sou · GZB320 · 2011-03-15 00:00:00 — medlemsstaterna till myndigheter eller informationssystem som 1 Bestämmelserna i avdelning VI i det i artikeln nämnda om polissamarbete och straffrättsligt samarbete har – genom Lissabonfördraget av om ändring av fördraget om Europeiska unionen och fördraget om upprättandet av Europeiska gemenskapen – ersatts med bestämmelserna i kapitlen 1, 4 och 5 i avdelning IV (omnumrerad V) i tredje delen i Fördraget om EU:s funktionssätt (EUF-fördraget). inrättats i enlighet med avdelning VI i fördraget om Europeiska unionen, eller c) överförs, har överförts, görs eller har gjorts tillgängliga för medlemsstaternas behöriga myndigheter av myndigheter eller informationssystem som inrättats i enlighet med fördraget om Europeiska unionen eller fördraget om upprättande av Europeiska gemenskapen. Under b) och c) ovan anges således att personuppgifter har gjorts tillgängliga av eller för myndighet eller informationssystem som inrättats i enlighet med fördraget om Europeiska unionen. Detta kan utgöra information till och från t.ex. Europol, Eurojust eller det EU-gemensamma informationssystemet för visering, VIS, (se vidare kap. 5 ovan). Överföring m.m. av personuppgifter till och från EU- myndigheter, EU-organ eller EU-gemensamma informations- system omfattas således av dataskyddsrambeslutets bestämmelser. Utgångspunkten i vårt arbete med anpassningen av svensk rätt till dataskyddsrambeslutets bestämmelser är dock att person- uppgifter överförs m.m. från andra medlemsstater. I detta sammanhang kan övervägas om det i våra förslag till ny svensk författning (se vidare kap. 12 nedan) krävs ett uttryckligt tydliggörande att den aktuella överföringen m.m. av person- uppgifter även ska omfatta myndighet eller informationssystem som har inrättats i enlighet med fördraget om Europeiska unionen. Då personuppgifter – som lämnas från en , ett EU-organ eller ett informationssystem inom EU – ursprungligen härstammar från de olika medlemsstaterna, finner vi emellertid att det inte är nödvändigt med ett sådant förtydligande. Angående vårt ställningstagande i denna del i vår föreslagna nya lag, se vidare kap. 12.5, 12.8 och 12.9 nedan. 8.2.6Behandling av personuppgifter som utförs helt eller delvis automatiserat och som ingår i eller är avsedda att ingå i register Dataskyddsrambeslutets tillämpningsområde omfattar enligt artikel 1 punkten 3 dels behandling av personuppgifter som utförs helt eller delvis automatiserat, dels annan behandling av personuppgifter som ingår i eller kommer att ingå i register. Tillämpningsområdet motsvarar i denna del och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet har i sin tur – genom införandet av personuppgiftslagen – varit utgångspunkten för utformningen av särlagstiftning angående behandling av personuppgifter vad gäller utarbetade förslag till författningar om personuppgiftsbehandling inom , , , polisen, , allmänna domstolar, allmänna förvaltnings- domstolar, och åklagarväsendet samt har samma grund- läggande tillämpningsområde som personuppgiftslagen (1998:204). Mot bakgrund härav är således tillämpningsområdet inom svensk lagstiftning såvitt nu är ifråga i grunden detsamma som det som anges i dataskyddsrambeslutet. Dessutom omfattas också sådan verksamhet som anges i artikel 1 punkten 2 ovan. Att dataskydds- rambeslutet är tillämpligt på uppgifter som är avsedda att ingå i ett register innebär att det inte bara är tillämpligt på uppgifter som har överförts elektroniskt, utan även på uppgifter mottagna i hand- lingar om uppgifterna ska registreras (jfr prop. 2008/09:16 s. 31). Även särskilda författningar om enskilda register, exempelvis författningarna om belastningsregister, misstankeregister, strafförelägganderegister och ordningsbotsregister, reglerar behandlingen i register och faller därmed automatiskt under dataskyddsrambeslutets tillämpningsområde i de fall registren i fråga har brottsbekämpning, lagföring eller straffverkställighet som ändamål. Andra register som inte har detta ändamål faller således utanför tillämpningsområdet, exempelvis polisens passregister. Även , , allmänna domstolar, allmänna förvaltningsdomstolar och för register som ligger utanför tillämpningsområdet. Vi finner inte skäl att med anledning av dataskyddsrambeslutets tillämpningsområde föreslå någon ändring i lag eller förordning avseende denna punkt i artikeln. 8.3Verksamhet som undantas från dataskyddsrambeslutets tillämpningsområde Vår bedömning: Den absoluta merparten av Säkerhetspolisens verksamhet omfattar frågor som rör nationell säkerhet. Endast vad gäller vissa mindre delar av verksamheten kan en annan bedömning göras. Vi finner i detta sammanhang det varken möjligt eller lämpligt att exakt ange vilka delar av Säkerhetspolisens verksamhet som inte skulle komma att omfattas av frågor som rör nationell säkerhet. Detta medför, enligt vår mening, att Säkerhetspolisens verksamhet i sin helhet bör anses omfattas av begreppet nationell säkerhet i den mening som avses i dataskyddsram- beslutet och – som en följd härav – undantas från dataskydds- rambeslutets tillämpningsområde (jfr avsnitt 12.3.5 nedan). Annan verksamhet än Säkerhetspolisens ska inte, med beaktande av artikel 1 punkten 5 i dataskyddsrambeslutet, undantas från tillämpningsområdet. 8.3.1 Frågor rörande nationell säkerhet Artikel 1 punkten 4 i dataskyddsrambeslutet har följande lydelse. Detta rambeslut påverkar inte viktiga nationella säkerhetsintressen och särskild underrättelseverksamhet inom området nationell säkerhet. Den engelska versionen har i sin tur följande lydelse. This Framework Decision is without prejudice to essential national security interests and specific intelligence activities in the field of national security. Det nämnda undantaget omfattar således verksamhet som avser frågor rörande nationell säkerhet. Skäl föreligger därmed att dels undersöka vad som menas med nationell säkerhet i detta sammanhang, dels utreda hos vilka myndigheter sådan verksamhet kan förekomma. När begreppet nationell säkerhet ska definieras i detta sammanhang är en inledande frågeställning om detta begrepp är detsamma eller om det skiljer sig från det i svensk rätt förekommande begreppet rikets säkerhet. I personuppgiftslagen respektive dataskyddsdirektivet, före- kommer begreppen rikets respektive statens säkerhet. Enligt 8 a § personuppgiftslagen får regeringen meddela före- skrifter om undantag från 9, 23–26 och 28 §§ samt 29 § andra stycket och 42 §, om det är nödvändigt med hänsyn till bl.a. a) rikets säkerhet. Regeringen är således bemyndigad att, med hänsyn till vissa angivna intressen – däribland rikets säkerhet – meddela föreskrifter om undantag från en rad bestämmelser i personuppgiftslagen. Paragrafen är avsedd att ha samma innebörd som artikel 13.1 i dataskyddsdirektivet, av vilken framgår bl.a. följande. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till a) statens säkerhet. I den engelska versionen av direktivet har motsvarande begrepp lydelsen national security. Begreppet statens säkerhet i direktivet har bytts ut mot rikets säkerhet i personuppgiftslagen utan att någon saklig skillnad är avsedd (/: Personuppgiftslagen, en kommentar, 3 uppl., s. 155). Av förklaring till dataskyddsdirektivet framgår att begreppet är avsett att omfatta skydd av den nationella suveräniteten mot såväl interna som externa hot (jfr SOU 1993:10, En ny datalag, bil. s. 184). Det i dataskyddsrambeslutet aktuella begreppet nationell säkerhet (national security) är, enligt vår mening, inte avsett att utgöra någon saklig skillnad jämfört med begreppen statens respektive rikets säkerhet (national security) i dataskyddsdirektivet respektive personuppgiftslagen. Allmänt om Säkerhetspolisens verksamhet 2008/09:16 s. 32 framgår att, så som undantaget är utformat, Säkerhetspolisens verksamhet i allt väsentligt faller utanför dataskyddsrambeslutets tillämpningsområde men att i det kommande lagstiftningsarbetet måste tydliggöras för vilka delar av Säkerhetspolisens personuppgiftsbehandling som detta är fallet. Skäl föreligger därför att inledningsvis närmare undersöka vilken typ av verksamhet som Säkerhetspolisen bedriver. Säkerhetspolisen har enligt 2 § förordningen (2002:1050) med instruktion för Säkerhetspolisen till uppgift att inom Rikspolis- styrelsen leda och bedriva polisverksamhet för att förebygga och avslöja brott mot rikets säkerhet (jfr förordningen med instruktion för 4, 6 och 14 §§). Säkerhetspolisens verksamhet delas in i fem huvudområden. Kontraspionageverksamheten – som har till uppgift att förebygga och avslöja spioneri, olaglig underrättelseverksamhet och andra brott mot rikets säkerhet. Kontraterrorismverksamheten – som har till uppgift att förebygga och avslöja terrorism som riktas mot eller utländska intressen här i landet, terroristhandlingar i andra länder samt förekomsten av internationella terroristnätverks förgreningar i . Personskyddsverksamheten – som utgör bevaknings- och säkerhetsarbete av bl.a. den centrala statsledningen. Den författningsskyddande verksamheten – som syftar till att förebygga och avslöja brott mot rikets inre säkerhet, dvs. olaglig verksamhet som syftar till att med våld, hot eller tvång ändra vårt statsskick, förmå beslutande politiska organ eller myndigheter att fatta beslut i en viss riktning eller att hindra enskilda medborgare från att utöva sina grundlagsfästa fri- och rättigheter. Säkerhetsskyddsverksamheten – som arbetar för att höja säkerhetsnivån i samhället och där Säkerhetspolisen ger råd till och kontrollerar myndigheters och företags verksamhet i syfte att skydda mot spioneri, sabotage och andra brott som kan röra rikets säkerhet, att skydda hanteringen av uppgifter som har betydelse för rikets säkerhet och att förebygga terrorism. I arbetet ingår att genomföra registerkontroll av personer efter framställan från berörda myndigheter eller i vissa fall annan stat eller mellanfolklig organisation. Frågan om viktiga nationella säkerhetsintressen I den aktuella artikeln anges ordagrant undantag från tillämpnings- området för viktiga nationella säkerhetsintressen. En bedömning får göras hur denna formulering ska tolkas i samman- hanget. Ledning kan här fås från regeringens uttalande i prop. 2008/09:16 s. 62–63. Enligt mening ger formuleringen av undantaget för viktiga nationella säkerhetsintressen och särskild underrättelse- verksamhet inom området nationell säkerhet upphov till frågor då den kan tolkas som att det finns områden som berör nationell säkerhet som faller inom tillämpningsområdet. Säkerhetspolisen har också pekat på att viss del av myndighetens verksamhet inte kan sägas röra nationell säkerhet och därmed kan komma att omfattas av regelverket i rambeslutet. Såväl Säkerhetspolisen som har understrukit vikten av att det i det kommande lagstiftningsarbetet klargörs i vilka avseenden respektive myndighet omfattas av rambeslutet. När det gäller undantaget för viktiga nationella säkerhetsintressen kan regeringen dela Säkerhetspolisens synpunkt att rambeslutet ger utrymme för tolkning när det gäller vad som ska anses vara ett viktigt nationellt intresse och vad som inte når upp till den graden. Enligt regeringens mening torde – med hänsyn till hur arbetet är fördelat mellan Säkerhetspolisen och den öppna polisen i - den slutsatsen dock kunna dras att all verksamhet som Säkerhetspolisen bedriver som rör nationell säkerhet faller utanför rambeslutets tillämpningsområde. Vi gör i denna del motsvarande bedömning som i nämnda förarbeten, dvs. att all Säkerhetspolisens verksamhet som avser nationell säkerhet är undantagen från dataskyddsrambeslutets tillämpningsområde. I den del Säkerhetspolisens verksamhet inte rör nationell säkerhet – och då övriga förutsättningar enligt avsnitt 8.2 är upp- fyllda – omfattas verksamheten av dataskyddsrambeslutets tillämpningsområde. Verksamhet som rör rikets/nationell säkerhet vid I och med att övervägande delar av Säkerhetspolisens verksamhet omfattar frågor som tar direkt sikte på rikets/nationell säkerhet faller således stora delar av den verksamhet som Säkerhetspolisen bedriver utanför dataskyddsrambeslutets tillämpningsområde. Frågan vad som utgör ett hot mot rikets säkerhet är alltså av avgörande betydelse. Det finns ingen legaldefinition av vad som utgör ett brott mot rikets säkerhet. I kap. 18 och 19 finns de straff- bestämmelser som har som primärt syfte att utgöra ett skydd för rikes säkerhet. Detta kan konkret handla om brott riktade direkt mot statsskicket eller den fria åsiktsbildningen. Exempel på detta är spioneri, högförräderi och brott mot medborgerlig frihet. På en mer konkret nivå kan i sammanhanget ytterligare ledning fås från föreskrift angående polismyndigheter- nas skyldighet att underrätta Säkerhetspolisen om vissa brotts- misstankar m.m. (RPSFS 1999:10 FAP 403-3). Skyldigheten att underrätta Säkerhetspolisen gäller brott i kap. 18 och 19 i brotts- balken. Härutöver anges i föreskriften att Säkerhetspolisen, efter särskilt beslut av myndigheten, alltid ska handha brott mot en rad bestämmelser i 13 kap. . Exempel härpå är brotten sabotage, mordbrand och företagsspioneri, allt under förutsättning att dessa brott har framkallat fara för landets säkerhet, begåtts i politiskt syfte eller om det annars finns särskilda skäl för detta. I promemoria DS 2008:38; Nationell mobilisering mot den grova organiserade brottsligheten – över- väganden och förslag, s. 33, har generaldirektören för Säkerhets- polisen i avsnittet Säkerhetspolisens roll och personsäkerhetsarbetet, framhållit att föreskrift ger vid handen att Säkerhetspolisens ansvarsområde inte begränsas av specifika brottsrubriceringar och att det är Säkerhetspolisen som ytterst har ansvar för att avgöra om ett brott utgör ett hot mot rikets säkerhet. I nämnda promemoria, Ds 2008:38 s. 34 har vidare, vid tolk- ningen av begreppet, hänvisats till lagförarbetena i propositionen 2005/06:177 s.15; Åtgärder att förhindra vissa särskilt allvarliga brott, varav framgår följande. Inom författningsskyddsverksamheten bedrivs arbete med att avslöja brott mot rikets inre säkerhet, dvs. olaglig verksamhet som syftar till att med våld, hot eller tvång ändra vårt statsskick, förmå beslutande politiska organ eller myndigheter att fatta ett beslut i viss riktning eller att hindra den enskilda medborgaren från att utöva sina grundlagsfästa fri- och rättigheter. I promemorian Ds 2008:38 s. 34 har härefter anförts följande. Ett brott mot rikets säkerhet är således olaglig verksamhet som antingen syftar till att omkullkasta det demokratiska statsskicket eller till att påverka den politiska processen på ett otillåtet sätt. För att sådan verksamhet ska anses utgöra ett hot mot rikets säkerhet bör aktören ha kapacitet och avsikt att hota en samhällsfunktion. Aktörer som endast begår denna typ av brott mot enstaka individer anses i allmänhet inte utgöra ett hot mot rikets säkerhet. I samma promemoria, s. 34, har vidare framhållits att, vid bedöm- ningen, ledning även kan fås genom vad som skrivs i regeringens regleringsbrev till Säkerhetspolisen. I denna del anförs följande. Utifrån Säkerhetspolisens övergripande uppdrag och nuvarande regleringsbrev har det alltså ingen betydelse om en aktör utövar otillåten påverkan mot viktiga samhällsfunktioner i ett politiskt, ekonomiskt eller, för den delen, något annat syfte. Det som är avgörande är om aktören utövar otillåten påverkan på det demokra- tiska statsskicket och har kapacitet att hota en viktig samhällsfunktion. 2008/09:16 s. 63 torde viss verksamhet som Säkerhetspolisen bedriver falla utanför begreppet nationell säkerhet och därför omfattas av rambeslutet. När det gäller samtliga berörda myndigheter får det i det fortsatta lagstiftningsärendet närmare utredas hur tillämpningsområdet för de författningsbestämmelser som föranleds av rambeslutet bör avgränsas. regleras personuppgiftsbehandlingen vid Säkerhets- polisen på i huvudsak samma sätt som för polisen i övrigt. I 5 kap. 1 § polisdatalagen (2010:361) finns särskilda bestämmel- ser om Säkerhetspolisens brottsbekämpande verksamhet. Nämnda paragraf har följande lydelse. Behandling av personuppgifter i Säkerhetspolisens brottsbekämp- ande verksamhet 1 § Personuppgifter får behandlas i Säkerhetspolisens brottsbekämp- ande verksamhet om det behövs för att 1. förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar a)brott mot rikets säkerhet, b)terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott, c)brott enligt 3 § lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, eller d)tryckfrihetsbrott och yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv, 2. utreda eller beivra sådana brott som avses i 1, eller, efter särskilt beslut, annat brott, 3.fullgöra uppgifter i samband med personskydd, 4.fullgöra uppgifter enligt säkerhetsskyddslagen (1996:627), 5.fullgöra förpliktelser som följer av internationella åtaganden, 6.lämna tekniskt biträde till , polismyndigheter, , eller . Enligt vår mening får övervägande delar av de ändamål som anges i paragrafen för Säkerhetspolisens personuppgiftsbehandling inrym- mas under begreppet nationell säkerhet, trots att begreppet rikets säkerhet uttryckligen anges endast under punkten 1. a). I vissa fall är det dock osäkert om verksamheten kan anses falla in under begreppet nationell säkerhet, framförallt vad gäller det som anges under punkten 6 ovan angående tekniskt biträde. En central och allmän utgångspunkt vid bedömningen om verksamheten utgör en påverkan av den nationella säkerheten eller inte är huruvida det i en viss situation finns en otillåten påverkan på det demokratiska statsskicket eller en kapacitet att hota en viktig samhällsfunktion. Enligt vår mening är det endast en mindre del av Säkerhets- polisens verksamhet som inte kan komma att röra nationell säkerhet. Exempel på verksamhet som inte rör nationell säkerhet är, enligt prop. 2008/09:16 s. 32, t.ex. när Säkerhetspolisen biträder den öppna polisen eller med hanteringen av hemliga tvångsmedel i deras verksamhet. Sådant biträde innebär dock endast att Säkerhetspolisen tillhandahåller vissa tekniska system. Då verksamheten därmed är av rent teknisk karaktär och inte medför något utbyte av person- uppgifter med andra stater för Säkerhetspolisens del, berörs nämnda verksamhet således inte av dataskyddsrambeslutets tillämpningsområde. Personskydd för den centrala statsledningen får räknas som en form av skydd för nationell säkerhet. personskyddsverksamhet omfattande andra kategorier av personer är detta mer tveksamt och skulle i vissa fall kunna anses utgöra verksamhet som inte rör nationell säkerhet. Vidare torde vissa delar av den verksamhet inom myndigheten som rör t.ex. arbetet mot grov organiserad brottslighet kunna komma att omfattas av rambeslutets tillämpningsområde. Då vi genom tilläggsdirektiv (dir. 2010:112) ska utreda utbyte av person- uppgifter för att motverka grov organiserad brottslighet kan det finnas anledning att på nytt se över denna fråga i det kommande arbetet. Med beaktande av det ovan anförda anser vi sammanfattningsvis att den absoluta merparten av Säkerhetspolisens verksamhet omfattar frågor som rör nationell säkerhet. Att dra en exakt gräns för vilka delar av Säkerhetspolisens verksamhet som inte ska anses utgöra nationell säkerhet i data- skyddsbeslutets mening finner vi i detta sammanhang varken möjligt eller lämpligt. Enligt vår bedömning är den enda rimliga slutsatsen att Säkerhetspolisens verksamhet i sin helhet ska anses omfattas av begreppet nationell säkerhet i den mening som avses i dataskydds- rambeslutet och därmed – som en följd härav – ska anses falla utanför dataskyddsrambeslutets tillämpningsområde (jfr avsnitt 12.3.5 nedan). Verksamhet som rör nationell säkerhet vid övriga myndigheter En del polisiära arbetsmetoder som innefattar insamling, bearbetning och hantering av information i register och databaser har påpekats kunna ha ett behov av att undantas från det aktuella regelverket. Ifrågavarande arbetsmetoder är bl.a. insamling av källinforma- tion och källor, information insamlad av och om informatörer samt uppgifter insamlade av och om s.k. undercover-operatörer. Sådan information utbyts mellan brottsbekämpande myndigheter inom EU. Vidare finns det vissa polisiära uppgifter som innebär informationshantering i register och databaser där det kan finnas behov av undantag. Exempel på detta är Finanspolisens uppgift inom området penningtvätt och finansiering av terrorism. uppgifter innebär insamling, bearbetning och utbyte av information inom EU. Den verksamhet och de arbetsmetoder som anförts ovan bedrivs i stor omfattning genom polisens kriminalunderrättelsetjänst (KUT), spaningsverksamhet, det internationella samarbetet eller genom den s.k. aktionsgruppsverksamheten (vanligtvis efter beslut av det myndighetsgemensamma Operativa Rådet). Ett annat synsätt på problematiken kring begreppet nationell säkerhet är att utgå från att viss brottslig verksamhet i sig är så samhällshotande att det finns skäl att i dessa fall tala om brott mot nationell/rikets säkerhet, oavsett vilken myndighet som handhar utredningen av frågan. Det kan här t.ex. vara fråga om hot och våld mot rättsväsendets företrädare i avsikt att påverka utgången i ett visst mål och i förlängningen vår demokratiska rättsordning. har det t.ex. blivit allt mer förekommande att Säkerhetspolisen och den öppna polisen utreder brott tillsammans. Det kan därför framföras argument för att även andra myndigheter än Säkerhetspolisen ska kunna undantas från dataskyddsram- beslutets tillämpningsområde. Eftersom en medlemsstat – med beaktande av artikel 1 punkten 5 i dataskyddsrambeslutet och skäl 8 i rambeslutets inledande delar – har möjlighet att ha ett starkare nationellt skydd än vad som framgår av dataskyddsrambeslutet, finner vi emellertid, även med beaktande av vad som anförts ovan, inte skäl att föreslå att andra myndigheter än Säkerhetspolisen ska omfattas av undantaget i artikel 1 punkten 4 dataskyddsrambeslutet. Uppgifter som en medlemsstat har fått från en annan medlemsstat, men som har sitt ursprung i den första staten, omfattas inte av dataskyddsrambeslutets tillämpningsområde (jfr skäl 9 i data- skyddsrambeslutets inledande delar). Undantaget ska ses mot bakgrund av att överföring av uppgifter formellt inte påverkar den nationella lagstiftningen. Personuppgiftsbehandling av administrativ natur, t.ex. avseende den egna personalen, faller också utanför dataskyddsrambeslutets tillämpningsområde. Utredningens bedömning: Artikel 2 i dataskyddsrambeslutet – definitioner – föranleder inte någon ändring i lag eller förordning. Vid en genomgång av Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (data- skyddsrambeslutet) föreligger skäl att närmare undersöka om definitionerna i svensk rätt överensstämmer med definitionerna i dataskyddsrambeslutet (jfr propositionen Godkännande av dataskyddsrambeslutet, prop. 2008/09:16 s. 33). Nedan följer därför en jämförelse mellan definitionerna dels i dataskyddsrambeslutet, dels i och Rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), samt dels i personuppgiftslagen (1998:204). I artikel 2 i dataskyddsrambeslutet definieras begreppen a)personuppgifter, b)behandling av personuppgifter och behandling, c)blockering, d)register med personuppgifter och register, e)registerförare, f)mottagare, g)den registrerades samtycke, h)behöriga myndigheter, i)registeransvarig, j)markering och k)avidentifiering.