prop · H103110 · 2014-03-17 00:00:00 — uppföljning och utvärdering av verksamhet är en sådan integrerad del av denna att det, utan att det sägs uttryckligen i en registerförfattning, är självklart att uppgifter som används i verksamheten också får användas för dessa ändamål (prop. 2004/05:164 s. 116). Detta får anses innebära att sådan behandling är tillåten även om det är personuppgiftslagen, och inte en särskild registerförfattning, som är tillämplig på personuppgifts- behandlingen vid en myndighet. Behandlingen av personuppgifter i de forensiska databaserna i syfte att höja personalens kompetens och att ge statistisk information kan därmed enligt regeringens mening inte anses oförenlig med de ändamål för vilka uppgifterna samlades in. behandlingen av sådana uppgifter sker för vetenskapliga och statistiska ändamål måste den också anses förenlig med bestämmelserna i person- Det skulle dock kunna hävdas att uppgifterna bevaras trots att det inte vid varje enskilt tillfälle finns ett mer specifikt ändamål för att bevara en personuppgift eller en hänvisning till en personuppgift i data- Datainspektionen och har behandlat liknande frågor. Två beslut av Datainspektionen kan sägas ge uttryck för att insamlandet av personuppgifter som syftar till framtida forskning utan något mer preciserat innehåll, inte kan anses förenligt med personuppgiftslagen, bl.a. därför att ändamålet är så ospecificerat att det inte går att bedöma om personuppgifter som behandlas är adekvata och relevanta i förhållan- de till ändamålet med behandlingen (beslut , dnr 811- 2011 och , dnr 766-2011). också anfört att det är svårt att konstruera en databasinfrastruktur som innefattar personuppgifter för generella forskningsändamål. rådet har däremot sett en skillnad mellan att samla in uppgifter för fram- tida forskning och att återanvända redan insamlade uppgifter för ett nytt Ett sådant återanvändande är enligt förenligt med gällande rätt om det kan antas överensstämma med finalitetsprin- cipen (Rättsliga förutsättningar för en databasinfrastruktur för forskning, rapportserie 11:2010, s. 52 f.). Ändamålet med de forensiska databaserna är primärt att ha tillgång till samlad information om material, föremål eller spår. En möjlighet att be- handla uppgifter i de forensiska databaserna utan hänsyn till regleringen i personuppgiftslagen skulle vara att helt avidentifiera uppgifterna. möjligheten att gå tillbaka och kontrollera detaljer i enskilda undersök- ningsärenden tas bort skulle dock det vetenskapliga värdet av informatio- nen minska, eftersom det då inte skulle gå att verifiera olika uppgifter som finns i databaserna. Det måste därför kunna finnas vissa personupp- gifter i de forensiska databaserna. Databaserna innehåller uppgifter som redan samlats in för ett visst specifikt ändamål. Med hänsyn till att det är fråga om att återanvända redan insamlad information och att återanvänd- ningen inte kan anses strida mot de ändamål för vilka uppgifterna samla- des in, anser regeringen att behandlingen av uppgifter i de forensiska da- tabaserna är förenlig med personuppgiftslagens bestämmelser. Informationen i de forensiska databaserna kan dock även användas för att ge polisen spaningsuppslag, s.k. forensiska uppslag. polisdatalagen uttalade regeringen att det inte kan anses strida mot finalitetsprincipen att uppgifter som samlats in för att utreda ett visst brott senare används för att utreda ett annat brott eller bekämpa brottslig verksamhet (prop. 2009/10:85 s. 99). Uppgifterna i de forensiska databaserna samlades ursprungligen in i syfte att utreda brott. Behandlingen av uppgifterna i syfte att ta fram forensiska uppslag får anses vara ett led i brottsbekämpande verksamhet. Den får även anses vara förenlig med regleringen om finalitetsprincipen. Frågan om hur länge uppgifter i de forensiska databaserna bör få behandlas för detta ändamål behandlas i det följande. SKL utför också andra undersökningar, nämligen sådana som sker på uppdrag av privatpersoner eller företag. Dessa uppdrag omfattas inte av SKL:s myndighetsutövning, eftersom uppdragsgivaren frivilligt anlitar laboratoriet och detta inte utövar någon offentligrättslig makt i ärendet. Tillåtligheten av personuppgiftsbehandlingen bygger i stället på avtalet mellan SKL och uppdragsgivaren. Personuppgiftsbehandling i avtalsförhållanden är tillåten enligt personuppgiftslagen. påpekar dock att det sällan är den som personuppgifterna rör som är avtalspart och att det därför inte kan uteslutas att det krävs särskilt författningsstöd för behandling av personuppgifter inom ramen för de privata uppdragen. Undersökningarna i vissa av dessa uppdrag sker helt manuellt och faller därmed utanför personuppgiftslagens regler. I en del uppdrag behandlas dock uppgifter helt och eller delvis automatiserat, vilket gör personuppgiftslagen tillämplig. Behandlingen av personuppgifter varierar inom ramen för dessa uppdrag men det kan inte uteslutas att personuppgiftslagens regler inte fyller det behov som finns. Dessa uppdrag utgör emellertid en mycket liten del av laboratoriets verksamhet. Som framgår nedan kommer laboratoriets personuppgiftsbehandling att ses över i ett annat sammanhang. Det finns därför inte skäl att nu särskilt reglera den mycket begränsade automatiserade personuppgiftsbehandling som har sin grund i privata uppdrag. Regeringen vill understryka att den delar promemorians bedömning att det inte kan vara förenligt med finalitetsprincipen att behandla sådana uppgifter för att ge polisen forensiska uppslag. Vilka personuppgifter får behandlas? Enligt 9 § första stycket e personuppgiftslagen ska de personuppgifter som behandlas vara adekvata och relevanta i förhållande till ändamålen med behandlingen. I de forensiska undersökningsärendena får SKL del av både direkta och indirekta personuppgifter genom den information som polisen eller någon annan brottsbekämpande uppdragsgivare tillhandahåller. Dessa personuppgifter får anses nödvändiga för att laboratoriet ska kunna utföra den begärda undersökningen och redovisa resultatet på ett sätt som möter kraven på kvalitet och rättssäkerhet. Det är annorlunda när det gäller de forensiska databaserna. I dessa är det knappast befogat att behandla direkta personuppgifter om personer som haft koppling till de bakomliggande brottsutredningarna, eftersom dessa uppgifter inte är nödvändiga för att uppnå syftet med att ha databaserna. Som angetts ovan registreras sådana personuppgifter i princip inte Att behandla personnummer eller andra direkta personuppgifter om personer som varit inblandade i en brottsutredning i en databas vars primära syfte är vetenskaplig kunskapsåtervinning måste i de flesta fall anses som inadekvat i förhållande till ändamålet med behandlingen. Regleringen i personuppgiftslagen måste därför anses tillräcklig för att skydda den personliga integriteten när det gäller vilka uppgifter som får behandlas både i undersökningsärendena och i de forensiska databaserna. Särskilt om känsliga personuppgifter Känsliga personuppgifter är enligt 13 § personuppgiftslagen sådana personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa eller sexualliv. Det råder ett generellt förbud mot att behandla sådana uppgifter. Personuppgiftslagen innehåller vissa undantag från förbudet och en möjlighet för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter med andra undantag från bestämmelsen, om det behövs med hänsyn till ett viktigt allmänt intresse. SKL behandlar i regel inte känsliga personuppgifter. Det kan dock inte uteslutas att laboratoriet kan ha behov av att behandla känsliga personuppgifter i den forensiska verksamheten. Man kan exempelvis tänka sig att laboratoriet kan få fram uppgifter om sjukdomar vid analys av blodfläckar och att det därför skulle finnas ett behov av att kunna behandla uppgifter om hälsa. Möjligheten att analysera var en person är född skulle också kunna leda till antaganden om en persons etnicitet. Nya undersökningsmöjligheter kan eventuellt komma att avslöja känsliga personuppgifter på ett sätt som inte kan förutses . Laboratoriet bör ha möjlighet att behandla känsliga personuppgifter, vilket kräver författningsreglering. Frågan om vilken krets personer i en organisation som får ha tillgång till personuppgifter regleras inte uttryckligen i personuppgiftslagen. Enligt 31 § personuppgiftslagen ska den personuppgiftsansvarige vidta tekniska och organisatoriska åtgärder för att skydda personuppgifter. Datainspektionen har utfärdat allmänna råd, av vilka det framgår att endast de som behöver uppgifterna för sitt arbete bör få tillgång till åtkomstskyddade personuppgifter. Vid SKL finns ett system med olika behörigheter för de anställda med utgångspunkt i vad de har behov av för att utföra sina arbetsuppgifter. Utbyte av uppgifter mellan myndigheter De personuppgifter som SKL behandlar i de forensiska undersökningsärendena härrör till största delen från den information som polisen eller andra brottsbekämpande uppdragsgivare anser är nödvändig att vidarebefordra för att laboratoriet ska kunna utföra de undersökningar som begärs. Resultatet av de forensiska undersökningarna redovisas sedan tillbaka till uppdragsgivaren och kommer då att behandlas i den brottsbekämpande verksamheten där. När det gäller uppgiftsutbytet inom – av vilken SKL kommer att vara en del – kommer det att bli en myndighetsintern fråga. Enligt vad som framkommit har labora- inte något informationsutbyte med andra myndigheter som behöver författningsregleras, vare sig för att laboratoriet ska ha möjlighet att behandla personuppgifter för att fullgöra åtaganden om informationsutbyte eller för att kunna lämna ut sekretessbelagd information till andra myndigheter. I ett fåtal fall förekommer det att laboratoriets resultat ifrågasätts av en misstänkts försvarare. händer det redan under förundersökningen men oftast är det i samband med ett resningsförfarande som resultat ifrågasätts. Det inträffar att försvararen vill ha vissa ytterligare material undersökta eller att ett yttrande från ett annat laboratorium avseende ett material som SKL har undersökt, en s.k. second opinion, ska inhämtas. Utvecklingen går också mot att forensiska laboratorier specialiserar sig inom olika områden. SKL kan därför ibland behöva vända sig till ett utländskt laboratorium för att det laboratoriet har tillgång till metoder eller teknik som SKL inte förfogar över. Personuppgiftslagen hindrar inte att personuppgifter i sådana fall skickas till laboratorier i andra länder inom EU eller EES. Skulle SKL i något fall vilja hämta in ett yttrande från ett laboratorium i ett land utanför EU eller EES får man i det enskilda fallet göra en bedömning enligt 33 § personuppgiftslagen av om det aktuella landet har en adekvat dataskyddsnivå. I 10 kap. 2 § offentlighets- och sekretesslagen (2009:400) finns en sekretessbrytande bestämmelse som kan bli tillämplig i dessa fall, enligt vilken sekretess inte hindrar att uppgifter lämnas till en myndighet om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Personuppgifter får enligt 9 § första stycket i personuppgiftslagen inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Bestämmelsen hindrar inte att personuppgifter i allmänna handlingar arkiveras (8 § andra stycket). När uppgifter inte längre får behandlas kan de således avskiljas från exempelvis ett ärendehanteringssystem och arkiveras. En sådan lösning har valts i polisdatalagen för uppgifter i förundersökningar och brottsanmälningar. Dessa ska arkiveras och omfattas därför inte av lagens gallringsregler, men de får inte vara gemensamt tillgängliga mer än ett visst antal år beroende på vissa närmare angivna förutsättningar (3 kap. 10 och 11 §§ polisdatalagen). I de forensiska undersökningsärendena behandlas personuppgifter i ärendehanteringssystemet Forum. I systemet finns över 800 000 poster, bl.a. därför att det är Forum som innehåller kopplingen mellan en individ och en DNA-profil som registrerats i något av DNA-registren. Denna information måste finnas kvar i Forum så länge som DNA-profilen får finnas kvar i något av DNA-registren. har meddelat gallringsbeslut som tillåter SKL att gallra handlingar i vissa undersökningsärenden. Eftersom undersökningsärendena ofta är en del av förundersökningar finns det inte anledning att i författning införa några generella gallringsbestämmelser. Genom den arkivlösning som kommer att införas vid SKL kommer de undersökningsärenden som inte innehåller en koppling till DNA-registren att kunna skiljas av från Forum och i stället arkiveras. De forensiska databaserna gallras i princip inte på grund av den funktion de har i verksamheten. Databaserna börjar dock alltmer användas även för brottsbekämpande ändamål genom de forensiska uppslagen. Eftersom det inte finns några särskilda gallringsbestämmelser som gäller för laboratoriet, men däremot enligt polisdatalagen, har laboratoriet möjlighet att behandla personuppgifter som är gallrade hos polisen eller i vart fall är tillgängliga i den brottsbekämpande verksamheten där. Hur länge laboratoriet kan använda personuppgifter i de forensiska databaserna för att ta fram forensiska uppslag som kan leda fram till en brottsutredning och i slutändan en fällande dom begränsas ytterst av reglerna om preskription. Datainspektionen ifrågasätter detta och anser att uppgifter inte bör vara åtkomliga i brottsbekämpande verksamhet vid SKL än vad motsvarande uppgifter får behandlas, bevaras eller vara åtkomliga hos polisen eller andra brottsbekämpande myndigheter. Hur länge uppgifterna i de forensiska databaserna behöver bevaras för vetenskapliga ändamål bedöms bäst av laboratoriet. Detta hindrar naturligtvis inte att uppgifterna därefter arkiveras enligt arkivlagstiftningen. Personuppgiftslagens bestämmelser om att uppgifter inte får bevaras än som är nödvändigt med hänsyn till de ändamål för vilka de behandlas är därför den bestämmelse som är mest ändamålsenlig för databasernas ursprungliga funktion i verksamheten. Frågan om hur behandling av uppgifter i de forensiska databaserna för brottsbekämpande ändamål ska hanteras behandlas i det följande. Genomgången i detta avsnitt visar att personuppgiftslagens bestämmelser i stor utsträckning är tillräckliga för behandlingen av personuppgifter vid SKL. När det gäller tillgång till personuppgifter, behandling av känsliga personuppgifter och behandling av uppgifter i de forensiska databaserna för brottsbekämpande ändamål behövs dock ytterligare reglering. I promemorian föreslås att polisdatalagens bestämmelser om tillgång till personuppgifter, behandling av känsliga personuppgifter och sökbegränsningar när det gäller sådana uppgifter ska göras tillämpliga i SKL:s verksamhet. I polisdatalagen regleras polisens personuppgiftsbehandling i den brottsbekämpande verksamheten. I förarbetena till polisdatalagen uttalade regeringen att det vid bedömningen av om SKL skulle omfattas av lagen borde beaktas dels att myndighetens verksamhet inte är brottsbekämpande i vedertagen mening, dels att myndighetens personal inte är polismän utan specialister inom sina respektive verksamhetsområden och inte har traditionella polisiära uppgifter eller befogenheter utan arbetar som ett sorts sakkunnigt biträde och expertorgan åt polismyndigheterna. Med hänsyn till detta och till att den personuppgiftsbehandling som sker vid laboratoriet är relativt begränsad och åtkomsten till behandlade uppgifter i huvudsak förbehållen dess egen personal ansåg regeringen att polisdatalagen inte skulle omfatta SKL (prop. 2009/10:85 s. 71 f.). Efter tillkomsten av polisdatalagen har SKL börjat utveckla verksamheten med forensiska uppslag. Att SKL systematiskt bearbetar insamlad information i syfte att berika eller någon annan brottsbekämpande myndighets underrättelseinformation eller utrednings- Prop. 2013/14:110 verksamhet får ses som ett led i brottsbekämpande verksamhet. bär att polisdatalagen blir tillämplig på den verksamheten när SKL blir en del av . Bestämmelserna i polisdatalagen är dock inte avpassade för den forensiska undersökningsverksamheten. Det bör därför tills vidare vara personuppgiftslagen som i huvudsak reglerar personuppgiftsbehandlingen vid laboratoriet. Regeringen delar Lagrådets bedömning att en lagteknisk lösning där enbart vissa bestämmelser i polisdatalagen görs tillämpliga i laboratoriets verksamhet kan bli onödigt komplicerad. Polisdatalagen bör därför inte vara tillämplig i laboratoriets verksamhet annat än vid behandling av personuppgifter i register som regleras i 4 kap. Frågan är då vad som bör gälla på de områden där regleringen i personuppgiftslagen inte fyller verksamhetens behov av att kunna behandla personuppgifter. Lagrådet, liksom Datainspektionen och , förordar att laboratoriets personuppgiftsbehandling regleras i en särskild lag. En annan möjlighet är att skapa en särskild reglering för laboratoriets verksamhet i polisdatalagen. Med hänsyn till att promemorian inte lämnar förslag till någon särskild reglering av personuppgiftsbehandlingen vid SKL, utöver förslaget om en ny elimineringsdatabas, finns det inte beredningsunderlag för att nu gå fram med ett sådant förslag. Regeringen avser att återkomma i frågan möjligt i annat sammanhang. påpekar att frågan om nämndens tillsyn över SKL:s personuppgiftsbehandling bör klargöras för det fall polisdatalagen ska tillämpas i laboratoriets verksamhet. utövar tillsyn över polisens behandling av personuppgifter enligt polisdatalagen. I och med att det föreslås att polisdatalagen inte ska vara tillämplig i SKL:s verksamhet omfattas personuppgiftsbehandlingen vid laboratoriet inte av nämndens tillsyn. För register som regleras i 4 kap. polisdatalagen förändras inte tillsynsansvaret. 8.5Säkerhetspolisens behandling av personuppgifter Regeringens förslag: Polisdatalagen ska tillämpas i Säkerhetspolisens verksamhet i samma utsträckning som . Kommitténs förslag överensstämmer i sak med regeringens. Remissinstanserna: Flertalet remissinstanser yttrar sig inte över för- Datainspektionen delar kommitténs bedömning att det uttryckligen ska framgå av de olika författningarna när Säkerhetspolisen avses. Inspektionen delar i allt väsentligt de bedömningar som kommittén har gjort beträffande nödvändiga ändringar i polisdatalagen i och med införandet av den nya organisationen för polisen. Skälen för regeringens förslag Säkerhetspolisen bör uttryckligen anges i registerförfattningar Säkerhetspolisen kan förekomma under tre olika begrepp i dagens författningstext, nämligen som en del av begreppet , som Säkerhetspolisen eller under begreppet polismyndighet med stöd av 7 § andra stycket polislagen (1984:387) i de fall där genom Säkerhetspolisen leder polisverksamhet. Förarbetena till flertalet registerförfattningar innehåller inga uttryckliga uttalanden om i vilken omfattning begreppen och polismyndighet är avsedda att omfatta Säkerhetspolisen. Med enstaka undantag är det först i förarbetena till polisdatalagen som författningens tillämplighet på Säkerhetspolisen analyseras på ett mer genomgripande sätt. Särskilt när det gäller registerförfattningar som tillkommit före polisdatalagen kan det därför inte alltid med säkerhet sägas hur lagstiftaren sett på frågan om en viss bestämmelse ska tillämpas i Säkerhetspolisens verksamhet. När Säkerhetspolisen nu blir en fristående myndighet finns det skäl att i författningstext uttryckligen ange när Säkerhetspolisen avses. Detta är viktigt med hänsyn till den funktion som registerförfattningarna har, inte minst ur integritetsskyddssynpunkt. Om Säkerhetspolisens tillgång till andra myndigheters uppgifter skulle vara beroende av tillämpningen av 7 § polislagen blir den svårare att förutse både för myndigheten och för enskilda, eftersom det då skulle ligga på den myndighet som innehar uppgiften att bedöma om 7 § ska tillämpas. Dessutom måste Säkerhetspolisen uttryckligen anges i bestämmelser om direktåtkomst för att myndigheten ska kunna medges sådan åtkomst till andra myndigheters uppgifter, eftersom direktåtkomsten inte kan vara beroende av om Säkerhetspolisen i ett visst fall leder polisverksamhet eller inte. Regeringen delar därför, liksom Datainspektionen, kommitténs bedömning att det uttryckligen bör framgå när Säkerhetspolisen avses. Säkerhetspolisens verksamhet delas in i fem huvudområden. Kontraspionageverksamheten har till uppgift att förebygga och avslöja spioneri, olovlig underrättelseverksamhet och andra brott mot rikets yttre säkerhet. Inom kontraterrorverksamheten har Säkerhetspolisen till uppgift att förebygga och avslöja terrorism som riktas mot eller utländska intressen här i landet eller terroristhandlingar i andra länder. Den författningsskyddande verksamheten syftar till att förebygga och avslöja brott mot rikets inre säkerhet, dvs. olaglig verksamhet som syftar till att med våld, hot eller tvång ändra vårt statsskick, förmå beslutande politiska organ eller myndigheter att fatta beslut i en viss riktning eller att hindra enskilda medborgare från att utöva sina grundlagsskyddade rättigheter. Hos Säkerhetspolisen bedrivs även personskyddsverksamhet i form av bevaknings- och säkerhetsarbete avseende den centrala statsledningen. Säkerhetspolisen bedriver slutligen säkerhetsskyddsverksamhet. Med säkerhetsskydd avses bland annat skydd mot brott som kan hota rikets säkerhet och skydd mot terrorism. Säkerhetspolisen ger råd till myndigheter och företag och kontrollerar att de följer de regler om säkerhetsskydd som finns och att deras skydd är tillräckligt utifrån den verksamhet de bedriver. I Säkerhetspolisens arbete ingår att genomföra registerkontroll av personer efter framställan från berörda myndigheter. I förarbetena till polisdatalagen anges att särdragen i Säkerhetspolisens verksamhet motiverar att vissa bestämmelser utformas på ett sätt som är anpassat till den verksamheten (prop. 2009/10:85 s. 250 f.). Säkerhetspolisens behandling av personuppgifter i den brottsbekämpande verksamheten regleras därför särskilt i 5 kap. polisdatalagen. All Säkerhetspolisens verksamhet anses i någon mening vara brottsbekämpande. Samtliga områden där Säkerhetspolisen bedriver verksamhet räknas därför upp i 1 § som reglerar för vilka ändamål personuppgifter får behandlas. Med hänsyn till att Säkerhetspolisens personuppgiftsbehandling i samband med införandet av den nu gällande polisdatalagen var föremål för en grundlig översyn, finns det inget behov av att se över den materiella regleringen. Av tydlighetsskäl bör det dock, liksom beträffande SKL, av lagens första kapitel framgå i vilken utsträckning lagen är tillämplig i Säkerhetspolisens verksamhet. Trots att Säkerhetspolisen är en del av är Säkerhetspolisen enligt 5 kap. 5 § polisdatalagen personuppgiftsansvarig för den behandling av personuppgifter som Säkerhetspolisen utför. Nå- gon ändring av personuppgiftsansvaret behövs därför inte när Säkerhetspolisen blir en fristående myndighet. Andra myndigheters tillgång till Säkerhetspolisens uppgifter I förarbetena till polisdatalagen konstateras att behovet av informationsutbyte mellan Säkerhetspolisen å ena sidan och andra enheter inom polisväsendet och andra brottsbekämpande myndigheter å den andra inte är lika framträdande som behovet av informationsutbyte mellan dessa myndigheter. Detta beror på att den information som Säkerhetspolisen behandlar ofta är av den arten att den varken kan eller bör vidarebefordras. Det konstateras dock att Säkerhetspolisen i vissa situationer kan behöva vidarebefordra information som den har samlat in, exempelvis för att kunna förhindra allvarliga brott som ligger utanför Säkerhetspolisens behörighet (prop. 2009/10:85 s. 260). I 5 kap. 2 § polisdatalagen anges därför för vilka sekundära ändamål som uppgifter får behandlas i Säkerhetspolisens verksamhet. Där framgår vilka myndigheter som kan få information från Säkerhetspolisen.