sou · H3B331 · 2015-03-30 00:00:00 — Om medborgarna upplever att myndigheterna inte har förmåga eller tillräckliga medel för att hantera hot mot samhället och enskilda kan även detta leda till minskat förtroende. Enligt 2 kap. 20 § RF får det integritetsskydd som följer av rege- ringsformen endast begränsas genom lag. En begränsning får göras endast för att tillgodose ett ändamål som är godtagbart i ett demo- kratiskt samhälle. En begränsning får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar (2 kap. 21 § RF). En begränsning måste alltså vara proportionerlig. På liknande sätt får rättigheter enligt artikel 8 i Europakon- ventionen inskränkas endast genom lag. Kravet på lagstöd är inte endast formellt. Det krävs även att den rättighetsbegränsande lagen uppfyller rimliga anspråk på rättssäkerhet och skydd mot godtycke. Den måste vara tillgänglig för allmänheten, och den måste vara utformad med tillräcklig precision, så att inskränkningarna i den grundläggande konventionsrättigheten kan i rimlig utsträckning förut- ses. En nationell lag som ger de rättstillämpande organen ett tolk- ningsutrymme och en rätt till skönsmässig prövning är emellertid inte i och för sig oförenlig med kravet på förutsebarhet, under förut- sättning att gränserna för den skönsmässiga bedömningen är tillräck- ligt klara för att ge individen skydd mot godtyckliga ingrepp.3 När det gäller dolda spaningsåtgärder innebär kravet på förutse- barhet visserligen inte att en person bör kunna veta på förhand t.ex. när myndigheterna sannolikt avlyssnar dennes samtal, så att han eller hon kan anpassa sitt beteende därefter. Lagstiftningen om sådana åtgärder måste däremot vara så tydlig att den ger medborgarna en tillräcklig indikation om vilka omständigheter som krävs för att myndigheterna ska få använda sig av åtgärderna. har utarbetat en minimistandard som ställer följande krav på lag- stiftning om dolda spaningsåtgärder (se t.ex. dom i målet Uzun mot , p. 61 med hänvisningar): •Arten av de brott som skulle kunna leda till en begäran om av- lyssning måste framgå. •Det ska finnas en definition av de personkategorier som skulle kunna riskera att t.ex. få sin telefon avlyssnad. •Avlyssningens varaktighet ska vara begränsad. •Det måste finnas förfaranderegler för undersökning, användning och lagring av de uppgifter som inhämtas. •Försiktighetsåtgärder vid överföring av information till andra parter ska vidtas. 3 , a.a. s. 351. •De omständigheter under vilka inspelningarna kan eller måste raderas ska anges. Det kan dock konstateras att den grad av förutsebarhet som krävs varierar beroende på vilken typ av spaningsåtgärd som lagstiftning- en avser och hur ingripande åtgärden är. I det ovan nämnda målet Uzun mot , vilket rörde övervakning via GPS av för- flyttningar på offentliga platser, uttalade domstolen att de relativt strikta krav som minimistandarden ställer har utarbetats i mål om telefonavlyssning. Domstolen fann att dessa krav inte var tillämp- liga i målet eftersom övervakning av en persons rörelser med hjälp av GPS-utrustning, i jämförelse med telefonavlyssning, utgjorde ett mindre intrång i dennes privatliv. En rimlig slutsats är att verk- samhet och åtgärder som utgör större intrång i privatlivet borde tillhandahållas med tydligare bemyndiganden och bli föremål för fler restriktioner än verksamhet som utgör mindre sådana intrång. har också slagit fast att nationell lagstiftning om dolda spaningsåtgärder måste innehålla kontrollmekanismer för att skydda mot missbruk av den prövningsrätt som finns. Vad som krävs i det avseendet beror på omständigheter som åtgärdernas karaktär, räckvidd och varaktighet, vilka motiv som krävs för att besluta, utföra och övervaka dem samt vilken typ av rättsmedel som finns i den nationella lagstiftningen. Beträffande telefonavlyss- ning har ansett att beslutet normalt sett ska kontrolleras av domstol, åtminstone i sista instans.4 Den nationella lagstiftningen måste också, såvitt avser telefonavlyssning, innehålla tillfredsställande mekanismer för att övervaka vad som sker med överskottsinformation. När det gäller mindre ingripande åtgärder ställer konventionen däremot lägre krav. Som ett exempel på detta kan nämnas dom i målet I målet uttalade domstolen att vad som krävs i fråga om skyddsåtgärder beror, åtminstone i viss utsträckning, på det aktuella intrångets natur och omfattning. Dom- stolen fann att de brittiska reglerna om telefonövervakning innehöll tillräckliga garantier mot missbruk, trots att det saknades lagregler 4 Frågan om det är förenligt med att beslut om vissa former av avlyss- ning kan fattas av ett annat organ än domstol är f.n. föremål för prövning i målen och mot (37138/14) och Roman mot (47143/06) (i motsats till interna riktlinjer för polisen) om lagring och för- störande av den information som samlades in. Det kan sägas att domstolen i det aktuella målet satte en låg standard för ”med stöd av lag” eftersom det inte fanns något ut- tryckligt bemyndigande för hemlig övervakning av elektronisk kom- munikation i det brittiska systemet. Uppfattningen har också fram- förts att det är mycket sannolikt att kommer att kräva någon form av system för efterföljande kontroll av hemlig övervakning av elektronisk kommunikation om och när den konfronteras med denna fråga igen.5 En inskränkning i rättigheter som skyddas av artikel 8 får vidare göras endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets eko- nomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Av praxis följer att en inskränkning måste kunna motiveras av ett angeläget samhälleligt behov och den måste stå i rimlig proportion till det syfte som ska tillgodoses genom inskränkningen. Konventionsstaterna har visst utrymme – of appreciation – att själva avgöra om en inskränkning är nödvändig. förbehåller sig dock rätten att övervaka om staternas avvägningar uppfyller konventionens krav på proportiona- litet. Domstolens kontroll i detta avseende varierar beroende bl.a. på vilka ändamål som utgör grund för inskränkningen och är typiskt sett något mindre strikt när en stats vitala intressen motiverar en inskränkning eller när det saknas en enhetlig europeisk rättsupp- fattning om hur en fråga ska bedömas.6 När det gäller unionsrätten följer av artikel 52.1 i rättighets- stadgan att varje begränsning i utövandet av de fri- och rättigheter som erkänns i stadgan måste vara föreskriven i lag och vara förenlig med det väsentliga innehållet i dessa fri- och rättigheter. Begräns- ningar får, med beaktande av proportionalitetsprincipen, göras endast om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. Enligt fasta praxis kräver proportionalitetsprincipen att unionsinstitutionernas 5Se , Expertrapport åt , SOU 2010:103 s. 547 f. 6Danelius, a.a. s. 351. åtgärder, för att vara godtagbara, för det första måste vara ägnade att uppnå de legitima mål som eftersträvas. För det andra får åt- gärderna inte gå utöver vad som är lämpligt och nödvändigt för att uppnå de eftersträvade målen. Utrymmet för unionslagstiftaren att bedöma om proportionalitetsprincipens krav är uppfyllda kan be- gränsas på grund av omständigheter som t.ex. vilken rättighet som begränsas, hur omfattande och allvarlig ingreppet är, vilket syfte ingreppet har etc.7 Ju mer långtgående ett ingrepp är, desto mer strikt blir kontroll av att proportionalitetsprin- cipens krav följs. Bestämmelser om skydd av personuppgifter finns i unionsrättens primärrätt och sekundärrätt. I artikel 8.1 i rättighetsstadgan slås fast att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Enligt artikel 8.2 i stadgan ska personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har vidare rätt att få tillgång till insamlade upp- gifter som rör honom eller henne och att få rättelse av dem. Av artikel 8.3 i stadgan följer att en oberoende myndighet ska kon- trollera att dessa regler efterlevs. Begränsningar i rätten till skydd av personuppgifter får – i likhet med vad som gäller för andra fri- och rättigheter enligt stadgan – göras på de grunder som anges i artikel 52 (se föregående avsnitt). Rätten till skydd för enskilda personer med avseende på behand- lingen av personuppgifter kommer till uttryck även i artikel 16 i fördraget om Europeiska unionens funktionssätt (FEUF) där den rättsliga grunden för lagstiftningsåtgärder inom unionsrättens tillämp- ningsområde slås fast. I artikel 16.2 FEUF anges att oberoende myn- digheter ska kontrollera att de bestämmelser som och rådet antar följs. En särskild rättslig grund för lagstiftning på området för den gemensamma utrikes- och säkerhetspolitiken finns i 7 Jfr resonemang i S. och Marper mot . artikel 39 FEUF. Även där slås fast att oberoende myndigheter ska kontrollera att bestämmelserna följs. En allmän reglering om skydd av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet). Det är ett fullharmoniseringsdirektiv som har an- tagits med stöd av fördragens bestämmelser om inre marknadens upp- rättande och funktion. Direktivet omfattar inte juridiska personer utan gäller bara i fråga om uppgifter som direkt eller indirekt kan hänföras till fysiska personer. Dataskyddsdirektivet syftar dels till att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, dels till att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna (artikel 1). I direktivet regleras ett antal allmänna principer om uppgifternas kvalitet och godtagbara grunder för behandling av personuppgifter i allmänhet och vissa särskilda uppgiftsslag i synnerhet (artiklarna 6– 8). Vidare finns i direktivet bestämmelser om enskildas rätt till infor- mation och tillgång till uppgifter för att kunna ta till vara sin rätt (artiklarna 10–12), om rätt att motsätta sig behandlingen (artikel 14) och om krav på en nationell reglering rörande skadestånd och sank- tioner vid överträdelser av de nationella genomförandebestämmel- serna (artiklarna 23 och 24). Räckvidden av principerna om upp- giftsskydd och de rättigheter som slås fast för enskilda får enligt direktivet begränsas genom undantag i nationell rätt. Begränsningar får göras bl.a. om det är nödvändigt med hänsyn till statens säkerhet, allmän säkerhet eller förebyggande, undersökning, avslöjande av brott eller åtal för brott (artikel 13). När det gäller kraven på säkerhet vid behandlingen av person- uppgifter följer av direktivet att registeransvariga ska genomföra lämp- liga tekniska och organisatoriska åtgärder för att skydda person- uppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dessa åtgärder ska åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas (artikel 17.1). Åtgärderna ska väljas med beaktande av såväl de tekniska möjligheter som finns för att åstadkomma en lämplig säkerhetsnivå som de kostnader som är förenade med att genomföra åtgärderna. Om den registeransvarige anlitar en register- förare – någon som utför behandlingen för den registeransvariges räkning – förutsätts att registerföraren kan ge tillräckliga garantier för att nödvändiga organisatoriska och tekniska säkerhetsåtgärder inrättas och följs (artikel 17.2). Några möjligheter att i nationell rätt göra undantag från dessa krav finns inte. Regleringen i dataskyddsdirektivet begränsar förutsättningarna för överföring av personuppgifter till tredje land, dvs. till en stat som varken ingår i EU eller är ansluten till EES. Sådan överföring av personuppgifter är som regel tillåten bara om tredje landet, med beaktande av bl.a. uppgifternas art, behandlingens ändamål och varaktighet och de rättsregler och regler för yrkesverksamhet och säkerhet som gäller i det landet, kan anses säkerställa en adekvat skyddsnivå för uppgifterna (artikel 25). Det finns dock ett visst utrymme för avsteg från kravet på adekvat skyddsnivå i över- föringslandets lagstiftning, bl.a. om den registeransvarige ställer tillräckliga garantier för att enskilda personers grundläggande fri- och rättigheter skyddas och för utövningen av motsvarande rättig- heter. Sådana garantier kan framgå t.ex. av lämpliga klausuler i bindande avtal (artikel 26). De kan också skapas genom bindande företagsinterna regler inom en koncern. Den registeransvarige bestämmer normalt själv för vilka ändamål personuppgifter ska få behandlas. Om den registeransvarige avtalar med någon annan att t.ex. lagra uppgifter för den registeransvariges räkning, får uppdragstagaren som utgångspunkt behandla uppgifter- na – t.ex. lämna ut dessa – endast i enlighet med instruktion från den registeransvarige. Biträdet är dock skyldig att också utföra annan behandling, om detta följer av en förpliktelse enligt lag (artikel 16). Varje medlemsstat ska enligt artikel 28.1 i dataskyddsdirektivet utse en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som med- lemsstaterna antar till följd av direktivet. Dessa myndigheter ska fullständigt oberoende utöva de uppgifter som åläggs dem. Dataskyddsdirektivet har genomförts i svensk rätt genom framför allt personuppgiftslagen (1998:204). Lagen är i första hand tillämp- lig på personuppgiftsansvariga (registeransvariga) som är etablerade i (4 §). Det innebär att lagen tillämpas på sådana fysiska eller juridiska personer som ensamma eller tillsammans med andra bestäm- mer ändamålen med och medlen för behandlingen av personupp- gifter och som har en effektiv och faktisk verksamhet med en stabil struktur i (se skäl 19 i ingressen till direktivet). Lagen, som i huvudsak följer direktivets text och disposition, omfattar all automatiserad behandling av personuppgifter och behandling av personregister. Rent privat användning av personuppgifter är dock undantagen. Det görs även undantag med hänsyn till offentlighetsprincipen och tryck- och yttrandefriheten. Särregler i annan lagstiftning tar över bestämmelserna i personupp- giftslagen. Lagen innehåller bestämmelser om när behandling av person- uppgifter är tillåten och när sådana uppgifter får föras över till en stat utanför EES (se vidare nedan avsnitt 3.2.5). För behandling av känsliga personuppgifter gäller särskilt stränga regler. Även vissa grundläggande krav på den som behandlar personuppgifter regleras, t.ex. att personuppgifter som samlats in för ett ändamål inte får be- handlas för något annat oförenligt ändamål. Det finns i lagen vidare bestämmelser om information till de registrerade, om korrigering av personuppgifter och om säkerheten vid behandlingen. Den en- skilde har, i fråga om s.k. automatiserade beslut, rätt att på begäran få omprövning av beslutet och information om den automati- serade behandling som ligger bakom det. Automatiserad behandling av personuppgifter måste i princip anmälas till en tillsynsmyndig- het, men omfattande undantag från denna anmälningsskyldighet medges, t.ex. när den ansvarige för behandlingen har tillsatt ett s.k. personuppgiftsombud med uppgift att självständigt kontrollera den ansvariges behandling. Den som bryter mot lagen kan drabbas av ingripanden från tillsynsmyndigheten, t.ex. ett vitesföreläggande, eller skadestånd och straff. Lagen innehåller också bestämmelser om säkerhet vid behandlingen. Av 2 § personuppgiftsförordningen (1998:1191) framgår att Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen. Det uppdraget utövas på ett sätt som är oberoende i förhållande till andra myndigheter. Att varken någon annan myndighet eller riks- dagen får bestämma hur inspektionen ska besluta i ett särskilt fall som rör myndighetsutövning mot någon enskild eller mot en kom- mun eller som rör tillämpningen av lag följer av 12 kap. 2 § RF. Polisdatalagen (2010:361) gäller vid behandling av personuppgifter i brottsbekämpande verksamhet vid bl.a. och i polisiära verksamhet. Lagen gäller i stället för personuppgiftslagen, men hänvisar till ett antal bestämmelser i personuppgiftslagen som alltså gäller vid behandling av person- uppgifter i polisens brottsbekämpande verksamhet. Till exempel gäller, enligt 2 kap. 2 § polisdatalagen, personuppgiftslagens bestäm- melser om information till den registrerade, om rättelse, om säker- het vid behandlingen, om skadestånd vid felaktig behandling och om överklagande. För den personuppgiftsbehandling som inte avser brottsbekämpande verksamhet, exempelvis tillståndsgivning eller mer renodlad övervakning och ordningshållande verksamhet, gäller per- sonuppgiftslagen. är enligt 2 kap. 4 § polisdata- lagen personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför och den behandling som utförs i polisiär verksamhet vid . I polisdatalagen anges för vilka ändamål personuppgifter får be- handlas i polisens brottsbekämpande verksamhet. Ändamålen delas in i primära och sekundära, där de primära avser behandling av per- sonuppgifter för att tillgodose de behov som finns inom polisens brottsbekämpande verksamhet och de sekundära anger när person- uppgifter, som får behandlas i polisens brottsbekämpande verksamhet, får användas i andra delar av polisens verksamhet eller lämnas ut till andra myndigheter eller organisationer för dessas behov. De primära ändamålen är uttömmande angivna i 2 kap. 7 § polisdatalagen. Person- uppgifter får enligt den bestämmelsen behandlas om de behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av inter- nationella åtaganden. De sekundära ändamålen regleras i 2 kap. 8 § polisdatalagen. Enligt den bestämmelsen får personuppgifter behandlas om det är nödvändigt för att tillhandahålla information som behövs i brotts- bekämpande verksamhet hos , Ekobrottsmyndig- heten, , , och , eller hos utländsk myndighet eller mellanfolklig orga- nisation. Personuppgifter får vidare behandlas om det är nödvändigt för att tillhandahålla information som behövs i polisens handräck- ningsverksamhet eller, om det finns särskilda skäl, att tillhandahålla information i annan verksamhet som polisen ansvarar för. Person- uppgifter får även behandlas om det är nödvändigt för att tillhanda- hålla information som behövs i verksamhet hos för att förebygga brott och upprätthålla säkerheten, eller i en myndig- hets verksamhet i övrigt, om polisen är skyldig att bistå myndig- heten med viss uppgift, eller informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott. Uppgifter som behandlas för ett primärt ändamål får även behandlas om det är nödvändigt för att lämna information till och regeringen samt, i den utsträckning det finns en uppgiftsskyldighet i lag eller förordning, till andra. I ett enskilt fall får personuppgifter behandlas genom att lämnas ut även för något annat ändamål, under förut- sättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Uppgifter om en per- son får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexual- liv (2 kap. 10 §). Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter när det är absolut nödvändigt för syftet med behandlingen. Tillgången till personupp- gifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (2 kap. 11 §). För uppgifter som görs eller har gjorts gemensamt tillgängliga i polisens brottsbekämpande verksamhet finns särskilda och mer be- gränsande regler i 3 kap. polisdatalagen. Avgörande för om upp- gifter ska anses gemensamt tillgängliga är hur många personer som har rätt att ta del av dem. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga (3 kap. 1 §). Vid bedömning av om en uppgift har gjorts gemensamt till- gänglig saknar det betydelse hur många personer som rent faktiskt tar del av de aktuella uppgifterna. Säkerhetspolisen, Ekobrottsmyn- digheten, , , och får medges direktåtkomst till personuppgifter i polisens brottsbekämpande verksamhet som gjorts gemensamt tillgängliga. Personuppgifter får inte bevaras än vad som behövs för något eller några av de i lagen angivna ändamålen (2 kap. 12 §). Vidare gäller följande för uppgifter i ärenden om utredning eller beivrande av brott som har gjorts gemensamt tillgängliga. Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre be- handlas i polisens brottsbekämpande verksamhet. Om en brotts- anmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas i polisens brottsbekämpande verksamhet när åtal inte längre får väckas för brottet (3 kap. 10 §). Om en förundersökning har lett till åtal eller annan domstolsprövning, får personuppgifterna i för- undersökningen inte behandlas i polisens brottsbekämpande verk- samhet när det har förflutit efter utgången av det kalenderår då domen, eller det beslut som meddelades med anledning av talan, vann laga kraft. Om en förundersökning har lagts ned eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersök- ningen inte behandlas i polisens brottsbekämpande verksamhet när det har förflutit efter utgången av det kalenderår då åklaga- rens eller förundersökningsledarens beslut meddelades (3 kap. 11 §). Uppgifter som inte har gjorts gemensamt tillgängliga eller behand- las i särskilda register ska, om de behandlas i ett ärende, normalt gallras senast efter det att ärendet avslutades. Om de inte kan hänföras till ett ärende ska uppgifterna gallras senast efter det att de behandlades automatiserat första gången (2 kap. 13 §). Detta gäller dock inte personuppgifter i ärenden om utredning eller beivran- de av brott. I fråga om uppgifter i sådana ärenden tillämpas i stället arkivlagens (1990:782) bestämmelser om gallring (prop. 2009/10:85 s. 328). I 5 kap. polisdatalagen finns bestämmelser om behandling av per- sonuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Dessa bestämmelser reglerar framför allt ändamålen för Säkerhets- polisens personuppgiftsbehandling, vilka delvis avviker från regle- ringen för den övriga polisen. De primära ändamålen för behand- lingen anges i 5 kap. 1 §. Bestämmelsen innebär att personuppgifter får behandlas i Säkerhetspolisens brottsbekämpande verksamhet, om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet, tryckfrihets- brott och yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv eller vissa former av terroristbrottslighet. De sekundära ändamålen för Säkerhetspolisens behandling reg- leras i 5 kap. 2 §.