sou · GZB320 · 2011-03-15 00:00:00 — Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämplighet är begränsad genom att det inte ska dömas till ansvar om förseelsen är ringa. Övergripande rättslig reglering av behandling av personuppgifter Närmare föreskrifter om normgivningsbemyndiganden (50 §) Paragrafen innehåller bestämmelser om möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela närmare föreskrifter om sådant som regleras i lagen. Bakgrunden härtill är att bl.a. genom artikel 5 i dataskyddsdirektivet har ålagts att, inom ramen för direktivet, precisera på vilka villkor behandling av personuppgifter är tillåten. Överklagande (51–53 §§) Paragraferna innehåller bestämmelser som anger hur olika former av beslut enligt lagen överklagas. Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polis- samarbete och straffrättsligt samarbete (dataskyddsrambeslutet) utgör ett komplement till olika instrument om utvidgat polisiärt och rättsligt samarbete inom Europeiska unionen, med inriktning på utökat gränsöverskridande informationsutbyte. I dataskyddsrambeslutet anges att rättsakterna har antagits i enlighet med avdelning VI i fördraget om Europeiska unionen. Genom införandet av fördraget om Europeiska unionens funktionssätt (EUF-fördraget) upphävdes avdelning VI ovan och övervägande delen av bestämmelserna däri ersattes med bestäm- melser i kapitel 1, 4 och 5 i avdelning IV (numera omnumrerad V) i tredje delen i EUF-fördraget. Kapitel 1 ovan (artiklarna 67-76) innehåller allmänna bestämmelser, kapitel 4 ovan (artiklarna 82-86) omfattar bestämmelser om straffrättsligt samarbete i EUF- fördraget och kapitel 5 ovan (artiklarna 87-89) omfattar bestämmelser om polissamarbete i EUF-fördraget (varav artikel 88 omfattar regler om Europol). I skäl 2 i dataskyddsrambeslutets inledande delar framhålls att gemensamma insatser inom det polisiära och straffrättsliga sam- arbetet gör det nödvändigt att behandla information, som det måste finnas regler om skydd av personuppgifter. Gemensamma normer för behandling och skydd av person- uppgifter kan, enligt skäl 3, bidra till ett effektivare samarbete och värna grundläggande rättigheter som rätten till privatliv och rätten till skydd för personuppgifter. I skäl 5 anges att befintliga instrument på europeisk nivå inte är tillräckliga och att och Rådets direktiv 95/46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) inte är tillämpligt på behandling av personuppgifter inom det nu aktuella området. Skäl 6 stadgar att dataskyddsrambeslutet endast är tillämpligt på uppgifter som de behöriga myndigheterna samlar in eller behandlar för att kunna förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Dataskyddsrambeslutet är, enligt skäl 7, tillämpligt på uppgifter som har överförts eller gjorts tillgängliga mellan medlemsstaterna. Av skäl 8 kan utläsas att det är medlemsstaternas avsikt att den standard och nivå på dataskydd som gäller för nationell behandling ska motsvara vad som föreskrivs i dataskyddsrambeslutet. Det anges dock vidare att det inte finns något som hindrar medlems- staterna från att ha ett starkare skydd för behandling av person- uppgifter än vad som föreskrivs i dataskyddsrambeslutet. Härutöver anges i skäl 10 att tillnärmningen av medlems- staternas lagstiftningar inte bör leda till ett svagare skydd för personuppgifter än det som medlemsstaternas nuvarande lag- stiftning ger, utan tvärtom syfta till att garantera en hög skyddsnivå inom hela unionen. Skäl 18 stadgar att reglerna i rambeslutet avseende överföring av personuppgifter från allmänna domstolar, allmänna förvaltnings- domstolar, polisen eller till privata parter, inte tillämpas på utlämnandet av uppgifter till privata parter (såsom försvars- advokater och brottsoffer) i samband med brottmål. I skäl 31 anges att rambeslutet gör att principerna om allmänhetens tillgång till offentliga handlingar kan tillgodoses vid tillämpningen av principerna i detta. 3.2Kortfattat om innehållet i dataskyddsrambeslutets olika artiklar I artikel 1 i dataskyddsrambeslutet anges rambeslutets syfte, vilket är att säkerställa en hög skyddsnivå för fysiska personers fri- och rättigheter när det gäller behandling av personuppgifter inom ramen för polisiärt och straffrättsligt samarbete. Artikeln är tillämplig på uppgifter som har överförts eller gjorts tillgängliga mellan medlemsstaterna eller mellan medlemsstater och myndigheter och informationssystem som har inrättats i enlighet med avdelning VI i fördraget om Europeiska unionen om polissamarbete och straffrättsligt samarbete, t.ex. Europol. Det är endast behandling av personuppgifter som utförs helt eller delvis automatiskt samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register som faller inom tillämpningsområdet. Från tillämpningsområdet undantas också viktiga nationella säkerhetsintressen och särskild underrättelseverksamhet inom området nationell säkerhet. Artikel 2 innehåller definitioner av vissa begrepp. I artikel 3 anges vissa grundläggande principer för person- uppgiftsbehandlingen, bl.a. huvudregeln att uppgifter inte får behandlas för något annat ändamål än det ursprungliga, dvs. det ändamål för vilket de överfördes eller gjordes tillgängliga. Person- uppgifter får dock alltid vidarebehandlas av behöriga myndigheter för historiska, statistiska eller vetenskapliga ändamål under förutsättning att medlemsstaterna föreskriver lämpliga säkerhets- åtgärder, t.ex. avidentifiering av uppgifterna. Däri klargörs vidare att annan vidarebehandling endast är tillåten om det nya ändamålet inte är oförenligt med det ursprungliga och kräver, enligt artikel 11, som huvudregel den registrerades samtycke eller den överförande statens medgivande. Vidarebehandling får dock, under förutsättning att kraven i artikel 3 är uppfyllda, alltid ske för att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes. Vidarebehandling får också ske för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten. I artiklarna 4 och 5 finns bestämmelser om rättelse, radering och blockering av personuppgifter liksom bestämmelser om regel- bunden kontroll av nödvändigheten av lagringen av uppgifterna. Till dessa artiklar är kopplat bestämmelserna i artikel 8 om åtgärder som ska vidtas av överförande myndigheter för att säkerställa att de personuppgifter som överförs är korrekta. Artikel 6 innehåller bestämmelser som reglerar rätten att behandla s.k. känsliga uppgifter, dvs. uppgifter om t.ex. ras eller etniskt ursprung. Sådana uppgifter får endast behandlas när det är absolut nödvändigt och om det i den nationella lagstiftningen tillhandahålls tillräckliga skyddsåtgärder. I artikel 7 stadgas att ett automatiserat beslutsförfarande, som innefattar behandling av uppgifter som omfattas av dataskydds- rambeslutet, är tillåtet endast om det föreskrivs i en lag där det även föreskrivs bestämmelser till skydd för den registrerades legitima intressen. Artikel 10 innehåller bestämmelser om registrering och dokumentation. I artiklarna 9 och 12 finns bestämmelser om begränsningar i rätten att behandla uppgifter. Där framgår att den överförande staten har möjlighet att meddela tidsfrister för gallring av uppgifter och att vissa begränsningar i rätten att utbyta uppgifter mellan myndigheter i den överförande statens nationella rätt ska iakttas av den mottagande staten. I artiklarna 13 och 14 regleras under vilka förutsättningar uppgifter får överföras till tredjeland, internationella organ och privata subjekt i medlemsstaterna. Som huvudregel i artikel 13 anges bl.a. att det förutsätts att – för att sådan överföring ska ske – det finns en adekvat skyddsnivå för behandlingen av uppgifter hos mottagaren och att den medlemsstat från vilken uppgifterna härrör ha gett sitt samtycke till överföringen. Artiklarna 16-20 reglerar den registrerades rättigheter i olika avseenden, bl.a. rätt till information, rättelse, skadestånd och tillgång till rättsmedel. Artikel 24 innehåller bestämmelser där det anges att medlems- staterna för att säkerställa genomförandet av dataskyddsram- beslutet ska föreskriva effektiva, proportionella och avskräckande sanktioner mot den som bryter mot bestämmelser som har antagits med anledning av rambeslutet. I artiklarna 21 och 22 finns bestämmelser om viss tystnadsplikt samt krav på säkerhet i samband med behandlingen av uppgifter. Artikel 25 stadgar att varje medlemsstat ska utse en eller flera nationella tillsynsmyndigheter som ska ansvara för rådgivning och kontroll av behandlingen av uppgifter som omfattas av beslutet. Artikel 26 behandlar förhållandet mellan dataskyddsrambeslutet och andra överenskommelser med tredjeland och artikel 28 reglerar förhållandet mellan rambeslutet och befintliga rättsakter. Artiklarna 27 och 29 innehåller bestämmelser om utvärdering och genomförande av dataskyddsrambeslutet. I samband med genomgången av olika frågeställningar i kap. 7– 15 finns innehållet i aktuella artiklar redovisade i detalj. Dataskyddsrambeslutet finns att läsa i sin helhet i bilaga 3. 3.3Godkännande av dataskyddsrambeslutet i har genom beslut av (bet. 2008/09:JuU7, rskr. 2008/09:41) godkänt utkastet till dataskyddsrambeslut. Som grund för beslutet har regeringens proposition om Godkännande av data- skyddsrambeslutet (2008/09:16) legat. I propositionen görs en preliminär bedömning av vilka lag- ändringar som kan bli nödvändiga med anledning av dataskydds- rambeslutet. Propositionen innehåller inga lagförslag. Regeringen gör i propositionen bedömningen att det inte krävs någon omfattande lagstiftning för att genomföra dataskyddsrambeslutet, men har identifierat ett antal områden där det finns skäl att analysera behovet av lagändringar närmare (se vidare kap. 7). 4Behandling av personuppgifter i brottsbekämpande verksamhet m.m. 4.1Svenska myndigheter som påverkas av dataskyddsrambeslutet I kommittédirektivet Genomförande av dataskyddsrambeslutet (dir 2010:17 s. 1) anges bl.a. följande. Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polis- samarbete och straffrättsligt samarbete (dataskyddsrambeslutet) omfattar som framgår behandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete. Härmed avses uppgifter som de behöriga myndigheterna samlar in eller behandlar för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Polisiärt eller rättsligt samarbete i annat syfte faller utanför tillämpningsområdet. Mot bakgrund härav är det av vikt att klargöra vilka svenska myndigheter som dataskyddsrambeslutets bestämmelser kommer att påverka. Vid en genomgång av svensk rätt har vi funnit att dataskydds- rambeslutets regelverk har påverkan på följande myndigheter med hel eller delvis brottsbekämpande verksamhet. Behandling av personuppgifter i brottsbekämpande verksamhet Vidare finns andra myndigheter i rättskedjan som påverkas av data- skyddsrambeslutets regler som Allmänna domstolar och allmänna förvaltningsdomstolar I vårt arbete med en jämförelse mellan dataskyddsrambeslutets regler och gällande svensk rätt är således regelverken för behand- lingen av personuppgifter inom ovan nämnda myndigheter aktuella. Enligt 23 § förordningen (2003:1179) om överlämnande från enligt en europeisk arresteringsorder är, förutom Kriminal- vården när fängelse ska verkställas eller kan antas komma att verkställas, även – när rättspsykiatrisk vård ska verkställas samt – när sluten ungdoms- vård ska verkställas m.m., aktuella myndigheter. Mot bakgrund härav finns skäl att ställa sig frågan om även de två sistnämnda myndigheterna omfattas av dataskyddsrambeslutets bestämmelser. Eftersom dessa myndigheter emellertid erhåller här aktuella uppgifter via polisen, finns enligt vår mening inte skäl att närmare utreda hur de sistnämnda myndigheternas författningar påverkas av dataskyddsrambeslutet. Nedan följer därför en redogörelse för vilka författningar som reglerar behandling av personuppgifter i myndigheter med brotts- bekämpande verksamhet, dvs. , polisen, Skatte- verket, och åklagarväsendet, samt de författningar som reglerar behandling av personuppgifter i Kriminalvården, samt allmänna domstolar och allmänna förvaltningsdomstolar. Vi har i arbetet nedan utgått från gällande svenska författningar, med undantag från vad som gäller regleringen av polisens behandling av personuppgifter. I sistnämnda del har vi i vårt arbete i stället utgått från polisdatalagen (2010:361), som – med vissa undantag – träder i kraft , då polisdatalagen (1998:622) upphör att gälla. Vi är fullt medvetna om att det även pågår arbeten med att utforma nya eller justerade registerförfattningar inom flertalet av de övriga aktuella områdena ovan. Vissa författningsförslag har likheter med utformningen av bestämmelser i polisdatalagen (2010:361). Behandling av personuppgifter i brottsbekämpande verksamhet till ny lagstiftning inte – förutom vad gäller polisens arbete – har beslutats inom något av dessa områden, har vi inte i vårt arbete med att jämföra dataskyddsrambeslutet med svensk rätt ansett det som möjligt eller lämpligt att utgå från något av de nämnda författningsförslagen utan i stället utgått från gällande svensk rätt. I vår redogörelse för de gällande svenska bestämmelserna som reglerar behandling av personuppgifter vid brottsbekämpande myndigheter m.m. har vi alltså inte – förutom vad gäller polis- datalagen – ansett oss kunna ta hänsyn till det lagstiftningsarbete m.m. som pågår inom respektive område. I slutet av varje avsnitt nedan har dock redogjorts något för det förändringsarbete som pågår. 4.2Behandling av personuppgifter vid brottsbekämpande myndigheter har bl.a. till uppgift att bedriva sjöövervakning, vilket innebär att ansvara för eller bistå andra myndigheter med allmän övervakning, brottsbekämpande verksamhet, ordnings- hållning samt kontroll och tillsyn. är en av landets gränskontrollmyndigheter och har getts samlat ansvar för gränskontrollen till sjöss avseende både personer och varor. De uppgifter som ålagts framgår av förordningen (2007:853) med instruktion för . Kustbevakning- en bedriver ovan nämnda tillsyns- och kontrollverksamhet i fråga om bl.a. -sjötrafik, sjösäkerhet och transport av farligt gods, -personers inresa i, utresa från och vistelse i , -in- och utförsel av varor, -fiske och därtill anknuten verksamhet. har också till uppgift att samordna de civila behoven av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter. Härutöver ska medverka i internationellt samarbete för att utveckla gränskontroll, brotts- bekämpning till sjöss, annan sjöövervakning och miljöräddnings- Behandling av personuppgifter i brottsbekämpande verksamhet ska vidare samverka med andra myndigheter för att främja svenskt deltagande i internationellt samarbete inom sitt verksamhetsområde. Med stöd av lagen (1982:395) om medverkan vid polisiär övervakning har kustbevakningstjänstemän – inom vissa i lagen angivna rättsområden – samma befogenheter som en polisman har att hålla förhör, ta med en person till förhör, gripa en person och att genomföra viss husrannsakan. Förundersökningsrätt tillkommer vid olagliga utsläpp av olja och andra skadliga ämnen från fartyg samt vid ratt- och sjöfylleri. Kust- bevakningen har även rätt att utfärda föreläggande av ordningsbot för brott mot 5 kap. 1 § sjötrafikförordningen (1986:300) och brott mot 16 § tredje stycket lagen (2006:263) om transport av farligt gods. En särskild inriktning inom den polisiära verksamheten är gränskontrollen avseende personers rätt till in- och utresa samt vistelse i . medverkar i personkontrollen genom att utöva kontroll av och i anslutning till sjötrafiken. ska vid yttre gräns medverka i kontrollverksamhet genom att utöva tullkontroll av sjötrafiken. ska vidare på begäran bistå , om det behövs för att ska kunna vidta en avsedd tullkontroll- åtgärd. medverkar dessutom efter begäran i kontrollverksamheten vid inre gräns (ej bara kontroller av sjötrafiken). Kustbevakningstjänstemännen har i dessa situationer samma befogenheter som en tulltjänsteman att hålla förhör, gripa en person och att ta egendom i beslag. Kontrollverksamheten är främst inriktad mot narkotikasmuggling och storskalig smuggling av alkohol och tobak. Lagstöd finns bl.a. i tullagen (2000:1281) och lagen (2000:1225) om straff för smuggling. Regler om behandling av personuppgifter behandling av personuppgifter regleras av personuppgiftslagen (1998:204) och förordningen (2003:188) om behandling av personuppgifter inom . Till skillnad från motsvarande författning för (se avsnitt 4.2.4), som gäller i stället för personuppgiftslagen, gäller denna förordning utöver personuppgiftslagen (1 §). Förordningen är dock uppbyggd på ungefär samma sätt som författning. Behandling av personuppgifter i brottsbekämpande verksamhet bevakningen är personuppgiftsansvarig för behandlingen (8 §). Nedan redovisas huvuddelen av de bestämmelser som är gällande i brottsbekämpande verksamhet. I förordningen finns dels allmänna regler om behandling av personuppgifter i brottsbekämpande arbete, dels bestämmelser om ett särskilt register för den verksamhet som förordningen omfattar – kustbevakningsdatabasen. I den brotts- bekämpande verksamheten får personuppgifter behandlas om det är nödvändigt för att förhindra eller upptäcka brottslig verksamhet som innefattar brott mot vilka har att ingripa, eller för att utreda sådana brott (4 §). Känsliga personuppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), får inte behandlas enbart på grund av vad som är känt om en person i dessa avseenden. Om uppgifter om en person behandlas på annan grund får de dock kompletteras med känsliga personuppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen (9 §). Förordningen skiljer på uppgifter som används gemensamt i verksamheten (kustbevakningsdatabasen) och uppgifter som endast enskilda eller begränsade grupper av tjänstemän har tillgång till (11 §). För behandlingen av uppgifter i kustbevaknings- databasen finns särskilda regler när det gäller de personer om vilka uppgifter får behandlas, vilka uppgifter som får förekomma och sökbegränsningar. I förordningen finns också bl.a. bestämmelser om sökning och gallring. Personuppgiftslagens bestämmelser om rättelse och skadestånd tillämpas på behandling enligt förordningen (23 §). Personuppgifter får också behandlas i den kontroll- och tillsyns- verksamhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten. Personuppgifter får vidare behandlas vid Kust- bevakningens handläggning av ärenden om vattenföroreningsavgift. Slutligen får även behandla personuppgifter om det är nödvändigt för att planera, följa upp eller utvärdera nu nämnda verksamheter. Behandling av personuppgifter i brottsbekämpande verksamhet Som en följd av den översyn av myndighetens arbete i den brottsbekämpande och ordningshållande verksamheten som Utredningen om befogenheter har gjort – vilket i sin tur har lett fram till betänkandet rättsliga befogenheter (SOU 2008:55) – pågår ett förnyelsearbete inom detta område i . Betänkandet har remiss- behandlats och bereds inom försvarsdepartementet. pågår också ett arbete inom med att se över ovan nämnda bestämmelser om behandling av personuppgifter, där utgångspunkten för arbetet är det betänkande som har lämnats av Utredningen om Kust- bevakningens personuppgiftsbehandling (SOU 2006:18) samt polisdatalagen (2010:361). Betänkande har remissbehandlats och inom försvarsdepartementet pågår nu arbete att ta fram en lagråds- remiss som behandlar ny lagstiftning inom detta område. I betänkandet föreslog utredningen att en ny lag – lagen om behandling av uppgifter i verksamhet – skulle ersätta den nu gällande förordningen. Denna lag skulle, enligt utredningen, gälla i stället för personuppgiftslagen. Förslaget innehåller bl.a. särskilda bestämmelser om behandling av uppgifter i den brottsbekämpande verksamheten med specifika regler om t.ex. behandling av uppgifter för att förhindra eller upptäcka brottslig verksamhet, behandling av uppgifter för att utreda eller beivra visst brott, regler om särskilda upplysningar samt regler om uppgifter om handlingar som får göras gemensamt tillgängliga i den brotts- bekämpande verksamheten. Dessutom innehåller förslaget regler om sökbegrepp, direktåtkomst, uppgiftsskyldighet och gallring. Regler om behandling av personuppgifter Polisdatalagen (2010:361) träder i kraft . Denna lag gäller vid behandling av personuppgifter i polisens brotts- bekämpande verksamhet vid , polismyndigheter- na och . Den personuppgiftsbehandling som sker med stöd av de särskilda lagarna om belastningsregister (1998:620), misstanke- register (1998:621), Schengens informationssysten (2000:344), Behandling av personuppgifter i brottsbekämpande verksamhet samt polisens allmänna spaningsregister (2010:362) omfattas inte av polisdatalagen. Lagen ska inte heller gälla den personuppgifts- behandling som sker med stöd av förordningen (1997:903) om register över förelägganden av ordningsbot. Detsamma gäller personuppgiftsbehandling i polisens vapen- register enligt vapenlagen (1996:67), samt i passagerarregistret enligt lagen (2006:444) om passagerarregister. Lagen innehåller vissa bestämmelser om behandling av uppgifter om juridiska personer (1 kap. 3 §). Lagen gäller vidare i stället för personuppgiftslagen (2 kap. 1 §). I lagen hänvisas till de bestämmelser i personuppgiftslagen som ska gälla vid behandling av personuppgifter i polisens brotts- bekämpande verksamhet (2 kap. 2 §). I lagen anges för vilka ändamål behandling av personuppgifter får förekomma. Ändamålen delas in i primära och sekundära ändamål. De primära ändamålen avser behandling av person- uppgifter för att tillgodose de behov som finns inom polisens brottsbekämpande verksamhet. Dessa ändamål är uttömmande angivna i lagen (2 kap. 7 §). Personuppgifter får behandlas om det behövs för att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller beivra brott, eller 3. fullgöra förpliktelser som följer av internationella åtaganden. De sekundära ändamålen (2 kap. 8 §) avser behandling för olika typer av utlämnande av personuppgifter. I fråga om behandling av personuppgifter för andra sekundära ändamål än de i lagen angivna tillämpas den s.k. finalitetsprincipen i 9 § d personuppgiftslagen. Personuppgifter får vidare enligt 2 kap. 9 § behandlas om 1. det är nödvändigt för diarieföring, eller 2. uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. I 2 kap. 10 § i lagen regleras bestämmelser om behandling av känsliga uppgifter. Enligt denna paragraf får uppgifter om en person inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter som avses ovan när det är Behandling av personuppgifter i brottsbekämpande verksamhet absolut nödvändigt för syftet med behandlingen. Lagen innehåller även bestämmelser om bevarande och gallring (2 kap. 12 §).