sou · H3B373 · 2015-08-03 00:00:00 — Det betonas att det är åtgärdens effekter som är av avgörande betydelse vid be- dömningen av om den ska anses falla under grundlagsbestämmelsens tillämpningsområde, inte det huvudsakliga syftet med åtgärden. Grundlagsskyddet omfattar endast betydande integritetsintrång. Vid bedömningen av hur ingripande intrånget i den personliga integri- teten kan anses vara är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär (se prop. 2009/10:80 s. 183). Ju käns- ligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande in- trång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är även ändamålet med behandlingen av betydelse. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myn- dighet underlag för förbättringar av kvaliteten i handläggningen. Vidare kan mängden uppgifter vara av betydelse. I detta samman- hang anförs det att i flera lagstiftningsären- den som rört myndigheters personuppgiftsbehandling framfört att Allmänna utgångspunkter vid utformandet av en utlänningsdatalag målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i form av lag och att regeringen har instämt i denna bedöm- ning (se bland annat bet. 1990/91:KU11 s. 11, bet. 1997/98:KU18 s. 43, prop. 1990/91:60 s. 58, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78). Regeringen har också uttalat att behovet av lag- stiftning är särskilt stort om uppgifterna sprids externt i en inte obe- tydlig omfattning (se prop.1990/91:60 s. 58). Vid bedömningen av vad som kan anses utgöra ett betydande in- trång bör fler omständigheter vägas in. Förutom de ovan angivna nämns i förarbetena att även omfattningen av utlämnandet av upp- gifter till andra som sker utan stöd av offentlighetsprin- cipen kan vara av betydelse vid bedömningen. Däremot bör den när- mare avgränsningen av grundlagsbestämmelsens tillämpningsområde inte påverkas av sekretesslagstiftningens utformning. Den omständigheten att sekretesslagstiftningen innehåller en pre- sumtion för offentlighet, dvs. ett rakt skaderekvisit, för uppgifter i en viss myndighets verksamhet bör således inte i sig utgöra skäl för bedömningen att myndighetens behandling av uppgifterna faller utanför det utvidgade grundlagsskyddet. Det förhållandet att de uppgifter som behandlas av en myndig- het omfattas av sekretess med ett omvänt skaderekvisit bör inte heller utgöra en omständighet som per automatik innebär att en bestäm- melse om uppgiftsskyldighet måste anses omfattas av den nya grund- lagsbestämmelsens tillämpningsområde. En annan omständighet att beakta kan vara på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnade uppgifter. I förarbetena anges att det är förenat med svårigheter att peka ut vilka specifika företeelser som är av sådant slag att de innebär ett betydande intrång i integriteten (se prop. 2009/10:80 s. 185). Vad som utgör ett betydande integritetsintrång får bedömas utifrån de samhällsvärderingar som råder vid varje givet tillfälle. Dessa kan på- verkas av en rad omständigheter, till exempel den fortsatta tekniska utvecklingen. I sista hand är det som får avgöra vilka före- teelser som är av så ingripande karaktär att de inte bör kunna be- gränsas på annat sätt än genom lag. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag 6.2.6Vilken reglering omfattas? I ovan nämnd proposition konstateras att den nya grundlags- bestämmelsen i 2 kap. 6 § andra stycket RF innebär att betydande intrång i den personliga integriteten som sker utan samtycke och som innebär kartläggning eller övervakning av enskildas personliga förhållanden får vidtas bara om det finns stöd i lag för sådan behand- ling. Det anges vidare att om en övergångsreglering inte införs kom- mer delar av sådan informationshantering hos det allmänna som sker med stöd av föreskrifter i förordning, eller som endast delvis regleras i lag och i övrigt sker enligt bestämmelser på lägre normhierarkisk nivå, med stor sannolikhet att stå i strid med regeringsformen (se prop. 2009/10:80 s. 243). I propositionen konstateras att det därför finns behov av att se över ett stort antal registerförfattningar för att bedöma i vilken mån det krävs reglering i lag i stället för i förord- ning. Som exempel anges att det finns behov av att i lag reglera dom- stolarnas personuppgiftsbehandling, som regleras i förordningar. Det anges vidare att det i övergångsbestämmelserna bör tas in en föreskrift som innebär att äldre föreskrifter som ger stöd för åtgärder som innebär betydande intrång i den personliga integriteten behåller sin giltighet även om de inte uppfyller regeringsformens krav på lagform. För tiden fram till och med bör föreskrifter som inte upp- fyller kravet på lagform fortsätta att gälla utan hinder av den nya bestämmelsen om ett utvidgat integritetsskydd. Det är emellertid omdiskuterat om 2 kap. 6 § andra stycket RF verkligen syftar till ange vilka föreskrifter om exempelvis behandling av personuppgifter som ska ha form av lag i stället för förordning. Enligt torde bestämmelsen såvitt avser behandling av personuppgifter primärt ha funktionen att bland sådana intrång som omfattas av lagkravet enligt 8 kap. 2 § första stycket 2 RF skilja ut de intrång som är så kvalificerade att de ska omfattas av de särskilda begränsningar som enligt 2 kap. 20–22 §§ gäller för möjligheter att besluta om rättighetsinskränkan- de lag, se SOU 2015:39 s. 198 f. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag 6.2.7Behov av en lagreglering Det kan konstateras att den personuppgiftsbehandling som sker inom verksamhet enligt utlännings- och medborgarskapslagstiftningen i stor utsträckning sker utan den enskildes samtycke. Myndigheter- nas uppgiftssamlingar innehåller en stor mängd uppgifter om ett stort antal individer. Effekten kan således bli att personer kartläggs, även om det inte är det egentliga syftet med behandlingen. Vidare kan kon- stateras att behandlingen i många fall avser känsliga personuppgifter enligt 13 § PUL samt andra uppgifter av integritetskänslig natur. De uppgifter som myndigheterna behandlar sprids i vissa fall till andra myndigheter, även genom att den mottagande myndigheten har direktåtkomst till den utlämnande myndighetens personuppgifts- samlingar. Som konstaterats i utredningens direktiv är det mycket som talar för att det inte är förenligt med regeringsformen att be- handla personuppgifter med stöd av utlänningsdataförordningen och att det finns ett behov av en lagreglering av den personuppgifts- behandling som sker på utlännings- och medborgarskapsområdet. I kapitel 5 finns en översiktlig beskrivning av den automatiserade personuppgiftsbehandling som utförs av myndigheter inom verksam- het på utlännings- och medborgarskapsområdet. Av redogörelsen framgår inte bara att den nuvarande behandlingen är omfattande utan även att myndigheterna i allt större utsträckning övergår till elektronisk behandling av personuppgifter. Myndigheterna har ett behov av att samla in, ta emot, registrera, behandla och lagra upp- gifter på elektronisk väg, inte bara för att kunna fullgöra sina upp- gifter i form av till exempel ärendehantering, arkivering och för intern uppföljning och verksamhetsutveckling. Myndigheterna har också behov av att behandla uppgifter elektroniskt för utlämnande till andra myndigheter, inom och utanför , och till enskilda. Informationstekniken utvecklas ständigt. Ett effektivt utnyttjande av den moderna informationstekniken kan leda till effektivitetsvinster och kostnadsbesparingar för myndigheterna. Det finns således ett viktigt allmänintresse av att den moderna tekniken kan utnyttjas av myndigheterna. Inte bara för att det kan leda till samhällsvinster i form av ökad effektivitet och minskade kostnader. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag rande informationsteknik gynnar också den enskilde då den möjlig- gör snabbare och mer rättssäker ärendehantering. måste beaktas att myndigheternas behandling av person- uppgifter kan innebära risk för intrång i den personliga integriteten. Att samla personuppgifter elektroniskt ökar möjligheten att sam- manställa ett stort antal uppgifter om enskilda personer. Redan den omständigheten att uppgifterna finns registrerade kan för vissa fram- stå som integritetskränkande. Myndigheternas informationshantering måste ske med respekt för den enskildes integritet. Ett grundläggan- de syfte med en särskild lag som reglerar personuppgiftsbehandling bör således vara att stärka den enskildes skydd mot otillbörliga in- trång i dennes personliga integritet. Vid utformandet av den nya lagen ska således dessa båda intressen vägas mot varandra. Skyddet för den personliga integriteten ska vägas mot samhällets intresse av att myndigheterna kan utföra sina uppgifter på ett effektivt sätt. Detta kommer även till uttryck i ut- redningens direktiv, som anger att utredningen ska beakta enskildas behov av skydd för sin personliga integritet och beakta behovet av en rättslig reglering som ger myndigheterna möjlighet att hantera information på ett effektivt sätt. Som anges ovan är syftet med den nya lagen att möjliggöra för myn- digheterna att behandla personuppgifter på ett effektivt sätt, sam- tidigt som skyddet för den enskildes personliga integritet upprätt- hålls vid sådan behandling. Nästa fråga är hur en sådan lagreglering bör utformas. Den behandling som ska regleras bedrivs på ett flertal myndigheter med olika uppdrag och varierande behov. Regleringen bör således vara flexibel på det sätt att den kan anpassas till de olika myndig- heternas krav och inte behöver ändras inför varje förändring i verk- samheten. Med hänsyn till den snabba utvecklingen på informa- tionsteknikområdet är det också viktigt att regleringen är neutral inför förändringar på det tekniska området. Det bör i sammanhanget uppmärksammas att bestämmelsen i 2 kap. 6 § andra stycket RF inte ställer krav på att all reglering som Allmänna utgångspunkter vid utformandet av en utlänningsdatalag rör personuppgiftsbehandling måste finnas i lag. Begränsningen rör endast sådana bestämmelser som kan resultera i övervakning eller kartläggning av den enskilde och som kan innebära ett betydande intrång i den personliga integriteten. Övriga bestämmelser kan så- ledes regleras på en lägre normhierarkisk nivå. Ett sätt att uppnå en flexibel reglering som motsvarar de grund- läggande kraven i regeringsformen är att lagen utformas som en ram- lag. De grundläggande bestämmelserna som har till syfte att skydda den registrerade mot intrång i den personliga integriteten vid behand- ling av personuppgifter bör slås fast i lag. Till dessa hör till exempel regler för ändamål, behandling av känsliga personuppgifter, sökbe- grepp, direktåtkomst och intern tillgång till personuppgifter. Rege- ringen bör dessutom kunna meddela vissa kompletterande bestäm- melser. Härigenom undviks att detaljregler som kan komma att behöva ändras ofta måste prövas av . Det kan i vissa fall även vara lämpligt att regeringen delegerar rätten till en myndighet som regeringen bestämmer att meddela kompletterande föreskrifter. 6.4.2Behandling av personuppgifter i register Utlänningsdataförordningen gäller utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i , , Säkerhetspolisens och utlandsmyndigheternas verksamhetsregister. Förordningen reglerar också automatiserade behandling av personuppgifter i rättsfallsregister, fingeravtrycksregister och landinformationsregister. Automatiserad behandling som inte kan hänföras till sådana uppgiftssamlingar om- fattas således inte av regleringen. Motsvarande gäller för hantering av personuppgifter. För sådan personuppgiftsbehandling gäller i stället personuppgiftslagen. Innan personuppgiftslagen infördes reglerades automatiserad be- handling av personuppgifter av datalagen (1973:289). I datalagen var begreppet register av central betydelse. Med personregister avsågs enligt datalagen register, förteckning eller andra anteckningar som förs med hjälp av automatiserad databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med behandlingen. De flesta bestämmelserna i datalagen gällde bara för personregister som fördes med hjälp av ADB. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag att det var fråga om ett dataregister med personuppgifter för att lagen skulle bli tillämplig. Register som fördes med hjälp av annan teknik än ADB föll utanför lagens tillämpningsområde. Sedan dataskyddsdirektivets införande i svensk rätt genom per- sonuppgiftslagen har tillämpningsområdet vidgats. Dataskyddsdirek- tivets bestämmelser gäller all behandling av personuppgifter som helt eller delvis företas på automatisk väg och för annan behandling av personuppgifter under förutsättning att dessa ingår i eller kom- mer att ingå i ett register (artikel 3). Med register avses enligt direk- tivet varje strukturerad samling av personuppgifter som är tillgäng- lig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geo- grafiska förhållanden (artikel 2 c). På motsvarande sätt gäller person- uppgiftslagens bestämmelser all behandling av personuppgifter som sker helt eller delvis på automatiserad väg, oavsett om personupp- gifterna ingår i ett register eller inte. När det gäller behandling är lagen tillämplig om person- uppgifterna ingår i ett register. I lagen används dock inte begreppet register utan dataskyddsdirektivets definition av begreppet, dvs. en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. I dessa fall är registerbegreppet således fortfarande av betydelse. Personuppgiftslagens bestämmelser gäller således för all helt eller delvis automatiserad behandling av personuppgifter, oavsett om de förekommer i ett register eller inte. I förarbetena till personupp- giftslagen anfördes att användningen av begreppet register vid auto- matisk databehandling med fog har kritiserats för att vara otidsenligt (se prop. 1997/98:44 s. 39). På grund av den tekniska utvecklingen har det enligt propositionen i en sammansatt och komplex dator- miljö blivit allt svårare att fastställa vad som är ett register i för- hållande till ett annat. Det har också vuxit fram allt flexiblare och kraftfullare metoder för att med hjälp av datorer söka och hantera uppgifter som inte finns i någon registerstruktur. I propositionen konstateras emellertid att det ovan sagda inte hindrar att det som faktiskt är ett regelrätt datoriserat register också kallas för det. Fler- talet särskilda registerförfattningar rör just upprättandet och förandet av traditionella datoriserade register. Registerformen har därvid ofta valts medvetet för att skapa förutsägbarhet och säkerhet beträffan- de de uppgifter som behandlas med hjälp av datorer. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag ska läggas in i ett på visst sätt strukturerat register och får bara tas fram med hjälp av vissa angivna sökkriterier. Det kan konstateras att begreppet register ofta har använts i tidigare författningar som rör personuppgiftsbehandling på myndighets- området för att definiera automatiserade samlingar med personupp- gifter som gjorts tillgängliga för en större krets. Till varje register har knutits särskilda regler om åtkomst, sökmöjligheter och gallring m.m. I flera lagstiftningsärenden från senare år har modellen med register kritiserats, eftersom den inte anses uppfylla dagens krav på teknikneutral lagstiftning. I förarbetena till lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet anförs att begreppet re- gister för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Det är enligt propositionen inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form (se prop. 2004/05:164 s. 60). Framväxten av internet har tydliggjort behovet av en översyn av traditionella begrepp vid databehandling, som till exempel register- begreppet. I nämnd proposition kostateras dock att det finns flera elektroniska samlingar av personuppgifter som fortfarande måste ses som register i ordets egentliga bemärkelse, dvs. där uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord, och att det därför kan finnas anledning att inte helt frångå registerbegreppet. Som exempel nämns lagen (1998:621) om misstankeregister och lagen (1998:620) om belastningsregister som reglerar register i en mer traditionell mening. Registerbegreppet ansågs emellertid inte lämpligt när det gäller datorsystem som inne- fattar elektronisk ärendehantering, där inkomna handlingar kan skannas och beslut upprättas med automatiserad behandling, för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av registerkaraktär. I propositionen diskuteras vidare termen databas som ett alter- nativ till registerbegreppet. I 1 kap. 1 § yttrandefrihetsgrundlagen definieras databas som en samling av information lagrad för auto- matiserad behandling. En databas ska enligt propositionen definieras Allmänna utgångspunkter vid utformandet av en utlänningsdatalag som en samling uppgifter som med hjälp av automatiserad behand- ling används gemensamt inom en verksamhet. En sådan definition av begreppet databas utesluter register. Definitionen har, enligt propositionen, också den fördelen att den inte tekniskt av- gränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register (i egentlig bemärkelse) är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en av- gränsad verksamhet, så ingår dessa register i en databas. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta re- gister. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av verksamheten. Det konstateras att det för brottsbekämpande verksamhet finns behov av ett sär- skilt begrepp för att rättsligt reglera vissa uppgiftssamlingar som med hjälp av automatiserad behandling används gemensamt i verksamhe- ten. Det ansågs emellertid inte lämpligt att använda registerbegreppet i en ny lag om hantering av personuppgifter. Det rättsliga begreppet databas var enligt propositionen att föredra, som en beteckning på automatiserade sammanställningar av uppgifter, i synnerhet som begreppet underlättar för en teknikoberoende lagstiftning. I förarbetena till polisdatalagen (2010:361, PDL) förutspås att behandling av personuppgifter i större utsträckning kommer att ske i avancerade ärendehanteringssystem som länkas samman med varandra, ibland med digital dokumenthantering (se prop. 2009/10:85 s. 60 f.) I sådana system kan information struktu- reras på ett sådant sätt att systemet utöver att tjäna som ett verksam- hetsstöd för ärendehanteringen även i praktiken tillgodoser samma behov som traditionella personregister genom att olika sökingångar skapas. Det huvudsakliga syftet med insamlingen av personuppgifter är i dessa fall utförandet av en viss arbetsuppgift, inte att registrera uppgifterna i ett personregister. I propositionen konstateras att re- gisterbegreppet har kritiserats, bland annat därför att det har en teknisk anknytning och därför att dagens datasystem normalt inte byggs som traditionella register. Också begreppet databas har en stark teknisk anknytning och leder tanken till ett visst, i tekniskt avseende avgränsat, informationssystem. Detta är, enligt proposi- tionen, inte ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan till exempel införas helt ostruk- Allmänna utgångspunkter vid utformandet av en utlänningsdatalag turerat och oorganiserat i olika filer i en dator, utan att detta för- hindrar en effektiv hantering av uppgifterna för olika sammanställ- ningar m.m. Det konstateras att även om registerbegreppet fort- sättningsvis kommer att användas inom polisen för vissa särskilda fall går utvecklingen mot att registerformen överges för mer sofisti- kerade datasystem. Som en följd av detta bör den nya regleringen inte bygga på att behandlingen av personuppgifter sker i olika register eller databaser utan i stället ges en mera generell utformning. Det väsentliga i sammanhanget är inte på vilket sätt uppgifter tekniskt lagras utan den faktiskt åsyftade tillgängligheten. Den nya lagen bör enligt propositionen därför innehålla särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga i polisens brottsbekämpande verksamhet. Med den for- muleringen görs det klart att det viktiga inte är var uppgiften rent tekniskt är lagrad eller behandlas, utan om ett flertal personer har möjlighet att ta del av uppgiften. Polisen bör på detta sätt kunna välja mellan att skapa ett stort centralt datasystem eller flera mindre system eller en blandning av båda alternativen. Målsättningen bör enligt propositionen vara att i möjligaste mån undvika en särreglering av vissa speciella informationssamlingar eller viss personuppgiftsbehandling. Inom den brottsbekämpande verk- samheten finns det emellertid viss behandling av personuppgifter som av olika skäl inte bör inordnas under de generella bestämmelserna (se prop. 2009/10:85 s. 229). Enligt propositionen är det därför nöd- vändigt att i några fall ha särskilda bestämmelser om vissa register, till exempel när det gäller register över DNA-profiler och fingerav- trycks- eller signalementsregister. Vidare finns, enligt propositionen, skäl att särbehandla behandling av uppgifter om misstänkt penning- tvätt, misstänkt finansiering av terrorism i penningtvättsregister och viss behandling av uppgifter i det internationella polissamarbetet. Även det allmänna spaningsregistret bör enligt propositionen regle- ras särskilt. Även i förarbetena till kustbevakningsdatalagen (2012:145) fram- förs kritik mot användning av begreppet register i lagstiftning som rör personuppgiftsbehandling. Också här konstateras att register och databaser inte är ett relevant sätt att se på samlingar av uppgifter i elektronisk form (se prop. 2011/12:45 s. 72 f.). Som en följd av detta bör enligt propositionen den nya regleringen inte bygga på att behandlingen av personuppgifter sker i olika slag av register eller Allmänna utgångspunkter vid utformandet av en utlänningsdatalag databaser utan i stället ges en mera generell utformning. Regleringen bör vara teknikneutral. Vidare bör enligt propositionen regleringen för del utformas i enlighet med vad som har beslutats för polisen, dvs. att begreppet gemensamt tillgängliga upp- gifter används i den föreslagna lagen för att beteckna uppgifter som är tillgängliga för fler än ett fåtal personer. Särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemen- samt tillgängliga i den brottsbekämpande verksamheten vid Kust- bevakningen bör omfattas av lagen. Med den formuleringen görs det enligt propositionen klart att det viktiga inte är var eller med vilken metod uppgiften rent tekniskt är lagrad eller behandlas, utan om ett flertal personer har möjlighet att ta del av uppgiften. Begreppet databas diskuteras även i prop. 2013/14:161 som inne- håller ett förslag om en gemensam databas hos Statistiska central- byrån (SCB) för övervakning av och tillsyn över finansmarknaderna (se prop. 2013/14:161 s.49 f.).