sou · H3B331 · 2015-03-30 00:00:00 — Enligt den bestämmelsen får personuppgifter som behandlas enligt 1 § även behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verk- samhet hos , , Åklagar- myndigheten, , och , eller hos utländsk myndighet eller mellanfolklig organisation. Person- uppgifter får vidare behandlas om det är nödvändigt för att till- handahålla information som behövs i Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst, om det finns särskilda skäl att tillhandahålla informationen, eller i en myndighets verksamhet i övrigt, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott. Personuppgifter som behandlas enligt 1 § får även behandlas, om det är nödvändigt för att tillhandahålla information till och regeringen samt, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. I ett enskilt fall får personuppgifter behandlas genom att lämnas ut även för något annat ändamål, under förut- sättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Det finns även särskilda bestämmelser om bevarande och gallring av personuppgifter som behandlas av Säkerhetspolisen. Enligt 5 kap. 12 § första stycket ska uppgifter som har gjorts gemensamt till- gängliga som huvudregel gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får dock Säkerhetspolisen besluta att personuppgifter får bevaras , om uppgifterna fortfarande behövs för det ändamål för vilket de behandlas (tredje stycket). När det gäller behandlingen av känsliga uppgifter, utlämnande av personuppgifter och uppgiftsskyldighet gäller samma bestämmelser som för polisen i övrigt. Säkerhetspolisen är enligt 5 kap. 5 § person- uppgiftsansvarig för den personuppgiftsbehandling som Säkerhets- polisen utför. 3.2.5Överföring av personuppgifter till tredje land Regleringen i dataskyddsdirektivet begränsar förutsättningarna för överföring av personuppgifter till ett s.k. tredje land, dvs. till en stat som varken ingår i EU eller är ansluten till EES. Enligt artikel 25.1 i direktivet ska medlemsstaterna föreskriva att överföring av person- uppgifter till tredje land endast får ske om det tredje landet säker- ställer en adekvat skyddsnivå för uppgifterna. Bedömningen av om skyddsnivån är adekvat ska ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid ska särskilt beaktas uppgifternas art, den eller de avsedda överföringarnas ändamål och varaktighet, ursprungs- landet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i det tredje landet liksom de regler för yrkesverksamhet som gäller där (artikel 25.2). Det finns dock ett visst utrymme för avsteg från kravet på adekvat skyddsnivå i över- föringslandets lagstiftning, bl.a. om den registrerade har samtyckt till överföringen eller om den registeransvarige ställer tillräckliga garantier för att enskilda personers grundläggande fri- och rättigheter skyd- das och för utövningen av motsvarande rättigheter (artikel 26). Sådana garantier kan framgå t.ex. av lämpliga klausuler i bindande avtal. De kan också skapas genom bindande företagsinterna regler inom en koncern. Enligt artikel 25.6 i dataskyddsdirektivet kan besluta att ett tredje land genom sin interna lagstiftning eller på grund av sina internationella åtaganden har en skyddsnivå som är adekvat i den mening som avses i artikeln. Medlemsstaterna ska i sådana fall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Kommissionen har fattat ett antal sådana beslut, bl.a. avse- ende , , , , och . Vidare har kommissionen i förhållande till beslutat att de s.k. Privacy Principles, tillämpade i enlighet med den väg- ledning som ges i de frågor och svar som utfärdats av Förenta stater- nas handelsministerium, ska anses utgöra en adekvat skyddsnivå för personuppgifter som överförs från gemenskapen till organisationer som är etablerade i . Överföring av uppgifter till organisationer som har åtagit sig att följa dessa principer är följakt- ligen tillåtet. Överföring till är också tillåten, om mottagaren omfattas av landets lagstiftning om skydd för personuppgifter. Tillämpningen av dessa beslut har dock ifrågasatts av bl.a. Europa- parlamentet som i kölvattnet av avslöjandena om den amerikanska försvarsunderrättelsemyndigheten () övervakning av elektronisk kommunikation har antagit en resolu- tion som uppmanar kommissionen att upphäva Safe Harbour-beslutet och överväga detsamma när det gäller besluten rörande och Nya Zealand.8 konvention om skydd för enskilda vid auto- matisk behandling av personuppgifter (CETS 108) trädde i kraft . Konventionen syftar till att säkerställa den enskildes rätt till personlig integritet i samband med behandling av personuppgifter och till att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna ska iaktta i sin nationella lagstift- ning. Personuppgifter som är föremål för automatiserad behandling ska hämtas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare ska uppgifterna vara relevanta för ändamålen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Av artikel 12.2 i konventionen följer som huvudregel att en konventionsstat inte av integritetsskyddsskäl får hindra att person- uppgifter förs över till en annan konventionsstat för att användas där. En konventionsstat har rätt att göra undantag från den bestäm- melsen om statens lagstiftning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter eller automatiserade person- register på grund av uppgifternas eller registrens natur (artikel 12.3). 8 resolution , P7_TA-PROV (2014)0230. Sådana undantag får dock göras bara när den andra partens före- skrifter inte ger ett likvärdigt skydd. antog ett tilläggsproto- koll till dataskyddskonventionen. Det innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet trädde i kraft . Konventionen har ratificerats av samtliga medlemsstater i EU, samt flera andra stater, t.ex. , , , , och . Artikel 25 i dataskyddsdirektivet har genomförts i svensk rätt genom bestämmelsen i 33 § personuppgiftslagen. Av den bestämmelsen framgår att det som huvudregel är förbjudet att föra över person- uppgifter som är under behandling till ett tredje land om landet inte har en adekvat skyddsnivå för uppgifterna. Frågan om skydds- nivån är adekvat ska bedömas med hänsyn till samtliga omständig- heter varvid särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungs- landet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Det är alltså fråga om en individuell bedömning som i princip ska göras för varje enskild överföring eller grupp av överföringar. I förarbetena framhålls att frågan om skyddsnivån i ett visst land är adekvat kan bedömas på olika sätt beroende på omständigheterna i det enskilda fallet, och att det mycket väl tänkas att ett land har adekvat skyddsnivå på vissa om- råden men inte på andra (prop. 1999/2000:11 s. 15). Trots förbudet är det enligt 34 § personuppgiftslagen tillåtet att föra över personuppgifter till tredje land, om den registrerade har gett sitt samtycke till överföringen eller om överföringen är nöd- vändig för att den registrerades rättigheter ska kunna tas till vara eller skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskydds- konventionen. Regeringen eller den myndighet som regeringen bestämmer får enligt 35 § personuppgiftslagen under vissa förutsättningar meddela undantag från förbudet att föra över personuppgifter till tredje land. Enligt samma bestämmelse får regeringen meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till ett skydd för de registrerades rättigheter. Regeringen har bemyndigat Datainspektionen att meddela föreskrifter om sådana undantag (14 § personuppgiftsförordningen [1998:1191]). 3.3.1Allmänt om elektronisk kommunikation Elektronisk kommunikation innebär överföring av signaler i elektro- nisk form. Elektronisk kommunikation omfattar telefoni, datakom- munikation samt utsändningar till allmänheten genom radio och TV. Gradvis växer dessa tre delar samman. Denna utveckling har fram- för allt möjliggjorts genom den s.k. digitaliseringen och den tekniska standardiseringen genom framväxten av internet. Detta innebär att olika infrastrukturer och tekniker för överföring av kommunika- tion och tjänster som tidigare kunde tillhandahållas genom endast en teknik nu kan tillhandahållas genom flera. Det gör att det exem- pelvis är möjligt att ringa via datorn, använda internet via tv:n och se på tv i mobiltelefonen (jfr prop. 2002:03:110 s. 58). Via elektroniska kommunikationsnät överförs ständigt en mycket stor mängd information. Där förmedlas bl.a. telefonsamtal, telefax- meddelanden, elektronisk post, datakommunikation och annan kom- munikation som innehåller meddelanden, dvs. information i form av text, bild eller ljud. 3.3.2Integritetsskydd och tystnadsplikt vid elektronisk kommunikation och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktivet om integritet och elektronisk kommunikation) innehåller regler som syftar till att harmonisera medlemsstaternas bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synner- het rätten till integritet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation. De syftar även till att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom unionen. Direktivets bestämmelser preciserar och kompletterar dataskydds- direktivet och är därutöver avsedda även att skydda berättigade intressen för de abonnenter som är juridiska personer (artikel 1). Bestämmelser om säkerhet vid behandlingen av uppgifter finns i artikel 4 i direktivet. Enligt artikel 4.1 ska leverantören av en allmänt tillgänglig elektronisk kommunikationstjänst vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i sina tjänster, om nödvändigt tillsammans med leverantören av det all- männa kommunikationsnätet när det gäller nätsäkerhet. Dessa åtgär- der ska säkerställa en säkerhetsnivå som är anpassad till den risk som föreligger, med beaktande av dagens tillgängliga teknik och kost- naderna för att genomföra åtgärderna. Om det föreligger särskilda risker för brott mot nätsäkerheten, ska leverantören enligt artikel 4.2 informera abonnenterna om sådana risker och, om risken ligger utanför tillämpningsområdet för de åtgärder som tjänsteleveran- tören ska vidta, om hur de kan avhjälpas, inbegripet en uppgift om de sannolika kostnader som detta kan medföra. Enligt artikel 5 ska medlemsstaterna genom nationell lagstift- ning säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och all- mänt tillgängliga elektroniska kommunikationstjänster. Medlems- staterna ska särskilt förbjuda avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder som andra metoder som innebär att kommunikationen och de därmed förbundna trafikupp- gifterna kan fångas upp eller övervakas av andra personer än använ- darna utan de berörda användarnas samtycke, utom när de har laglig rätt att göra detta i enlighet med direktivet. I artikel 6 finns bestämmelser om för vilka begränsade ändamål trafikuppgifter får behandlas och krav på begränsningar i fråga om tillgången till uppgifter för dem som behöver det för att utföra vissa närmare angivna arbetsuppgifter. Som huvudregel ska trafikupp- gifter om abonnenter och användare som behandlas och lagras av en leverantör utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra kommunikation. Trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får dock behandlas. Om abonnenten har samtyckt till det får upp- gifter också behandlas för vissa marknadsföringsändamål. Vidare finns i artikel 15 ett stöd för medlemsstaterna att – för vissa närmare specificerade ändamål – föreskriva undantag från de skyddsregler som finns i bl.a. artiklarna 5 och 6. Bland annat får undantag göras om det i ett demokratiskt samhälle är nödvändigt, lämpligt och proportionerligt för att skydda nationell säkerhet, för- svaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott. Direktivet om integritet och elektronisk kommunikation har genomförts i svensk rätt främst genom bestämmelser som tagits in i lagen (2003:389) om elektronisk kommunikation (LEK). 3.3.3Lagen om elektronisk kommunikation trädde i kraft och syftade bl.a. till att genomföra flera EG-direktiv om elektronisk kommunikation. Lagen är en i huvudsak näringsrättslig lagstiftning som syftar till att enskilda och myndigheter ska få tillgång till säkra och effektiva elektroniska kommunikationer och största möjliga ut- byte vad gäller urvalet av elektroniska kommunikationstjänster samt deras pris och kvalitet. gäller elektroniska kom- munikationsnät och kommunikationstjänster med tillhörande installa- tioner och tjänster samt annan radioanvändning (1 kap. 4 § första stycket). Elektroniskt kommunikationsnät definieras i lagen som system för överföring och i tillämpliga fall utrustning för koppling eller dirigering samt andra resurser som medger överföring av signaler, via tråd eller radiovågor, på optisk väg eller via andra elektromagne- tiska överföringsmedier oberoende av vilken typ av information som överförs (1 kap. 7 §). Med elektronisk kommunikationstjänst avses i lagen en tjänst som vanligen tillhandahålls mot ersättning och som helt eller huvudsakligen utgörs av överföring av signaler i elektroniska kommunikationsnät (1 kap. 7 §). Bestämmelser om säkerhet vid tillhandahållande av allmänt till- gänglig elektroniska kommunikationstjänster finns i 6 kap. 3–4 b §§ LEK. Dessa bestämmelser genomför regleringen i artikel 4 i direktivet om integritet och elektronisk kommunikation. enligt artikel 5 i direktivet säkerställs bl.a. genom bestämmelser om förbud mot avlyssning i 6 kap. 17 § LEK och bestämmelser om tystnadsplikt i 20 § samma kapitel. I 20 § föreskrivs således att den som i samband med tillhandahållande av ett elektroniskt kom- munikationsnät eller en elektronisk kommunikationstjänst har fått del av eller tillgång till vissa närmare angivna uppgifter som rör ett meddelande inte obehörigen får föra vidare eller utnyttja det han eller hon har fått del av eller tillgång till. Tystnadsplikten omfattar uppgift om abonnemang, innehållet i ett elektroniskt meddelande eller annan uppgift som angår ett särskilt elektroniskt meddelande. Enligt lagen har operatörerna dessutom tystnadsplikt för uppgift som hänför sig till användning av vissa hemliga tvångsmedel, nämligen hemlig avlyssning av elektronisk kommunikation, hemlig övervak- ning av elektronisk kommunikation, kvarhållande av försändelser samt inhämtning av uppgifter enligt inhämtningslagen (6 kap. 21 §). Ett obehörigt röjande eller utnyttjande av sådana uppgifter i strid med denna bestämmelse är straffsanktionerat som brott mot tyst- nadsplikten enligt 20 kap. 3 § . Vidare innehåller LEK bestämmelser om under vilka förutsätt- ningar trafikuppgifter får behandlas (6 kap. 5–8 §§). Som utvecklas närmare i avsnitt 4 finns även bestämmelser i lagen som anger att vissa uppgifter måste lagras under en närmare angiven tidsperiod för att de ska finnas tillgängliga för brottsbekämpande ändamål (6 kap. 16 a–f §§). Vissa bestämmelser i knyter an till regler om hemlig avlyssning av elektronisk kommunikation och hemlig övervakning av elektronisk kommunikation. I 6 kap. 19 § LEK reg- leras anpassningsskyldigheten för operatörerna. Den innebär att vissa verksamheter ska bedrivas så att beslut om hemlig avlyssning av elektronisk kommunikation och hemlig övervakning av elektronisk kommunikation kan verkställas under sådana former att verkställan- det inte röjs. Innehållet i och uppgifter om avlyssnade eller över- vakade meddelanden ska göras tillgängliga så att informationen enkelt kan tas om hand. I lagen finns dessutom bestämmelser som ger såväl de brotts- bekämpande som andra myndigheter möjligheter att utan dom- stolsprövning få tillgång till vissa uppgifter (6 kap. 22 §). Reglerna innebär bl.a. att operatörerna i vissa fall är skyldiga att på begäran lämna ut uppgifter om abonnemang, dvs. en abonnent eller ett abonnemang, framför allt namn, titel, adress och abonnentnummer. Enligt 2 § förordningen om elektronisk kommunikation är () tillsynsmyndighet enligt lagen om elektronisk kommunikation. Till polisens uppgifter hör bl.a. att förebygga brott och att bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Polisen har således – tillsammans med åklagaren – en brotts- utredande funktion. Även vissa andra myndigheter, däribland Tull- verket, har vissa självständiga brottsutredande uppgifter. Förfarandet vid den utredning som föregår ett beslut om åtal, förundersökningen, regleras i och i förundersök- ningskungörelsen (1947:948). Förundersökning ska, enligt 23 kap. 1 § , inledas så snart det på grund av angivelse eller av annat skäl finns anledning att anta att ett brott som hör under allmänt åtal har förövats. Beslut att inleda förundersökning fattas oftast av eller av åklagare. Om förundersökning har inletts av eller annan och saken inte är av enkel beskaffenhet, ska ledningen av förundersökningen övertas av åkla- gare så snart någon är skäligen misstänkt för brottet eller om det finns särskilda skäl. Så är bl.a. fallet om det blir aktuellt att använda sig av hemliga tvångsmedel. Förundersökningen har enligt 23 kap. 2 § huvudsakligen två syften. Det ena syftet är att utreda om brott har begåtts, vem som skäligen kan misstänkas för brottet och att skaffa tillräckligt material för bedömning av frågan om åtal ska väckas. Det andra syftet är att bereda målet så att bevisningen kan förebringas i ett sammanhang vid en huvudförhandling i domstol. Utifrån detta brukar förundersökningen indelas i ett spanings- respektive ett utredningsstadium. De i lagen angivna syftena understryker förundersökningens förberedande karaktär och klargör att den primära uppgiften för polisens brottsutredande verksamhet är att ge åklagaren underlag för sitt åtalsbeslut. Huruvida åklagaren kan väcka åtal är helt bero- ende av vad som har kommit fram under förundersökningen. Därför blir resultatet av förundersökningen i praktiken helt avgörande för utgången av målet.9 De brottsbekämpande myndigheternas underrättelseverksamhet be- skrivs utförligt i betänkande En mer rätts- säker inhämtning av elektronisk kommunikation i brottsbekämpningen (SOU 2009:1 s. 48 ff.). Polisen, Säkerhetspolisen, , , och bedriver också underrättelseverk- samhet. Denna verksamhet är i huvudsak inriktad på att avslöja om en viss, inte närmare specificerad brottslighet har ägt rum, pågår eller kan antas komma att begås. Ett övergripande mål med under- rättelseverksamheten är att förse de brottsutredande myndigheterna med kunskap som kan omsättas i operativ verksamhet. Till exempel ska polisens kriminalunderrättelsetjänst vara delaktig i strategisk och operativ verksamhetsplanering och utgöra ett direkt stöd för operativ polisverksamhet, ge underlag till ledningsverksamheten på olika nivåer inom polisen och medverka när effekterna av genom- förda insatser analyseras. I underrättelseverksamheten samlar myn- digheterna in, bearbetar och analyserar uppgifter som senare kan ha betydelse för att utreda, förebygga och förhindra brott. Det fram- tagna underrättelsematerialet kan också läggas till grund för ett beslut om att inleda en förundersökning. Det första ledet i underrättelseprocessen där information förädlas till underrättelser är planeringsfasen. I planeringsfasen tas ställning t.ex. till vilka områden som är prioriterade för underrättelseverksam- heten och vilka uppgifter som ska inhämtas. Information kan inhämtas från olika källor. Det kan t.ex. ske genom rutinmässig rapportering, spaning eller användning av över- 9 , och , , Förundersökning, Juridik, 4 uppl., 2009, s. 65. skottsinformation från hemliga tvångsmedel. Information kan in- hämtas även genom nationell och internationell samverkan samt från tipsare och informatörer. En annan källa för inhämtning är information som publicerats i tidningar eller på internet. När informationen inhämtats bearbetas den genom att informa- tionen struktureras, systematiseras och värderas, t.ex. genom jäm- förelser med tillgängliga uppgifter. Därefter vidtar den avgörande fasen i underrättelseprocessen – analysen. Genom analysen tydliggörs sammanhang och den bearbetade informationen tillförs mervärden. Det kan handla om t.ex. hot- och riskanalys, analys av brottsmönster samt kartläggning av mer eller mindre löst samman- satta kriminella nätverk och grupperingar. Efter inhämtning, bearbetning och analys delges informationen lämpliga mottagare. Det framtagna underrättelsematerialet kan läggas till grund för t.ex. beslut om att inleda förundersökning eller beslut om att vidta särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. Det kan alltså handla om allt från en redo- visning till berörda chefer till att gå ut i media för att förebygga ett visst brottsligt tillvägagångssätt. En annan form av förebyggande verksamhet är att de berörda personerna kontaktas och därigenom blir medvetna om den brottsbekämpande myndighetens intresse, vilket leder till att den brottsliga verksamhet som var i görningen aldrig kommer till stånd. Genom att slutligen utvärdera resultatet av vidtagna åtgärder och underrättelsernas betydelse i sammanhanget kan verksamheten tillföras ny kunskap för det fortsatta arbetet. underrättelseverksamhet utgör en del av besluts- stödprocessen inom den brottsbekämpande verksamheten. Arbetet beskrivs i termer av planera, inhämta, bearbeta, analysera och delge information. Resultatet är underrättelser, rapporter eller andra under- lag, som syftar till att möjliggöra proaktiva och kunskapsbaserade beslut, planering och verksamhet i övrigt – strategisk, operativ och taktisk – på alla nivåer i polisorganisationen. Till skillnad från utredande verksamhet fokuserar inte underrättelseverksamheten på enskilda brott, utan på Utredande verksamhet i form av en förunder- sökning eller primärutredning är att betrakta som bakåtblickande, då utredningen avser ett specifikt brott som har begåtts. Under- rättelseverksamheten är framåtblickande, då den förutser viss brotts- lighet, brottsutveckling eller ett visst fenomen. Material i förunder- sökning syftar vanligtvis till bevisföring. Information som hanteras i underrättelseverksamheten syftar oftast till att användas som underlag för bedömningar och analys avseende kommande brotts- lighet, brottsutveckling eller fenomen. I enlighet med underrättelseprocessen bearbetar och registrerar inkommen eller inhämtad in- formation i kriminalunderrättelseregistret och i så kallade särskilda uppgiftssamlingar. Information kommer bland annat direkt från allmänheten i form av tips, från särskilda informatörer, i form av underrättelseuppslag från enskilda poliser, från andra myndigheter i , från polisens sambandsmän i andra länder samt från Europol och .