sou · GZB380 · 2011-12-07 00:00:00 — Enligt kommittén avses med begreppet elektronisk form att handlingen kan lämnas ut via e-post, dvd-skiva, diskett etc. Kommittén har också framhållit att myndigheten inte har någon skyldighet – men bör däremot sträva efter – att tillmötesgå den enskildes önskemål om att få ut handlingen i ett visst format (s. 382 f.). Enligt kommitténs förslag ska, vid bedömningen av om det är olämpligt att lämna ut en handling, effekterna övervägas av ett elektroniskt utlämnande för upprätthållandet av skyddet för enskildas personliga integritet (s. 312). Utöver integritetsaspekten kan det, enligt kommittén, finnas bl.a. säkerhetsaspekter och tekniska eller praktiska faktorer som talar emot ett elektroniskt utlämnande (s. 312 f.). Förslaget bereds inom . Utlämnande på medium för automatiserad behandling Med begreppet utlämnande på medium för automatiserad behandling avses i nuvarande författningar utlämnande av uppgifter i elektro- nisk form på en rad olika sätt, t.ex. genom användning av e-post, genom utlämnande på USB-minne eller genom automatiserad överföring med tidsfördröjning från ett datorsystem till ett annat (prop. 2007/08:160 s. 58). Att utlämnande sker på medium för automatiserad behandling innebär i regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen (prop. 2002/03:135 s. 97 och prop. 2004/05:164 s. 82). Ytterligare underlag för att belysa dessa frågeställningar kan erhållas från regeringens beslutade kommitté- direktiv Integritet, effektivitet och öppenhet i en modern e- förvaltning (dir. 2011:86), vari den särskilde utredaren ges i uppdrag att bl.a. besvara frågan om åtskillnaden mellan olika former av elektroniskt utlämnande bör bibehållas. I direktiven har bl.a. följande anförts (s. 19). Den tekniska utvecklingen har inneburit att det numera finns betydligt fler sätt att överföra uppgifter elektroniskt än tidigare och nya åtkomstmetoder tillkommer alltjämt. Detta har medfört att det upp- fattas som oklart hur begreppen direktåtkomst och utlämnande på medium för automatiserad behandling ska tillämpas på modernare metoder för informationsutbyte. Gränsdragningsproblematiken illust- reras bl.a. i en rapport som har tagits fram av E-delegationens expertgrupp för rättsliga frågor (Vägledning för direktåtkomst och utlämnande på medium för automatiserad behandling). De aktuella begreppen används inte heller på ett enhetligt sätt i de olika register- författningarna och utöver nu nämnda begrepp förekommer andra begrepp, t.ex. elektronisk åtkomst (SOU 2010:4 s. 364 f.). 11.3.2Förslag till en ny paragraf om direktåtkomst och elektroniskt utlämnande i registerförfattningarna I var och en av de registerförfattningar som gäller för de myndigheter som deltar i informationsutbyte vid samarbete mot grov organiserad brottslighet – , , Kriminalvården Kronofogdemyndig- heten, , , polisen, Skatte- verket (både den brottsbekämpande verksamheten och beskattningsverksamheten), (både den brotts- bekämpande och den fiskala verksamheten), samt Åklagar- myndigheten – förs en ny paragraf in som ger varje myndighet, som byter information enligt vår föreslagna nya lag om informationsutbyte vid samarbete mot grov organi- serad brottslighet, rätt till direktåtkomst i ett visst fall (första stycket). Dessutom förs in ett andra stycke i paragrafen som reglerar elektroniskt utlämnande av personuppgifter och andra uppgifter (andra stycket). Paragrafen har följande lydelse. (Myndigheten) ska ha direktåtkomst till uppgifter som före- kommer i ett sådant informationsutbyte enligt lagen (2012:00) om informationsutbyte vid samarbete mot grov organiserad brottslighet som myndigheten deltar i. (Myndigheten) får lämna ut uppgifter på medium för automatiserad behandling till myndigheter som i ett visst fall tillsammans med (myndigheten) deltar i informationsutbyte enligt lagen om informationsutbyte vid samarbete mot grov organiserad brottslighet. I polisdatalagen (2010:360) föreslår vi också – som en följdändring med anledning härav – ett tillägg i 5 kap. 4 § p. 7 i lagen, i vilken bestämmelse det finns en uppräkning av bestämmelser om elektroniskt utlämnande av person- uppgifter som är tillämpliga för Säkerhetspolisen. Flera av de samarbetande myndigheterna mot grov organiserad brottslighet har framhållit nödvändigheten av att kunna utbyta uppgifter elektroniskt för att på ett så effektivt sätt som möjligt kunna utföra sina uppdrag (se avsnitt 7.3.2 ovan). Sätten och formerna för hur information byts mellan myndigheterna är, enligt vad vi har erfarit, något som varierar vid informationsutbytet vid samarbete mot grov organiserad brottslig- het. Ett av dessa sätt är att erhålla direktåtkomst till andra myndigheters uppgifter. Ett annat sätt är utlämnande på medium för automatiserad behandling (jfr ovan avsnitt 11.3.1). Enligt vår mening är det varken möjligt eller lämpligt att inom ramen för vår utredning vad gäller det nu aktuella informations- utbytet föreslå regler om formen för utlämnandet av uppgifterna. Vidare bör beaktas att regeringen i sina kommittédirektiv 2011:86 (se avsnitt 11.3.1), givit en särskild utredare i uppdrag att utreda om det finns skäl att i registerförfattningarna upprätthålla en skillnad mellan direktåtkomst och andra former av elektroniskt utlämnande, eller om denna åtskillnad bör utmönstras. På grund av det ovan nämnda har vi valt att föreslå bestäm- melser som inte ska hindra utlämnande av uppgifter i en viss form i det aktuella informationsutbytet. Vi har därför valt att dels lämna ett förslag till en bestämmelse som reglerar direktåtkomst, dels ett förslag till en bestämmelse som reglerar utlämnande på medium för automatiserad behandling. Det är av vikt att inledningsvis betona att båda bestämmelserna enbart ska omfatta ett informationsutbyte inom ringen/bubblan, dvs. de uppgifter som förekommer i ett visst fall (se avsnitt 8.3 och 9.2.1). Det är således inte tal om att myndigheterna genom våra bestämmelser ska få tillgång till berörda myndigheters databaser m.m., utan endast – om så blir aktuellt – begränsade delar därav om dessa ingår i ringen/bubblan. I flertalet av registerförfattningarna finns särskilda bestäm- melser om direktåtkomst som särskilt reglerar vissa situationer och vissa särskilt angivna myndigheter, se exempelvis 3 kap. 8 § polis- datalagen (2010:361). Vår utgångspunkt vad gäller informationsutbyte vid samarbete mot grov organiserad brottslighet är dock att skapa en generell möjlighet för de aktuella myndigheterna att få direktåtkomst till uppgifter som förekommer vid ett sådant informationsutbyte som myndigheten, enligt vår föreslagna lag, deltar i samt att det inte ska föreligga några hinder att lämna ut uppgifterna elektroniskt. Våra föreslagna bestämmelser tar, vad gäller nu aktuellt informationsutbyte, över andra regler i registerförfattningarna som hindrar digitalt utlämnande av uppgifter. I fråga om direktåtkomst är det enligt vår mening särskilt viktigt att väga behovet av direktåtkomst mot hänsynen till den enskildes personliga integritet. Integritetsaspekterna måste tillmätas stor betydelse vid bedömningen av i vilken omfattning direktåtkomst bör medges. Enbart det förhållandet att uppgifter om en enskild persons förhållanden samlas in och bevaras kan uppfattas som ett intrång i den personliga integriteten. Ju fler aktörer som har tillgång till uppgifter genom direktåtkomst, desto mer påtaglig är risken för integritetsintrång. Direktåtkomst kan också minska möjligheterna att kontrollera den vidare användningen av upp- gifterna. Vi har därför bedömt det som nödvändigt och naturligt att föreslå en begränsning av myndigheternas direktåtkomst till att enbart avse de register/databaser som rör respektive myndighets ärende i ett visst fall enligt vår föreslagna nya lag (2012:00) om informationsutbyte vid samarbete mot grov organiserad brottslig- het. Härigenom ges således myndigheten möjlighet till direkt- åtkomst till information i det specifika ärendet hos en annan samarbetande myndighet, inte till den andra myndighetens alla register/databaser. Detta innebär således inte en direktåtkomst i traditionell mening. Under vårt arbete har utformningen samt placeringen av ett författningsförslag om direktåtkomst diskuterats. Ett alternativ till vårt förslag, som är ett vanligare sätt att reglera motsvarande fråga, är att i var och en av myndigheternas registerförfattningar ange specifikt vilka andra myndigheter som ska ges möjlighet att genom direktåtkomst kunna ta del av vissa uppgifter hos myndigheten. Vi har dock valt att utforma direktåtkomstbestämmelsen på ett annat sätt. Vårt förslag innebär en generell hänvisning i registerförfattningarna till samtliga uppgifter som förekommer i ett visst ärende i ett sådant samarbete som myndigheten deltar i enligt vår föreslagna nya lag (2012:00) om informationsutbyte vid samarbete mot grov organiserad brottslighet. Genom att vi begränsar åtkomsten till uppgifter inom ringen/bubblan anser vi inte att det bör uppstå någon regel- konflikt i förhållande till andra hos myndigheterna förekommande bestämmelser som exempelvis reglerar direktåtkomst till en myndighets databaser. Vi har även valt att inte göra någon åtskillnad i direktåtkomsten mellan de brottsbekämpande och de icke brottsbekämpande myndigheterna. Det har diskuterats huruvida de icke brotts- bekämpande myndigheterna bör/vill ha tillgång till samtliga uppgifter i samarbetet. Vi betonar även i detta sammanhang att direktåtkomsten endast ger en möjlighet för myndigheten att ta del av uppgifterna på ett visst sätt. En förutsättning är vidare att den myndighet som har medgetts direktåtkomst ska tillse att tillgången till personuppgifter begränsas till vad varje tjänsteman eller anställd behöver för att kunna fullgöra sina uppgifter. I var och en av de registerförfattningar som gäller för de myndigheter som byter information vid samarbete mot grov organiserad brottslighet – , Försäkrings- kassan, Kriminalvården , Kustbevak- ningen, , polisen, , och – föreslår vi således att det införs en ny paragraf som ger varje samarbetande myndighet rätt till direkt- åtkomst i ett visst fall enligt vår föreslagna nya lag. Placeringen av våra föreslagna bestämmelser varierar mellan myndigheterna från förordning till lag. Som vi har anfört ovan (se avsnitt 11.1) anser vi att den här aktuella personuppgifts- behandlingen bör regleras i lag. Vi har därför föreslagit att bestämmelserna om direktåtkomst i ett visst fall ska regleras i lag vad gäller , polisen, , (både vad gäller den brottsbekämpande verksamheten och beskattningsverksamheten). har vi framhållit (se avsnitt 11.1 ovan) att i de fall en registerförfattning utgörs av en förordning ska tillägg eller justeringar göras i gällande förordning. Detta är aktuellt vad gäller , samt åklagarväsendet (Eko- brottsmyndigheten och ). har som ovan nämnts (se avsnitt 11.2.2) olika registerförfattningar för sin brottsbekämpande verksamhet respek- tive för sin fiskala verksamhet. Vid placeringen av paragrafen vad gäller den brottsbekämpande verksamheten har vi beaktat utformningen av de för här aktuella registerförfattningarna och valt att placera paragrafen i förordningen (2005:791) om behandling av uppgifter i brottsbekämpande verksamhet i stället för i lagen i samma ämne. Vad gäller fiskala verksamhet anser vi dock att det tvärtom – på grund av utformningen av gällande författningar inom den verksamheten – i stället är lämpligare att placera bestämmelsen i lagen (2001:185) om behandling av uppgifter i verksamhet. Vad gäller föreslår vi att paragrafen förs in i de lagar som reglerar dels den brottsbekämpande verksamheten, dels beskattningsverksamheten. Vår föreslagna nya paragraf har följande lydelse (första stycket). (Myndigheten) får ha direktåtkomst till uppgifter som förekommer i ett sådant samarbete enligt lagen (2012:00) om samarbete mot grov organiserad brottslighet som myndigheten deltar i. Genom denna hänvisning till vår nya föreslagna lag och de regleringar som finns i den lagen anser vi att utformningen av våra författningsförslag om direktåtkomst är tillräckligt detaljerad och att skyddet för den personliga integriteten tillvaratas i tillräcklig omfattning (jfr avsnitt 12.3.5 nedan). Om tanken är att en myndighet ska få ha direktåtkomst till uppgifter som omfattas av sekretess hos en annan myndighet måste bestämmelsen om direktåtkomst kompletteras med en sekretess- brytande bestämmelse. Bestämmelser om direktåtkomst anses inte ha en sekretess- brytande effekt enligt offentlighets- och sekretesslagen (se t.ex. prop. 2004/05:164 s. 83). Det beror på att bestämmelser om direktåtkomst har en annan funktion – tar sikte på formen för utlämnandet – än de sekretessbrytande reglerna. Sekretessbrytande regler anger i vilken mån sekretessbelagda uppgifter över huvud taget får lämnas från en myndighet till en annan. Det är vanligt att registerförfattningar stadgar att en myndighet får ha direktåtkomst till vissa angivna typer av uppgifter hos en annan myndighet beträffande personer som är aktuella i ärenden hos den mottagande myndigheten. Vad gäller vårt förslag anser vi inte att det finns skäl att införa någon specifik sekretessbrytande bestämmelse då direktåtkomsten enbart avser informationsutbyte inom ringen/bubblan och då vi genom vår föreslagna sekretessbrytande bestämmelse i 7 § lagen (2012:00) om informationsutbyte vid samarbete mot grov organiserad brottslighet har infört en bestämmelse som bryter – i det aktuella sammanhanget – alla former av sekretess mellan myndigheterna inom ringen/bubblan (se avsnitt 9.3.1–9.3.2 ovan). Utlämnande på medium för automatiserad behandling. Sätten och formerna för hur information byts mellan myndig- heterna är, som vi nämnt ovan, något som varierar vid informationsutbytet vid samarbete mot grov organiserad brottslighet. I vissa fall kan myndigheterna komma att lämna ut uppgifter till en form av gemensam uppgiftssamling inom ringen/bubblan. Att utlämnande sker på medium för automatiserad behandling innebär i regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen (prop. 2002/03:135 s. 97 och prop. 2004/05:164 s. 82). En särskild bestämmelse måste enligt vår bedömning reglera denna situation. Placeringen av våra föreslagna bestämmelser varierar mellan myndigheterna från förordning till lag. Anledningen härtill är densamma som har anförts ovan angående direktåtkomst. I aktuell paragrafs andra stycke föreslår vi en reglering där det anges följande. (Myndigheten) får lämna ut uppgifter på medium för automatiserad behandling till myndigheter som i ett visst fall tillsammans med (myndigheten) deltar i informationsutbyte enligt lagen om informationsutbyte vid samarbete mot grov organiserad brottslighet. I paragrafen anges under vilka förutsättningar uppgifter får lämnas ut t.ex. i ett e-postmeddelande eller på ett USB-minne. Bestämmelsen är bl.a. avsedd att ge stöd för utlämnande på medium för automatiserad behandling. Bestämmelsen införs av förtydligande skäl i samtliga av de nu aktuella registerförfattningarna. Oavsett nuvarande reglering i registerförfattningarna vad gäller begränsningar att lämna ut uppgifter på medium för automatiserad behandling (se t.ex. avsnitt 5.4.5) tillåter vår föreslagna bestäm- melse att uppgifter får lämnas ut automatiserat vid det nu aktuella informationsutbytet. Vad gäller polisdatalagens bestämmelser om Säkerhetspolisen föreslår vi – som en följdändring av våra föreslagna bestämmelser om bl.a. utlämnande på medium för automatiserad behandling – ett tillägg i 5 kap. 4 § p. 7 i lagen, i vilken bestämmelse det finns en uppräkning av bestämmelser om elektroniskt utlämnande av personuppgifter som är tillämpliga för Säkerhetspolisen. Flera myndigheter har påpekat problem i samarbetet mot den grova organiserade brottsligheten genom att myndigheternas register- författningar till sin utformning skiljer sig åt och att det finns behov av att se över, samordna och utforma myndigheternas registerförfattningar på ett likartat sätt. Detta har även anförts i skrivelse – Slutredovisning av regeringens uppdrag till och andra berörda myndigheter att vidta åtgärder för att säkerställa en effektiv och uthållig bekämpning av den grova organiserade brottsligheten – dnr 400-4599/08. Vidare har vissa myndigheter påpekat att andra åtgärder i form av justeringar i registerförfattningarna också bör vidtas för att få till stånd en förbättrad myndighetssamverkan vad gäller utbyte av uppgifter för att motverka brottlighet. Det har exempelvis diskuterats att det bör skapas mer allmänt utformade ändamålsbestämmelser än vad vi föreslår ovan. har bl.a. pekat på de diskrepanser som föreligger mellan lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och övriga registerförfattningar. har i sin tur lyft fram att de registerförfattningar som reglerar brottsbekämpande verksamhet är i behov av att bytas ut i sin helhet och t.ex. anpassas till polisdata- lagen (2010:361). Enligt våra kommittédirektiv begränsas vårt uppdrag till att avse sådana åtgärder som gäller samarbete mot grov organiserad brottslighet. Även om vi kan konstatera att det föreligger otillräckliga och oklara regleringar inom vissa områden i registerförfattningarna, har vi ansett att dessa frågor inte specifikt berör frågan om grov organiserad brottslighet. Att föreslå justeringar av register- författningar vi kan konstatera att en författningsändring skulle vara lämplig, eller på sina håll nödvändig, för att underlätta samarbetet mellan myndigheterna mot brottslighet över huvud taget anser vi går utöver vårt uppdrag enligt direktiven. Vi anser att en sådan författningsöversyn bör ske i annan ordning t.ex. vid en allmän översyn av de olika myndigheternas registerförfattningar (jfr t.ex. regeringens kommittédirektiv Integritet, effektivitet och öppenhet i en modern e- förvaltning, dir. 2011:86). 12Effekter för den personliga integriteten 12.1Allmänt vad gäller personlig integritet I våra kommittédirektiv (dir. 2010:112, s. 4) anförs att vi ska lämna fullständiga författningsförslag tillsammans med en redovisning av vilka effekter förslagen kan få för den personliga integriteten. Den allmänna bakgrunden vad gäller skydd för den personliga integriteten redovisas ovan i kap. 6.3. Där redogörs bl.a. för svårigheterna att bedöma vad som ska anses utgöra personlig integritet. Varken i svensk lagstiftning eller i doktrinen finns någon enhetlig definition av detta begrepp. Uppfattningen om vad som är en rent personlig sfär varierar mellan olika personer och mellan olika kulturer. Dessutom förändras inställningen till den personliga integriteten över tiden. Det kan härutöver ha betydelse i vilket sammanhang upp- gifterna används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. bör hållas i minnet att den personliga integriteten från tid till annan är föremål för inskränkningar i någon utsträckning. En väl fungerande samhällsorganisation kommer alltid att medföra intrång i enskildas personliga integritet. Det får i samman- hanget avvägas vad som kan tolereras respektive vad som inte kan accepteras i sammanhanget. Vid automatiserad behandling av personuppgifter finns vissa faktorer som är särskilt viktiga att ta hänsyn till vad gäller integritetskänslighet. Dessa faktorer kan t.ex. vara om utbytet av informationen sker mellan myndigheter, arten av de personuppgifter som samlas in och registreras, Effekter för den personliga integriteten för vilka ändamål detta görs, mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar, hur och av vem uppgifterna används, om det föreligger stora informationsmängder, som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används i en myndighets verksamhet, samt möjligheterna att lagra informationen. 12.2Personlig integritet och informationsutbyte vid samarbetet mot grov organiserad brottslighet Utöver de ovan nämnda punkterna om risker för intrång i den personliga integriteten, är det också – vad gäller just informations- utbytet vid samarbete mot grov organiserad brottslighet – av vikt att ta hänsyn till vissa specifika faktorer som i detta sammanhang leder till ett särskilt integritetsintrång. Dessa faktorer kan sammanfattas i följande två punkter. Då informationsutbytet kan leda till en ökad effektivitet för att motverka grov organiserad brottslighet, innebär utbytet av uppgifter per automatik en ökad upptäcktsrisk för de enskilda personer som är av intresse för myndigheternas samarbete mot grov organiserad brottslighet. Integritetsintrånget för enskilda som inte är av intresse för myndigheternas samarbete mot grov organiserad brottslighet kan komma att öka om myndigheterna upptäcker dessa personer på köpet vid sin satsning att gemensamt motverka grov organiserad brottslighet. Informationsutbytet kommer också att omfatta personer som i slutänden inte kommer att bli föremål för någon åtgärd. Effekter för den personliga integriteten 12.3Effekter för den personliga integriteten vid informationsutbyte vid samarbete mot grov organiserad brottslighet Inledningsvis ska betonas att såväl Spår 1 som Spår 2 som vi behandlat i 8 kap. ovan medför intrång i den personliga integri- teten. I och med att förbättrade möjligheter till informationsutbyte vid myndigheters samarbete mot grov organiserad brottslighet bl.a. leder till ett stort utbyte av information mellan myndigheterna aktualiseras per automatik ett antal frågor som rör enskildas personliga integritet. Vi har, som nämnts ovan (se avsnitt 8.3.4) sammanfattningsvis bedömt att det oundvikliga intrånget i den personliga integriteten – jämfört med samhällets eftersträvade effektivitetsvinster bäst kan hanteras och hållas på en acceptabel nivå genom Spår 2. ska lyftas fram (som redogjorts för i avsnitt 8.2.3) de motsvarande avvägningar som vi har gjort vad gäller effektivitet jämfört med integritet vid en tillämpning av Spår 1. Som vi har framhållit i våra bedömningar och förslag i kap. 8–11 vad gäller behovet av förbättrade möjligheter att utbyta uppgifter mellan myndigheter som samverkar mot grov organiserad brottslighet och vikten av detta informationsutbyte ska kunna tillgodoses på ett effektivt och rättssäkert sätt, har – vid bedömningen av detta behov – genomgående gjorts en avvägning mot integritetsintressena. Ett grundläggande skydd för den enskildes integritet finns genom sekretessreglerna i offentlighets- och sekretesslagen (2009:400, OSL). Härutöver skyddas den personliga integriteten genom myndigheternas registerförfattningar i vilka det finns ändamåls- bestämmelser, regler för hur känsliga personuppgifter får behandlas, gallringsbestämmelser etc. Nämnda skydd i nu gällande författningar har vi inte bedömt som tillräckligt. Genom Spår 2 (se vidare avsnitt 8.3.4. och kap. 9) har vi runt det aktuella informationsutbytet – för att få till stånd ett så starkt integritetsskydd som möjligt – skapat en ring/bubbla som omgärdas av absolut sekretess. Vi har dessutom vad gäller Spår 2 ansett det nödvändigt att ta fram regler om en särskild tillsyn vad avser myndigheternas beslut etc. inom det aktuella området (se vidare avsnitt 9.2.3. ovan). Effekter för den personliga integriteten Härutöver har vi – ur bl.a. ett integritetsskyddsperspektiv – vidtagit justeringar i myndigheternas registerförfattningar. Nedan sammanfattar vi dels integritetseffekter av våra förslag, dels vilka åtgärder till skydd för den enskildes integritet som vi har vidtagit. 12.3.1Utbyte av information mellan myndigheter Vid behandling av uppgifter kan man utgå ifrån att ett utbyte av uppgifter mellan flera myndigheter innebär ett större intrång i den enskildes integritet än om uppgifterna enbart behandlas inom en myndighet. Enligt våra förslag ska uppgifter utbytas mellan en stor mängd myndigheter.