sou · H3B357 · 2015-06-11 00:00:00 — Kommittén föreslår således att tillsynsmyndigheten inte ska ha rätt att få tillträde till eller att undersöka en intagens bostadsrum eller tillhörigheter eller andra slutna förvaringsställen som en intagen disponerar, utan hans eller hennes medgivande. 15.6.4Ingen rätt att omhänderta handlingar eller föremål Den föreslagna tillträdes- och undersökningsrätten innefattar en rätt att på plats granska och avbilda föremål, t.ex. genom att fotografera eller kopiera. Om det finns en risk för att objektsansvarig förstör viktiga handlingar eller föremål bör enligt tillsynsskrivelsen tillsyns- organet även kunna besluta att handlingar eller föremål ska omhändertas. Ett sådant beslut ska sedan upphävas så snart säkerhetsåtgärden inte längre behövs.79 Tillsynen ska i detta fall endast avse verksamhet som bedrivs av statliga myndigheter. Det finns inte anledning att anta att myndig- heterna skulle förstöra handlingar eller föremål för att dölja regel- överträdelser. Det kan dock finnas en risk för att enskilda befatt- ningshavare gör så, i de fall han eller hon har gjort sig skyldig till en straffbar gärning. Om tillsynsmyndigheten i sin tillsynsverksamhet finner anledning att anta att brott har begåtts ska den anmäla det till eller annan behörig myndighet (avsnitt 10.11 och 11.11). Om det finns behov av att omhänderta handlingar eller föremål bör det således vara en fråga för de brottsutredande myndig- heterna. Det finns därför inte skäl att ge tillsynsmyndigheten rätt att omhänderta handlingar eller föremål. 7826 d § lag (1993:387) om stöd och service till vissa funktionshindrade. 2009/10:79. En tydlig, rättssäker och effektiv tillsyn, s. 51. Informationsinhämtning, personuppgiftsbehandling och sekretess 15.7Skyldighet att lämna biträde Kommitténs förslag: De förvaltningsmyndigheter som omfattas av tillsynen ska lämna tillsynsmyndigheten det biträde den begär för sin tillsyn. I betänkandet Tillsyn över polisen föreslog kommittén att de förvaltningsmyndigheter som omfattades av tillsynen skulle vara skyldiga att ge det biträde som tillsynsmyndigheten begärde.80 En reglerad skyldighet att lämna tillsynsorganet biträde är vanligt förekommande. har rätt att av förvaltningsmyndigheter som omfattas av tillsynen få det biträde som nämnden begär.81 Den som är föremål för kontroll enligt djur- skyddslagen (1988:534) eller livsmedelslagen (2006:804) ska tillhanda- hålla den hjälp som behövs för att kontrollen ska kunna genomföras.82 Den vars verksamhet eller yrkesutövning inspekteras enligt patient- säkerhetslagen är skyldig att lämna Inspektionen för vård och omsorg den hjälp som behövs vid inspektionen.83 I likhet med vad som föreslogs i betänkandet Tillsyn över polisen ska de förvaltningsmyndigheter som omfattas av tillsynen vara skyldiga att lämna tillsynsmyndigheten biträde. Skyldigheten att lämna biträde bör dock vara kopplad till utövandet av tillsyn, som det inte ska skapas ett utrymme för de granskade myndigheterna att vägra biträde med hänvisning till att man inte anser att det behövs. Med detta i beaktande föreslår kommittén att de förvaltningsmyndig- heter som omfattas av tillsynen ska ha en skyldighet att lämna tillsyns- myndigheten det biträde den begär för sin tillsyn. Sådant biträde kan bestå i att de objektsansvariga myndigheterna gör lokaler, arkiv, diarier, register och andra uppgiftssamlingar tillgängliga för tillsyns- myndigheten. Det kan också bestå i att den myndighet som ska granskas ger biträde inför en föranmäld inspektion, exempelvis genom att se till att tjänstemän med efterfrågade befattningar finns till- gängliga för frågor och att information till intagna sprids inför besöket. Tillsyn över polisen, s. 38. 814 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. 8227 § tredje stycket djurskyddslagen (1988:534) och 21 § livsmedelslagen (2006:804). 837 kap. 21 § patientsäkerhetslagen (2010:659). Informationsinhämtning, personuppgiftsbehandling och sekretess Kommittén vill påpeka att biträde i detta sammanhang inte ska förväxlas med polisens handräckningsärenden, dvs. ärenden då polisen med sina särskilda befogenheter ska bistå andra myndigheter med att exempelvis verkställa ett beslut. Polisens rapporteringsskyldighet bör också omnämnas. En polisman som får kännedom om ett brott som hör under allmänt åtal, ska normalt lämna rapport om det till sin förman så snart det kan ske.84 Om det uppdagas förhållanden som kan utgöra brott under det att en polisman biträder tillsynsmyndigheten kan alltså hans eller hennes rapporteringsskyldighet träda in. Även tillsynsmyndighetens skyldighet att anmäla misstänkta brott kan då bli aktuell. Regleringen föreslås endast gälla för de myndigheter som omfattas av tillsynen. Även andra myndigheter har dock enligt myndighets- förordningen och förvaltningslagen en skyldighet att biträda tillsyns- myndigheten. Enligt 6 § myndighetsförordningen ska alla myndig- heter verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Av 6 § förvaltningslagen följer att varje myndighet ska lämna andra myndigheter hjälp inom ramen för den egna verksamheten. 15.8.1Allmänt om regleringen av personuppgiftsbehandling Den information som ska lämnas över eller på annat sätt spridas till tillsynsmyndigheten kan innehålla personuppgifter. Att lämna ut personuppgifter är i sig en personuppgiftsbehandling av utlämnande myndighet, som måste vara tillåten. Vidare måste tillsynsmyndig- hetens fortsatta behandling av personuppgifterna vara tillåten. går närmare in på dessa frågeställningar bör dock regleringen av personuppgiftsbehandling beskrivas mer generellt. Föreskrifter gällande behandling av personuppgifter finns i bland annat regeringsformen, , personuppgiftslagen och i särskilda registerförfattningar. 84 Se 9 § polislagen (1984:387). Rapporteftergift får lämnas endast om brottet med hänsyn till omständigheterna i det särskilda fallet är obetydligt och det är uppenbart att brottet inte skulle föranleda annan påföljd än böter. Informationsinhämtning, personuppgiftsbehandling och sekretess Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Rättigheten får endast begränsas i lag. Ytterligare en förutsättning för att få begränsa rättigheten är att det sker för att tillgodose ända- mål som är godtagbara i ett demokratiskt samhälle och att begränsningen inte går utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den.85 Enligt artikel 8 i Europa- konventionen har var och en rätt till respekt för sitt privatliv. Denna rättighet får inskränkas av det allmänna endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till vissa närmare angivna ändamål.86 Personuppgiftslagen bygger på ett EG-direktiv och anger förut- sättningar för att behandling av personuppgifter ska få förekomma.87 Lagen omfattar i princip endast behandling av personuppgifter som är helt eller delvis automatiserad, men även behandling kan omfattas under vissa förhållanden.88 Termen personuppgifter avser enligt lagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter. Som exempel på åtgärder som utgör personuppgiftsbehandling nämns i lagen bland annat insamling, registrering, lagring, användning, utlämnande genom översändande och spridning eller annat tillhandahållande av uppgifter.89 finns det behov av att reglera viss behandling av person- uppgifter i en särskild registerförfattning. Avvikande bestämmelser i en särskild registerförfattning gäller framför personuppgifts- lagen.90 Bestämmelserna kan vara mer tillåtande eller strängare än personuppgiftslagen. En del registerförfattningar gäller tillsammans 852 kap. 20–21 §§ regeringsformen. 86Sverige ska också följa konvention 108 om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen). Konventionen kan ses som en precisering av artikel 8 i vad gäller skyddet för enskilda vid automatiserad behandling av personuppgifter. 87Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). 885 § andra stycket personuppgiftslagen (1998:204). 893 § ibid. 902 § ibid. Informationsinhämtning, personuppgiftsbehandling och sekretess med personuppgiftslagen och en del gäller i stället för lagen. För polisen och Kriminalvården gäller flera särskilda författningar om behandling av personuppgifter. Exempel på sådana författningar är följande. Lagen (2001:617) om behandling av personuppgifter inom kriminalvården Polisdatalagen (2010:361) Lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Lagen (2010:362) om polisens allmänna spaningsregister Lagen (1998:621) om misstankeregister 15.8.2Utlämnande av personuppgifter till tillsynsmyndigheten Kommitténs förslag: ska ges samma rätt som bland annat JO att få del av uppgifter ur belastnings- registret för sin tillsynsverksamhet. Om det inte är olämpligt ska och Säkerhetspolisen få lämna ut fler än enstaka personuppgifter på medium för automatiserad behandling till tillsynsmyndigheten. Att i förhållande till tillsynsmyndigheten lämna ut, sprida eller på annat sätt tillhandahålla personuppgifter är en form av personuppgifts- behandling. Inför en sådan behandling måste utlämnande myndighet ta ställning till om den är tillåten. Om utlämnande myndighet har en uppgiftsskyldighet i förhållande till tillsynsmyndigheten är det normalt tillåtet för den att tillhandahålla även personuppgifter.91 Trots att det föreligger en uppgiftsskyldighet kan dock särskild reglering innebära att det finns hinder mot, eller villkor för, att 91 Om personuppgiftsbehandling inom ett visst område normalt regleras av personuppgifts- lagen (1998:204) gäller en särskilt reglerad uppgiftsskyldighet före den lagen, 2 § person- uppgiftslagen. Enligt 2 kap. 8 § andra stycket polisdatalagen (), 5 kap. 2 § andra stycket polisdatalagen (Säkerhetspolisen) och 3 § lagen om behandling av person- uppgifter inom kriminalvården får personuppgifter föras över till annan om det föreligger en skyldighet att lämna uppgifterna enligt lag eller förordning. Informationsinhämtning, personuppgiftsbehandling och sekretess lämna ut eller på annat sätt sprida personuppgifter till tillsyns- myndigheten. Det ankommer på utlämnande myndighet att pröva det. Hinder mot eller villkor för utlämnande skulle exempelvis kunna föreligga enligt lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Lagen bygger på ett rambeslut av Europeiska unionens råd, som är bindande för medlemsstaterna när det gäller de resultat som ska uppnås.92 Även om lagen i vissa fall skulle hindra att personuppgifter lämnas ut till tillsynsmyndigheten är det således inte aktuellt att ändra den. Kommittén har dock identifierat två författningsändringar som bör göras för att i högre grad tillåta att personuppgifter lämnas ut till tillsynsmyndigheten respektive underlätta utlämnandet av personuppgifter. Tillgång till personuppgifter i belastningsregistret Uppgifter ur belastningsregistret får enligt 35 kap. 3 § OSL endast lämnas ut i den ordning som föreskrivs i lagen (1998:620) om belastningsregister och säkerhetsskyddslagen (1996:627), med till- hörande förordningar. Det innebär att regleringen i 10 och 12 kap. OSL, som normalt gäller för bland annat informationsutbyte mellan myndigheter, inte får tillämpas. I 6 § lagen om belastningsregister föreskrivs att personuppgifter ur belastningsregistret ska lämnas ut om det begärs av JO, JK eller Datainspektionen för deras tillsynsverksamhet. I en proposition föreslås att ska ges samma rätt att få del av uppgifter ur belast- ningsregistret.93 I likhet med dessa myndigheter, som utövar tillsyn över polisens rättsliga verksamhet, bör den nya myndigheten ha rätt att få del av uppgifter ur belastningsregistret. Även om till- syn normalt inte ska utövas över behandling av personuppgifter i registret bör målsättningen vara att tillsynsmyndig- heten ska ha full rätt till insyn i den verksamhet som omfattas av 92Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet). 2014/15:94. Den nya polisorganisationen – några frågor om personuppgiftsbehandling m.m., s. 16 och 102 ff. Informationsinhämtning, personuppgiftsbehandling och sekretess Det kan inte uteslutas att uppgifter i belastnings- registret kan komma att bli av betydelse för den tillsyn som myndig- heten ska utöva. Eftersom tillgången till personuppgifter ur belastningsregister regleras exklusivt i lagen om belastningsregister och säkerhetsskydds- lagen, med tillhörande förordningar, har de myndigheter som berörs av tillsynen inte möjlighet att lämna sådana uppgifter till tillsyns- myndigheten om det inte finns författningsstöd för det. Mot den bakgrunden bör 6 § lagen om belastningsregister ändras så att den nya tillsynsmyndigheten får samma tillgång till personuppgifter ur belast- ningsregister som övriga tillsynsmyndigheter. Det bör dock framhållas att avsikten med tillgången inte är att tillsynsmyndigheten ska kontrollera om enskilda befattningshavare är registrerade däri. Utlämnande på medium för automatiserad behandling Texten ovan om tillgång till uppgifter i belastningsregistret gällde frågan om en överföring av personuppgifter överhuvudtaget är tillåten. Den fråga som är aktuell är eventuella begränsningar när det gäller formen för utlämnande av personuppgifter, som i och för sig får lämnas ut. Av betydelse är då bestämmelsen i 2 kap. 20 § polisdata- lagen enligt vilken och Säkerhetspolisen endast får lämna ut enstaka personuppgifter på medium för automatiserad behandling.94 Med att lämna ut uppgifter på medium för auto- matiserad behandling avses t.ex. att lämna ut uppgifter i ett e-post- meddelande eller på ett USB-minne.95 Regeringen har rätt att meddela föreskrifter om att fler än enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Regeringen har meddelat sådana föreskrifter med inne- börden att, om det inte är olämpligt, fler än enstaka personuppgifter får lämnas ut på medium för automatiserad behandling till konkurs- förvaltare, JK, , , och en utländsk myndighet som ansvarar för bekämpning av penningtvätt eller finansiering av särskilt allvarlig brottslighet.96 94Att även Säkerhetspolisen ska tillämpa bestämmelsen följer av 5 kap. 4 § polisdatalagen (2010:361). 2009/10:85. Integritet och effektivitet i polisens brottsbekämpande verksamhet, s. 333. 9618 § polisdataförordningen (2010:1155). Informationsinhämtning, personuppgiftsbehandling och sekretess Frågan är om det bör föreskrivas att fler än enstaka person- uppgifter får lämnas ut från polisen till den nya tillsynsmyndigheten. Någon motsvarande begränsning när det gäller utlämnande av person- uppgifter på medium för automatiserad behandling gäller inte för Kriminalvården. Enligt förarbetena till 2 kap. 20 § polisdatalagen innebär bestäm- melsen att en större mängd personuppgifter, t.ex. ett helt register eller delar av ett register, inte får lämnas ut på medium för automatiserad behandling, såvida inte regeringen har meddelat föreskrifter om detta. Enstaka personuppgifter kan dock lämnas ut. Ordet enstaka används enligt förarbetena med en annan innebörd än i vanligt språkbruk. När personuppgifter förekommer i en eller ett fåtal handlingar är bestämmelsen inte avsedd att utgöra ett hinder mot att handlingarna lämnas ut genom exempelvis ett e-postmeddelande. Det förhållandet att en handling, som en lista över telefonnummer, innehåller ett större antal personuppgifter ska inte hindra att handlingen lämnas ut med stöd av paragrafen. Bestämmelsen är också avsedd att ge stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där person- uppgifter förekommer.97 Förarbetena ger alltså uttryck för en vid tolkning av begreppet ”enstaka”. Datainspektionen har dock i ett sam- rådsyttrande till dåvarande i funnit att omfattande förundersökningsprotokoll med många personuppgifter inte kunde anses innehålla enbart enstaka personuppgifter.98 Som skäl till varför endast enstaka personuppgifter skulle få lämnas ut på medium för automatiserad behandling anfördes bland annat att personuppgifter som polisen behandlar ofta är av känsligt slag. Även insamling och utbyte av förhållandevis harmlösa uppgifter kan, om de skapar en totalbild av en enskild persons förhållanden, riskera att leda till intrång i den personliga integriteten.99 Om uppgifter lämnas ut på medium för automatiserad behandling förbättras förutsättningarna för att mottagaren kan behandla informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor.100 Rätten för regeringen att meddela före- skrifter om utlämnande av större uppgiftsmängder kan dock enligt 2009/10:85. Integritet och effektivitet i polisens brottsbekämpande verksamhet, s. 333. 98Datainspektionen, samrådsyttrande , dnr 531-2012. Samråd om elektroniskt utlämnande av förundersökningsprotokoll från polisen till försvarare. 2009/10:85. Integritet och effektivitet i polisens brottsbekämpande verksamhet, s. 167. 100Ibid, s. 185. Informationsinhämtning, personuppgiftsbehandling och sekretess SOU 2015:57 förarbetena användas för att möjliggöra utlämnande mellan myndigheter.101 Om det bedöms vara det mest lämpliga sättet att tillmötesgå en begäran om information från tillsynsmyndigheten bör Polismyndig- heten och Säkerhetspolisen enligt kommittén ha möjlighet att lämna ut fler än enstaka personuppgifter på medium för automatiserad behandling. Om tillsynsmyndigheten ska utreda i fall det förekommer upprepade felaktigheter i visst avseende kan den exempelvis ha behov av förundersökningsprotokoll från ett flertal olika ärenden. Det skulle kräva mer arbete av polisen om ”enstaka personuppgifter” tolkades på sådant sätt att det ansågs nödvändigt att skriva ut och i pappersform skicka förundersökningsprotokollen, i stället för att skicka dem elektroniskt. arbete skulle också fördröjas. Även med ett föreskrivet undantag som innebär att fler än enstaka personuppgifter kan lämnas ut till tillsynsmyndigheten via medium för automatiserad behandling ska en lämplighetsbedöm- ning göras innan utlämnande sker. Det bör då inte vara lämpligt att elektroniskt överföra hela register till tillsynsmyndigheten utan avsikten med undantaget är att möjliggöra att handlingar kan skickas elektroniskt, även om dessa var för sig eller tillsammans innehåller fler än enstaka personuppgifter. Kommittén föreslår således att och Säker- hetspolisen på medium för automatiserad behandling ska få lämna fler än enstaka personuppgifter till tillsynsmyndigheten, om det inte är olämpligt. En annan sak är att det elektroniska utlämnandet av personuppgifter också måste uppfylla kraven på säkerhet för att vara tillåten.102 101Ibid, s. 333. 102Se 2 kap. 2 § första stycket 7 och 5 kap. 4 § 1 polisdatalagen (2010:361). Informationsinhämtning, personuppgiftsbehandling och sekretess 15.8.3Personuppgiftslagen är tillräcklig för tillsynsmyndighetens behandling av personuppgifter Kommitténs bedömning: Det behövs inte någon särskild reglering avseende personuppgiftsbehandlingen i tillsynsmyndig- heten eftersom personuppgiftslagens bestämmelser är tillräckliga. I tillsynsmyndighetens verksamhet kommer personuppgifter att registreras och på annat sätt behandlas. Exempelvis kan tillsyns- myndigheten komma att i ett ärendehanteringssystem registrera namn på den som gett in ett klagomål på sådant sätt att det sedan är möjligt att med namnet som sökord hitta ärendet. Den kan också komma att till ärendet elektroniskt koppla klagomålet som PDF- fil. I handlingen med klagomålet kan det förekomma personupp- gifter beträffande både ingivaren och andra. Frågan är om tillsyns- myndighetens personuppgiftsbehandling behöver regleras särskilt eller om regleringen i personuppgiftslagen är tillräcklig. För den verksamhet som tillsynen avser har man i flera avseenden ansett att personuppgiftslagen inte är tillräcklig utan att det har behövts särskilda registerförfattningar.103 Regeringsformen kräver inte enligt kommittén särskild registerförfattning Både och regeringen har uttalat att myndighetsregister som innehåller ett stort antal registrerade och har ett särskilt känsligt innehåll bör regleras särskilt i lag, även om det inte har krävts lagform enligt regeringsformen.104 trädde emellertid en ny lydelse av 2 kap. 6 § regeringsformen i kraft. Bestämmelsen innebär att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om 103Se t.ex. lagen (2001:617) om behandling av personuppgifter inom kriminalvården, förord- ningen (2001:682) om behandling av personuppgifter inom kriminalvården, polisdatalagen (2010:361), polisdataförordningen (2010:1155), lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, lagen (2010:362) om polisens allmänna spaningsregister och lagen (1998:621) om misstankeregister. 104Se t.ex. följande. 1990/91:KU11 s. 11. 1997/98:KU18 s. 43. 1997/98:44. Personuppgiftslag, s. 41. 1999/2000:39. Registrering av fastighetsrättsliga förhållanden, m.m., s. 78. Informationsinhämtning, personuppgiftsbehandling och sekretess det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Sammantaget med bestämmelsen i 2 kap. 20 § regeringsformen ger den nya lydelsen av 2 kap. 6 § att åtgärder som innebär betydande intrång i den person- liga integriteten måste regleras i lag. Av förarbetena till bestämmelsen framgår att uttrycket ”enskildas personliga förhållanden” ska ha samma innebörd som i tryckfrihets- förordningen och OSL. Som exempel på information som omfattas av uttrycket nämns uppgifter om namn och andra personliga identifika- tionsuppgifter, adress, familjeförhållanden, hälsa och vandel.105 Grund- lagsskyddet omfattar dock bara vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av vad som kan anses utgöra ett betydande intrång ska man enligt förarbetsuttalanden väga in både åtgärdens intensitet och omfattning samt arten av det intrång åtgärden innebär. En omständighet av betydelse är uppgifternas integritets- känsliga natur. Hantering av ett fåtal uppgifter kan innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Även åtgärdens ändamål har betydelse vid bedömningen. En hantering som syftar till att utreda brott är enligt förarbetena normalt mer känslig än t.ex. en hantering som sker för att ge en myndighet underlag för förbättringar av kvaliteten i hand- läggningen. Uppgifternas spridning externt är också av betydelse.106 Den nya tillsynsmyndigheten kommer att vara en relativt liten myndighet. Enligt förslaget ska tillsynen bedrivas strategiskt och det ska inte finnas något krav på att utreda enskilda klagomål. kan inte antas behöva behandla vad som i det här avseendet kan betraktas som ett stort antal personuppgifter. Uppgifter som behandlas kan dock vara av mycket känslig karaktär, t.ex. om de berör brottsutredningar. Ändamålet med behandlingen är emellertid att utöva tillsyn, inte att utreda brott. Ur ett integritets- skyddsperspektiv bör också beaktas att informationen som behövs för tillsynen i huvudsak kommer från , Säkerhetspolisen och Kriminalvården.