovan att säkerställa en hög skyddsnivå för fysiska personer när det gäller behandling av personuppgifter. Denna punkt kan närmast ses som en programförklaring (jfr prop. 2008/09:16 s. 30). Vi anser att det i denna del inte föreligger skäl att föreslå någon ändring eller något tillägg i lag eller förordning. 8.2.2Skydd enbart för fysiska personer? Av artikel 1 punkten 2 framgår att dataskyddsrambeslutet ska skydda fysiska personers grundläggande fri- och rättigheter m.m. Formellt sett faller således överföring av uppgifter om juridiska personer utanför rambeslutet. I svensk lagstiftning finns dock i viss utsträckning exempel på motsvarande skydd även för juridiska personer, t.ex. 19 § lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet och 1 kap. 3 § polisdatalagen (2010:361). I detta sammanhang ska även framhållas att artikel 1 punkten 5 i dataskyddsrambeslutet möjliggör för medlemsstaterna att ha ett starkare nationellt skydd än vad som framgår av dataskydds- rambeslutet (jfr även skäl 8 i dataskyddsrambeslutets inledande delar). Vi anser mot bakgrund härav att det inte finns skäl att föreslå ändring eller tillägg i lag eller förordning i denna del. 8.2.3Enbart personuppgifter som förts över eller har gjorts tillgängliga? På sätt som anges i artikel 1 punkten 2. a) kan, formellt sett, tillämpningsområdet anses omfatta endast uppgifter som överförs eller görs tillgängliga, eller har överförts eller gjorts tillgängliga, mellan medlemsstater. Detta utgör således strikt sett ett mycket snävt tillämpnings- område. Av promemoria Ds 2008:30; Antagande av rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, s. 154 fram- går dock i detta sammanhang följande. Under förhandlingsarbetet har ett flertal stater, bland dem , motsatt sig att rambeslutet ska tillämpas på all nationell lagstiftning som rör personuppgiftsbehandling inom rambeslutets tillämpnings- område. Huvudskälen för detta var dels att rambeslutet i så fall skulle gå utöver Europeiska unionens rätt att besluta i mellanstatliga frågor, dels att det skulle kunna leda till kompromisser som för enskilda stater skulle innebära ett svagare integritetsskydd för den enskilde. Under förhandlingarna har diskuterats om rambeslutet också bör omfatta alla uppgifter som kan komma att överföras eller göras tillgängliga mellan medlemsstater eller mellan medlemsstater och tredje land eller internationella organ. Den politiska överenskommelse som träffats om innehållet ställer inte krav på detta. Däremot är det en klart uttalad målsättning med rambeslutet att dataskyddet vid nationell behandling ska hålla samma standard som krävs enligt detta, i syfte att underlätta informationsutbytet inom Europeiska unionen (skäl 6 a). Motsvarande inställning framgår i prop. 2008/09:16 s. 31. Vi instämmer i bedömningen i nämnda förarbeten. Dataskydds- rambeslutet kan således inte frånkännas betydelse för den nationella lagstiftningen och tillämpningen i övrigt. Dataskyddsrambeslutets tillämpningsområde m.m. SOU 2011:20 punkten bör därför vara att svensk lagstiftning anpassas till rambeslutet där detta är möjligt och lämpligt. 8.2.4Behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder I artikel 1 punkten 2. b) anges att dataskyddsrambeslutet är tillämpligt på behandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete enligt avdelning VI1 i fördraget om Europeiska unionen, dock endast när personuppgifter samlas in, bearbetas eller behandlas i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Polisiärt eller rättsligt samarbete i annat syfte än det ovan nämnda faller således utanför dataskyddsrambeslutets tillämpnings- område. Uppgifter i exempelvis passregistret omfattas t.ex. inte av tillämpningsområdet, eftersom uppgifterna samlats in och behandlats för annat ändamål. Utanför tillämpningsområdet faller också rättslig hjälp i civil- mål, liksom även utbyte av information som rör offer för olycks- händelser (jfr prop. 2008/09:16 s. 31 och Ds 2008:30 s. 151). Vi finner inte skäl att föreslå någon ändring i lag eller förordning i denna del. 8.2.5Personuppgifter som gjorts tillgängliga av eller för myndighet eller informationssystem som inrättats enligt Dataskyddsrambeslutet omfattar enligt artikel 1.2. a)–c) behandling av personuppgifter som a)överförs, har överförts, görs eller har gjorts tillgängliga mellan medlemsstaterna, b)överförs, har överförts, görs eller har gjorts tillgängliga av