frsrdg · H304JO1 · 2015-11-06 00:00:00 — för oprecist, att tillgången till personuppgifterna inte var begränsad till varje tjänstemans behov och att ingen loggning hade förekommit när personuppgif- terna behandlades. JK redovisade följande bedömning av statens skadestånds- skyldighet med anledning av dessa brister: De personuppgifter som polisen behandlar i sin brottsbekämpande verk- samhet med stöd av polisdatalagen är till sin natur av integritetskänslig ka- raktär. Det är därför särskilt viktigt att polisen i alla delar noggrant följer polisdatalagens bestämmelser för hur sådana uppgifter får behandlas. I detta fall har tre generella brister konstaterats. Dessa är sammantaget så allvarliga att de personer vilkas uppgifter behandlats i registret måste anses ha blivit utsatta för en sådan kränkning av sin personliga integritet att de är berättigade till ersättning av staten enligt 48 § personuppgiftslagen. JK gjorde bedömningen att den som varit föremål för personuppgiftsbehand- ling i uppgiftssamlingen ska vara berättigad till ersättning för kränkning med . I beslutet lämnade JK följande avslutande synpunkter: Jag instämmer i den kritik som [] har riktat mot polismyndigheten i uttalandet . Poli- sens möjlighet att behandla personuppgifter i sin brottsbekämpande verk- samhet är viktig och nödvändig men innebär ett stort ansvar. Det är oacceptabelt att en polismyndighet upprättar ett register och behandlar personuppgifter utan att fullt ut uppfylla de krav som lagen föreskriver. Jag utgår från att samtliga polismyndigheter – om det inte redan har skett – går igenom sina register för att försäkra sig om att behandlingen av personupp- gifter uppfyller de krav som gäller enligt relevanta lagar, förordningar och föreskrifter. Överåklagare betonade i sitt beslut att inte är en tillsynsmyndighet, utan att en allmän åklagares uppgift är att göra straff- rättsliga bedömningar och utreda och lagföra sådana brott där man på objektiv grund kan förvänta sig en fällande dom vid en domstolsprövning. Han uppgav vidare följande: Det är inte åklagarens uppgift att lagföra varje formellt eller annat fel, om- dömesbrist eller andra tillkortakommanden om inte dessa når upp till en brottslig nivå. Hans prövning var därför inriktad på om fel vid personuppgiftsbehandlingen i de båda uppgiftssamlingarna kunde styrkas och om någon kunde hållas straff- rättsligt ansvarig för dessa. I beslutet uppges att det var chefen för länskriminalavdelningen som 2009 beslutade om den särskilda undersökningen, men att chefen för 2011 beslutade att de aktuella personuppgiftsbehandlingarna skulle ske och att en polis vid den enheten sedan byggde upp uppgiftssamlingarna. Enligt kunde chefen för länskriminalavdelningen inte rimligen bära straff- rättsligt ansvar för den personuppgiftsbehandling som beslutats och utförts av medarbetare på den lokala nivån efter att beslutet om den särskilda undersökningen meddelades. I stället delgavs chefen för och den polis som faktiskt skötte uppgiftssamlingarna misstanke om brott. Dessa båda hördes i utredningen. Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N 2 015 /1 6:JO1 Av beslutet framgår att det vid förhör med chefen för och den handläggande polisen hade framkommit att ändamålet och syftet med person- uppgiftssamlingen Konflikt, , romer var att utröna och förebygga allvarlig brottslighet som var kopplad till en konflikt mellan romska släkter i polisområdet och att man genom behandlingen försökt klarlägga släktsamband. Vidare hade det framkommit att ändamålet och syftet med behandlingen i per- sonuppgiftssamlingen Kringresande bl.a. var att utröna och förebygga allvarlig åldrings- och annan angiven brottslighet. Att de båda uppgiftssamlingarna skulle skapas och vilka ändamålen med dem skulle vara dokumenterades dock inte. Chefen för hade uppfattningen att någon dokumentationsskyl- dighet inte förelegat eftersom ändamål hade angetts i beslutet om den särskilda undersökningen. redovisade följande straffrättsliga bedömning i fråga om uppgiftssamlingarnas ändamål och dokumentationen av detta: De uppgivna ändamålen med behandlingarna är i sig inte olagliga. Däremot finns det inte något beslut där ändamålen framgår. Ändamålen framgår inte heller på något sätt, t.ex. genom en särskild upplysning i personuppgifts- samlingarna. De ändamål och syften som anges i beslutet om den särskilda undersökningen uppfyller inte polisdatalagarnas krav. Det är en allvarlig brist då polisdatalagarnas regler syftar till att behandlingen av personupp- gifter ska ske på ett rättssäkert och kontrollerbart sätt. […] chefen för [har] inte uppsåtligen […] underlåtit att upprätta sådana formella be- slut eller upplysningar. Det kan inte styrkas att den oaktsamhet som han visat i detta hänseende når upp till en straffbar nivå då han trott sig tillämpa en tillåten rutin vid myndigheten. Det kan här vara fråga om ett systemfel som inte kan läggas en enskild befattningshavare till last. Framför allt mot bakgrund av de uppgivna ändamålen med behandlingen fann att personuppgifterna i uppgiftssamlingarna inte hade behandlats enbart på grund av etnisk tillhörighet. I beslutet uppges att det kunde tyckas uppseendeväckande att personupp- giftssamlingarna innehöll så många personuppgifter. bedömde dock att det inte gick att styrka att det varit oförenligt med ändamålet med per- sonuppgiftssamlingarna att behandla dessa. Däremot konstaterade han att po- lisdatalagens gallringsbestämmelser inte hade följts. Personuppgiftssamlingen Konflikt, , romer borde ha gallrats i samband med att uppgifterna tillfördes uppgiftssamlingen Kringresande. Det stora antalet personuppgifter, den geografiska spridningen och det faktum att barn och avlidna funnits regi- strerade visade dessutom att det fanns ett större antal personuppgifter i de båda uppgiftssamlingarna som rimligen inte behövdes för ändamålet med dem. Upp- giftssamlingarna borde därför ha gallrats i betydligt större utsträckning än vad polisen uppgett hade gjorts. bedömde dock att det här huvudsak- ligen tycktes ha varit fråga om ett systemfel och att det inte kunde styrkas att någon enskild befattningshavare skulle bära det straffrättsliga ansvaret för detta. I beslutet uppges att det inte har varit möjligt att logga personuppgiftsan- vändningen i uppgiftssamlingarna och att alltför många inom polismyndig- heten har kunnat ta del av innehållet i dessa samlingar. Dessa brister bedömdes dock utgöra systemfel som ingen enskild befattningshavare kunde lastas för. 2 015 /1 6:JO1 Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N I personuppgiftssamlingarna fanns det inte några upplysningar som angav vilka personer det inte fanns någon misstanke mot, vilket föreskrivs i polisda- talagarna. gjorde följande straffrättsliga bedömning beträffande denna brist: Då ett mycket stort antal personer behandlats i personuppgiftssamlingarna, då dessa var uppbyggda på släktsamband samt då underåriga barn och av- lidna personer registrerats måste det för den som tagit del av personupp- giftssamlingarna ha varit uppenbart att långtifrån alla var misstänkta. Med beaktande härav och då avsikten uppgetts vara att upplysningar om vilka personer som inte var misstänkta för brott skulle lämnas vid presentationer samt då ledningen, styrningen och kontrollen av verksamheten vid krimi- nalunderrättelseenheten kan ha brustit är åsidosättandet av vad som gällt för uppgiften i nu aktuellt hänseende att bedöma som ett ringa tjänstefel och gärningen således inte brottslig. Det kan också här vara fråga om ett systemfel som inte ska läggas en enskild befattningshavare till last. redovisade avslutningsvis följande sammanfattande bedömning: Det kan inte styrkas att anställd vid polismyndigheten gjort sig skyldig till brott genom att inte formellt ange ändamålet med behandlingen av person- uppgifter på det sätt som bort ske. Det kan heller inte styrkas att det varit oförenligt med ändamålen med personuppgiftssamlingarna att behandla de personuppgifter som ingick i dessa. Det har inte framkommit anledning att anta att personuppgifterna […] utlämnats eller faktiskt spridits till obehö- riga. Det kan inte längre antas att personuppgifterna förts in i personupp- giftssamlingarna enbart på grund av etnisk tillhörighet. Att uppgift inte förts in i personuppgiftssamlingarna om vilka personer i dessa som inte va- rit misstänkta för brott är ett ringa tjänstefel som inte utgör brott. Det kan inte styrkas att någon uppsåtligen eller av oaktsamhet underlåtit att gallra i personuppgiftssamlingarna i den omfattning som bort ske. Det är ett systemfel att loggning av arbetet med personuppgiftssamlingarna inte kun- nat ske. Fördelningen av processägarskap, processledning, övriga lednings- och styrningsförhållanden och inte minst bristande kontroll av kriminalunder- rättelseverksamheten vid polismyndigheten kan ha bidragit till de systemfel vid polismyndigheten som konstaterats under förundersökningen. En en- skild befattningshavare vid i kan inte straffrätts- ligt hållas ansvarig för detta. Förundersökningen lades därför ned. Min utredning har, som tidigare nämnts, varit inriktad på ansvaret för de brister i uppgiftssamlingarna Konflikt, , romer och Kringresande som har konstaterats av och åklagare. Dåva- rande i har anmodats att yttra sig över ett antal frågor som gäller detta. i (länspolismästaren ) har yttrat sig och gett in dokumentation avseende den särskilda undersökningen Länsöver- gripande brottslighet. Vid min granskning har jag också haft tillgång till de yttranden som polismyndigheten tidigare gav in till Säkerhets- och integritets- skyddsnämnden och till handlingarna i förundersökningen. Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N 2 015 /1 6:JO1 I sitt yttrande lämnade i en redogörelse för kriminal- underrättelsetjänstens organisation. Av denna redogörelse och övrigt tillgäng- ligt material framgår att polismyndighetens kriminalunderrättelsetjänst bestod dels av en central enhet, KUT , dels av lokala kriminalunderrättelsetjäns- ter vid de olika polisområdena, däribland KUT . KUT utgjorde en sektion inom underrättelseenheten vid länskrimi- nalavdelningen. KUT var huvudsakligen inriktad mot organiserad och gränsöverskridande brottslighet, kartläggning av yrkeskriminella och särskilda händelser av större omfattning. KUT hade också bl.a. ett myndighets- övergripande ansvar för arbetsmetoder, arbetsverktyg och utbildning i krimi- nalunderrättelsefrågor. I varje polisområde fanns en lokal kriminalunderrättelsetjänst, däribland KUT vid polisområde mellersta . Den var huvudsakligen inriktad mot mängdbrottslighet och lydde under chefen för polisområdet. I polisområ- det fanns en operativ ledningsgrupp som ansvarade för kriminalunderrättelse- tjänstens arbete (i polismyndighetens yttrande benämnt linjeansvar). Lednings- gruppen beslutade om inriktning, ansvarsfördelning och uppföljning av beslu- tade och genomförda ärenden. Efter beslut i den operativa ledningsgruppen överlämnades ansvaret för genomförandet till den som utsetts att leda insatsen eller projektet. Inriktningen på de lokala kriminalunderrättelsetjänsternas arbete beslutades av länskriminalavdelningens underrättelseenhet (i polismyndighetens yttrande benämnt processledarskap). Detta avsåg bl.a. beslut om uppgiftssamlingar, hur data ska lagras, användning av programvara och utbildning av personal. Läns- kriminalavdelningens underrättelseenhet fördelade också uppdrag av länsöver- gripande karaktär och uppdrag som begärts av kriminal- underrättelsetjänst till de lokala kriminalunderrättelsetjänsterna. Fram hade polisområdena befogenhet att själva besluta om att behandla personuppgifter i en särskild undersökning. Det fanns då ett stort antal lokalt beslutade särskilda undersökningar vars ämnesområden var splitt- rade, som flertalet av dem mer eller mindre överlappade varandra ur ett länsgemensamt perspektiv. påbörjades ett arbete med att revidera de särskilda undersökningarna och skapa en ny, länsövergri- pande, beslutsordning. Genom den nya ordningen ändrades delegationsreg- lerna, och behörigheten att fatta beslut om att behandla personuppgifter i en särskild undersökning flyttades från polisområdeschefen till chefen för länskri- minalavdelningen. Ett av de länsövergripande beslut om att behandla person- uppgifter i en särskild undersökning som då fattades var det som avsåg den här aktuella särskilda undersökningen Länsövergripande brottslighet. Chefen för länskriminalavdelningen fick senare befogenheten att besluta om behandling av personuppgifter i en särskild – gemensamt tillgänglig – uppgiftssamling en- ligt bestämmelserna i den nya polisdatalagen. 2 015 /1 6:JO1 Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N Ansvaret för den särskilda undersökningen och uppgiftssamlingarna I sitt yttrande har i uppgett att chefen för länskrimi- nalavdelningen har haft det övergripande ansvaret för personuppgiftsbehand- lingen i den särskilda undersökningen Länsövergripande brottslighet och i den senare gemensamt tillgängliga uppgiftssamlingen. Chefen för länskriminalav- delningen har svarat för lagligheten i och utformningen av besluten om att in- leda den särskilda undersökningen och att behandla personuppgifter i en ge- mensamt tillgänglig uppgiftssamling. Denne har också svarat för de övergri- pande konsekvenser som besluten kunde få för behandlingen av personuppgif- ter i verksamheten. Chefen för länskriminalavdelningen är och har alltså varit ansvarig för be- slutet att starta [den särskilda undersökningen] och [den gemensamt till- gängliga uppgiftssamlingen] ”Länsövergripande brottslighet”, för att syftet med [dessa] är korrekt beskrivet utifrån behovet av behandlingen av per- sonuppgifter samt för att omfattningen av personuppgifter i [dem] avgrän- sas genom att ange ändamålet i beslutet i enlighet med gällande integritets- skyddande lagstiftning för personuppgifter. Enligt polismyndighetens yttrande har de som har haft behörighet att arbeta i en särskild undersökning eller en gemensamt tillgänglig uppgiftssamling också haft behörighet att besluta om att inom ramen för dessa bygga upp uppgifts- samlingar. I beslutet om att behandla personuppgifter i den särskilda undersök- ningen och den gemensamt tillgängliga uppgiftssamlingen uppges bl.a. att be- hörighet till databasen ges till behörig personal inom kriminalunderrättelse- tjänsten vid länskriminalavdelningen eller polisområdena. Enligt polismyndig- heten skapades uppgiftssamlingarna Konflikt, , romer och Kring- resande av en polisman som hade behörighet att arbeta i den särskilda under- sökningen Länsövergripande brottslighet, och han informerade chefen för om att uppgiftssamlingarna byggdes upp. Enligt polismyndigheten får därmed chefen för anses som behörig beslutsfattare för båda uppgiftssamlingarna, och det är också han som har fattat besluten om att bygga upp dem. Dessa beslut har dock inte dokumenterats av chefen för , vilket enligt polismyndigheten borde ha skett. Enligt yttrandet har chefen för länskriminalavdelningen, som haft det övergripande ansvaret för den särskilda undersökningen, ”på sedvanligt sätt […] inte informerats i frågan.” har uppgett att ansvaret för att integritetsskyddsbestäm- melserna följdes vid hanteringen av uppgiftssamlingar vilade på de handläg- gare som hade behörighet att arbeta i dem och chefen för kriminalunderrättel- setjänsten i respektive polisområde. Detta innefattar bl.a. ett ansvar för att upp- giftssamlingarna gallras, att personuppgiftsbehandlingen loggas och att det anges om en registrerad person inte är misstänkt. Chefen för kriminalunderrät- telsetjänsten i respektive polisområde ansvarade för att detta arbete följdes upp. Ansvaret för att integritetsskyddsbestämmelserna följts vid hanteringen av upp- giftssamlingarna Konflikt, , romer och Kringresande har alltså en- ligt polismyndigheten vilat på den polis som skapade och hanterade dem och chefen för . Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N 2 015 /1 6:JO1 I beslutet om den särskilda undersökningen uppges att all användaraktivitet loggas. Vidare anges att integritetsskyddet säkerställs genom en särskilt före- skriven gallringsrutin (Rutin för gallring av särskilda undersökningar). Av denna framgår följande. Personuppgifterna ska behandlas i en viss angiven da- tabasmiljö (SURFA/ i2 iBase 4). Enbart personer vid kriminalunderrättelse- tjänsten som genomgått viss utbildning och som arbetar med den särskilda undersökningen har tillträde till undersökningens databas. Huvudansvaret för informationen i den särskilda undersökningen vilar på chefen för länskrimi- nalavdelningen, medan de enskilda användarna ansvarar för den information som de tillför databasen. För att administrera användare, behörighetsnivåer och gallring finns en administratörsgrupp. All användning av databaserna i den sär- skilda undersökningen ska loggas. Det ska framgå vilka personer som inte misstänks för brott. Detta ska ske genom att det på ett visst angivet sätt marke- ras vilka som misstänks för brott. Gallring av uppgifter om en registrerad per- son ska prövas minst en gång var tolfte månad. Detta ska ske dels genom att de som arbetar i den särskilda undersökningen fortlöpande prövar om personupp- gifter ska gallras, dels genom en delvis automatiserad rutin som innebär att personuppgifter som inte skapats eller uppdaterats under de senaste tolv måna- derna ska gallras. I beslutet om att behandla personuppgifter i en särskild – gemensamt till- gänglig – uppgiftssamling hänvisas vad gäller integritetsskyddet i stället till ett dokument benämnt Rutiner för gemensamma uppgifter på X-servern. I detta dokument uppges att det inte behövs någon särskild uppgift om ändamålet med behandlingen om detta framgår på annat sätt. Anledningen till att en uppgift behandlas framgår enligt dokumentet för den enskilde tjänstemannen dels ge- nom att denne kan se var i mappstrukturen uppgiften lagras, bearbetas och ana- lyseras, dels utifrån den specifika arbetsuppgift tjänstemannen tilldelats för att behandla personuppgiften. Vidare uppges att det i majoriteten av datafilerna på nätverksenhet X framgår av omständigheterna vilka personer som inte är miss- tänkta för brott. I dessa fall behövs därför inte någon särskild upplysning om detta. För de fall det inte framgår vilka som inte misstänks för brott anges hur man ska markera detta. I dokumentet anges vidare en delvis automatiserad gall- ringsrutin för uppgifter som enligt tidsfristerna i polisdatalagen måste gallras. Någon rutin för den löpande gallringen av uppgifter som inte längre behövs utifrån det angivna ändamålet med behandlingen anges däremot inte. har uppgett att rutinerna för loggning, gallring och mar- kering av de som inte är misstänkta, förutsatte att arbetet skedde i en viss data- basmiljö. Den tekniska lösningen gick dock inte att tillämpa i bl.a. polisområde mellersta . Det har därför delvis saknats automatiserade möjligheter för detta arbete. Enligt polismyndigheten kan därför enskilda handläggare inte helt lastas för brister vad gäller gallring av personuppgifter och loggning av behand- lingen i uppgiftssamlingarna Konflikt, , romer och Kringresande. Enligt polismyndighetens yttrande har de tekniska problemen behandlats vid polismyndighetens it-råd, och man har även påtalat för att man har tekniska problem som man inte själva kunnat lösa. i uppgav avslutningsvis följande: 2 015 /1 6:JO1 Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N Sammanfattningsvis kan polismyndigheten konstatera att ansvaret för upp- giftssamlingarna Konflikt, , romer och Kringresande i enlighet med den organisation som polismyndigheten valt att använda sig av, åvilar en rad olika befattningshavare. I ett beslut anförde JO Renfors följande. Min granskning har varit inriktad på ansvaret för personuppgiftsbehandlingen i uppgiftssamlingarna Konflikt, , romer och Kringresande vid då- varande i . Personuppgiftsbehandlingen i dessa upp- giftssamlingar har varit föremål för prövning av Säkerhets- och integritets- skyddsnämnden och av överåklagare . Vid båda granskningarna har allvarliga brister konstaterats. Min bedömning utgår från de brister vid per- sonuppgiftsbehandlingen som och åklagaren har funnit. I det följande sammanfattas dessa brister. Därefter beskrivs sammanfatt- ningsvis ansvarsfördelningen inom polismyndigheten enligt myndighetens ytt- rande till JO och de uppgifter som funnits tillgängliga i ärendet. Efter det redo- visar jag min bedömning av ansvaret för besluten om att bygga upp uppgifts- samlingarna och ansvaret för att integritetsskyddsbestämmelserna följs vid hanteringen av dem. Sist görs en avslutande bedömning av det inträffade. Innan jag går in på dessa frågor vill jag dock säga något om personuppgiftsbehand- lingen i polisens kriminalunderrättelseverksamhet och betydelsen av ett starkt och fungerande integritetsskydd. Polisens brottsbekämpande verksamhet förutsätter att uppgifter av skiftande slag kan behandlas. Polisen har därför getts omfattande möjligheter att be- handla personuppgifter. Dessa är inte sällan integritetskänsliga, och för poli- sens personuppgiftsbehandling i den brottsbekämpande verksamheten gäller särskilda bestämmelser som ska skydda mot otillbörliga ingrepp i de registre- rades personliga integritet. Polisens kriminalunderrättelseverksamhet är sär- skilt integritetskänslig. I denna verksamhet behandlar polisen personuppgifter i situationer där man med olika grad av styrka misstänker att brottslig verksam- het pågår eller planeras, men utan att det finns några konkreta brottsmisstankar. Vid sådana förhållanden är det oundvikligt att närgångna uppgifter om personer som senare visar sig sakna all koppling till brottslig verksamhet ibland kommer att behandlas. Uppgifter om personer som inte själva misstänks för brottslig verksamhet behöver också behandlas. Polisdatalagens integri- tetsskyddsbestämmelser fyller därför en viktig funktion och är en förutsättning för polisens omfattande rätt att behandla personuppgifter. Vid personuppgiftsbehandlingen i polisens kriminalunderrättelseverksam- het saknar de registrerade så gott som alltid möjlighet att själva ta till vara sina intressen, eftersom de oftast inte känner till behandlingen och inte heller kan få kännedom om den i efterhand. Integritetsskyddet förutsätter därför en fungerande kontroll från tillsynsmyndigheterna och det är mycket Å K L A G A R - , P O L I S - O C H T U L L Ä R E N D E N 2 015 /1 6:JO1 viktigt att dessa har goda förutsättningar för sitt arbete. Bestämmelser om doku- mentation har i det sammanhanget en avgörande funktion. De tidigare granskningarna har visat att polisens behandling av personuppgifter i de aktuella uppgiftssamlingarna på flera punkter skett i strid med såväl den nya som den gamla polisdatalagens bestämmelser. Det ändamål för behand- lingen som angavs i beslutet om att behandla personuppgifter i den särskilda undersökningen Länsövergripande brottslighet var alltför generellt formulerat för att uppfylla lagens krav. Samma brist har funnits i det senare beslutet om att behandla personuppgifter i en särskild – gemensamt tillgänglig – uppgifts- samling. har funnit att det även med detta alltför generellt formulerade ändamål saknades behov av att behandla ett stort antal av personuppgifterna i uppgiftssamlingarna Konflikt, , romer och Kringresande. Överåklagare ansåg att det inte gick att styrka att uppgifter behandlades i strid med det ändamål som beskrivits av de hörda poliserna. På grund av att uppgiftssamlingarna inte gallrades kom de dock att innehålla ett stort antal personuppgifter som det saknades behov av att behandla. Granskningarna visade också att den krets som hade tillgång till per- sonuppgifterna var alltför stor, att det inte skett någon loggning av personupp- giftsbehandlingen, att gallringen av personuppgifter varit otillräcklig och att det inte funnits några särskilda upplysningar om vilka som inte var misstänkta för brott. Ansvarsfördelning enligt uppgifter från polismyndigheten