sou · H3B331 · 2015-03-30 00:00:00 — SIN:s uppdrag omfattar också tillsyn över polisens och Säkerhetspolisens behandling av personuppgifter enligt polisdatalagen (2010:361) och lagen (2010:362) om polisens allmänna spaningsregister. SIN bedriver sin verksamhet genom inspektioner och andra utredningar som sker på eget initiativ (2 §). Till grund för tillsyns- verksamheten ligger bl.a. de anmälningar som de brottsbekämpande myndigheterna gör om inhämtning enligt inhämtningslagen (6 § inhämtningslagen) och om de fall då underrättelse till enskilda som varit föremål för en övervakningsåtgärd har underlåtits på grund av sekretess (14 b § förundersökningskungörelsen [1947:948] och för- ordningen [2007:1144] om fullgörande av underrättelseskyldighet enligt lagen [2007:979] om åtgärder för att förhindra vissa särskilt allvarliga brott). Urvalet av tillsynsärenden görs med utgångspunkt i nämndens bedömning av var risken för felaktig rättstillämpning hos de granskade myndigheterna är som störst och tillsynsmetodiken är i huvudsak tematisk (se t.ex. SIN:s årsredovisning , dnr 7-2014, s. 10). Nämnden får uttala sig om konstaterade förhållan- den och sin uppfattning om behov av förändringar i verksamheten och ska verka för att brister i lag eller annan författning avhjälps. SIN:s tillsyn avseende användningen av hemliga tvångsmedel har särskilt inriktats på ärenden i vilka åklagare be- slutat att underlåta underrättelse till enskild, frågor om förstöring av upptagningar och uppteckningar efter hemlig tvångsmedelsanvänd- ning, dokumentationsfrågor samt beslut om inhämtning enligt in- hämtningslagen. omfattande tillsynen även anmälningar till nämnden om interimistiska beslut enligt den nu upphävda lagen (2008:854) om åtgärder för att utreda vissa samhällsfarliga brott samt tillämpningen av 20 § förundersökningskungörelsen när det gäller protokollföringen av uppgifter som rör användningen av hemliga tvångsmedel. Tillsynen har enligt nämndens redovisningar visat att de brottsbekämpande myndigheterna överlag har bedrivit sin verksamhet i enlighet med lag och andra författningar. Brister har dock uppmärksammats, bl.a. har nämnden påpekat att åklagar- nas rättstillämpning av de regler som styr underrättelseskyldigheten till enskild inte förefaller vara enhetlig, att förstöringen av upp- tagningar och uppteckningar från hemliga tvångsmedel i vissa fall har dröjt för länge och att dokumentationen över vidtagna åtgärder brustit. När brister har upptäcks har nämnden följt upp frågan, och normalt har det då visat sig att den aktuella myndigheten har vid- tagit åtgärder för att komma till rätta med problemet (se SOU 2012:44 s. 667). När det gäller tillsynen över tillämpningen av inhämtningslagen framgår av SIN:s redovisning av tillsynsverksamheten (nämndens uttalande i ärende med dnr 891-2014) att nämnden fått en god bild av hur polismyndigheterna och hanterar ärenden enligt lagen. Granskningen har enlig nämnden visat att myndigheterna i de flesta fallen handlägger inhämtningsärendena på ett tillfredsställande sätt. I ett tidigare initiativärende, som avsåg samtliga underrättelser som kom in till nämnden , har nämnden bl.a. konstaterat att det i några underrättelser antingen angetts att den brottsliga verksam- heten innefattat ett brott som inte omfattas av inhämtningslagen eller inte tydligt framgått vilken brottsrubricering som avsetts. Vid granskningen av de underrättelser som kom in till nämnden har inte några sådana brister iakttagits. Enligt nämnden har dock granskningen även detta år visat att hanteringen har vissa brister. I ett stort antal fall har nämnden underrättats om beslut enligt inhämtningslagen . I flera fall har dröjsmålet uppgått till närmare . har SIN även gjort några uttalanden om tillämp- ningen av reglerna i inhämtningslagen i vissa specifika fall. I ett av dessa fann nämnden att flera lagliga förutsättningar för att tillämpa inhämtningslagen hade saknats, att de inhämtade uppgifterna hade använts i förundersökning utan lagstöd, att det fanns brister i doku- mentationen, att beslut om förstöring hade fattats för sent avseende vissa uppgifter och att det beträffande andra uppgifter var oklart om och när dessa förstörts (nämndens uttalande i ärende med dnr 156-2014). Enligt uppgift från SIN har detta ärende också anmälts till åklagare. I ett annat ärende konstaterade nämnden att dokumentationen i de granskade inhämtningsärendena var undermålig, men hade där- utöver inget att anmärka mot vad som kommit fram (nämndens uttalande i ärende med dnr 158-2014). I ytter- ligare ett fall fann nämnden att två olika polismyndigheter hade fattat beslut om inhämtning av lokaliseringsuppgifter för som över- stigit en månad för besluten (nämndens uttalande i ärenden med dnr 895-2014 och 896-2014). Nämnden framhöll dock i uttalandet att det inte fanns något som motsade att de felaktiga besluten hade sin grund i rena förbi- seenden (inhämtningsperioden var en månad eller kortare, däremot rymdes inte beslutsdatumet ). Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen. Myndighetens tillsynsansvar omfattar all behandling av personupp- gifter som är helt eller delvis automatiserad eller som ingår i register. Datainspektionen och SIN har således delvis överlappande tillsynsansvar när det gäller polisens och Säkerhetspolisens behandling av personuppgifter. Frågan om hur tillsynen ska inrättas när det gäller dessa myndigheter är under utredning och hänger delvis samman med den pågående omorganisationen av polisen, se (Ju2010:09) betänkande Tillsyn över polisen (SOU 2013:42) och kommitténs tilläggsdirektiv (dir. 2014:17). Övriga brottsbekämpande myn- digheters behandling av personuppgifter står under tillsyn enbart av Datainspektionen. Datainspektionens och SIN:s tillsyn inriktas i första hand på att myndigheterna följer de föreskrifter som gäller för behandlingen av personuppgifter. Därtill kommer att tillsyn över att statliga förvaltningsmyndig- heter följer lagar och andra författningar samt i övrigt fullgör sina skyldigheter utövas även av ombudsmän () och Justitiekanslern (). JO:s arbete styrs av lagen (1986:765) med instruktion för Riks- dagens ombudsmän. JO ska särskilt se till att de grundläggande fri- och rättigheterna inte överträds i den offentliga verksamheten, men också verka för att brister i lagstiftningen avhjälps. JO får därför göra framställningar till riksdag och regering om författnings- ändringar. Ombudsmännens tillsyn baseras på anmälningar som allmänheten skickar in samt på initiativärenden och inspektioner. I sin tillsyn får JO närvara vid en myndighets överläggningar och ha tillgång till myndighetens protokoll och handlingar. Myndigheter och tjänstemän är också skyldiga att lämna de upplysningar och yttranden som JO begär. JO avgör ärenden genom beslut. I ett beslut kan JO uttala sig om en åtgärd av en myndighet eller en befattningshavare strider mot lag eller annan författning eller annars är felaktig eller olämplig, en s.k. erinran. JO har inte befogenhet att själv meddela straffrättsliga sanktioner eller disciplinära påföljder. JO är inte heller någon besvärsmyndighet och får därför inte överpröva eller på annat sätt ändra de granskade besluten. Beslut i JO:s ärenden är inte rättsligt bindande. I formellt hänseende är besluten inte något annat än ett uttryck för ombudsmannens personliga uppfattning i de behand- lade frågorna. JO får även göra uttalanden som avser att främja enhetlighet och ändamålsenlig rättstillämpning. Enligt sin instruk- tion kan JO överlämna ett ärende till en annan myndighet för hand- läggning, om ärendet är av sådan karaktär att det är lämpligt att det utreds och prövas av någon annan myndighet än JO, och den myndigheten inte tidigare prövat saken. Överlämnanden av detta slag sker ofta till tillsynsmyndigheter. JK har i likhet med JO tillsyn över myndigheter och deras tjänste- män. Tillsynen har till syfte att kontrollera att lagar och andra för- fattningar följs. JK:s tillsyn är, i jämförelse med JO:s, mer över- gripande och främst inriktad på att upptäcka systematiska fel i den offentliga verksamheten (se SOU 2013:42 s. 87). Som regel initieras JK:s granskning av en anmälan från en en- skild eller en myndighet. Ett tillsynsärende kan också påbörjas i samband med en inspektion eller genom att JK på eget initiativ tar upp ett ärende. I de ärenden som JK handlägger föreligger en skyldig- het för enskilda befattningshavare och myndigheter att lämna den information och de yttranden som JK begär. JK kan inte ge direktiv om hur ett ärende hos en förvaltnings- myndighet ska handläggas eller avgöras. Inte heller kan JK ompröva beslut som har fattats av andra myndigheter eller ändra deras av- göranden i sak. Som särskild åklagare har JK dock rätt att väcka åtal mot befattningshavare som begått brottslig handling genom att ha åsidosatt vad som ålegat henne eller honom i tjänsten. Vidare får JK göra en anmälan om disciplinpåföljd, avsked eller avstängning och har också rätt att föra talan i domstol om ändring av en myndighets beslut i sådana frågor. Underrättelseskyldighet och kontroll på begäran av enskild Den som har varit utsatt för hemliga tvångsmedel enligt rättegångs- balken ska som huvudregel underrättas om detta så snart det kan ske utan men för utredningen, dock senast inom efter att förundersökningen avslutades (27 kap. 31 § ). Det finns dock vissa möjligheter att skjuta upp underrättelsen om de uppgifter som den ska innehålla omfattas av vissa former av sekre- tess (27 kap. 33 § första stycket). Om sekretess fortfarande gäller efter att förundersökningen avslutades behöver underrättelse inte lämnas. I sådana fall ska dock SIN underrättas om beslutet att underlåta underrättelse (14 b § andra stycket förundersöknings- kungörelsen). Vissa brott som faller inom ansvars- område är också helt undantagna från underrättelseskyldighet (33 § tredje stycket ). Motsvarande regler om under- rättelseskyldighet gäller även för den öppna polisens tillämpning av lagen om åtgärder för att förhindra vissa särskilt allvarliga brott (16–18 §§). Däremot gäller inte någon underrättelseskyldighet enligt inhämtningslagen. Som ett komplement till bestämmelserna om underrättelse till enskilda som utsatts för användning av hemliga tvångsmedel finns vidare en reglering som ålägger SIN en skyldighet att på begäran av en enskild kontrollera om han eller hon har utsatts för ett hemligt tvångsmedel och om användningen av detta tvångsmedel har skett i enlighet med lag eller annan författning. En sådan begäran får också avse frågan om polisens personuppgiftsbehandling varit författ- ningsenlig. Den enskilde ska underrättas om att kontrollen har utförts (3 § lagen om tillsyn över viss brottsbekämpande verksam- het). Om nämnden bedömer att det förekommit felaktigheter som kan medföra skadeståndsansvar för staten gentemot den enskilde, anmäls sådana ärenden till JK som kan tillerkänna den enskilde ersättning för den skada och kränkning som en felaktig hantering av uppgifter eller en felaktig tillämpning av hemliga tvångsmedel inneburit. Om SIN i stället bedömer att det förekommit felaktig- heter som innefattar misstanke om brott, ska ärendet anmälas till åklagare. Vidare ska nämnden, om den finner omständigheter som Datainspektionen bör uppmärksammas på, anmäla det till inspek- tionen (20 § förordningen [2007:1141] med instruktion för ). Antalet kontrollärenden på begäran av enskilda har varierat över åren. inkom omkring 50 framställningar . inkom 411 framställningar medan antalet ökade till 1 2014. Av SIN:s årsredovisning (dnr 9-2015) fram- går att den huvudsakliga förklaringen till det ökande antalet kontroll- ärenden är den uppmärksamhet som nämnden fick i samband med kritiken mot i behandling av person- uppgifter i det s.k. . Av de kontrollärenden som avslutades har något fler än hälften avslutats med att den enskilde underrättats om att det vid kontrollen inte framkommit något som talar för att hantering skett i strid med lag eller annan författning. I fem ärenden har den enskilde underrättats om iakttagna brister utan att någon anmälan skett till annan myndighet. Anledningen var att nämnden bedömde att bristerna inte var sådana att de kunde medföra skadestånds- ansvar för staten eller annan åtgärd. –2013 överlämnade SIN sammanlagt åtta ärenden till JK för prövning av om det förekommit felaktigheter som kan medföra skadeståndsansvar för staten gentemot den enskilde. överlämnades 914 sådana ärenden till JK. I 912 av dessa bestod felaktigheten i att personen varit registrerad i . JK har i ett principbeslut fastställt att den som har varit föremål för personuppgiftsbehandling i har rätt till ersätt- ning av staten med 5 000 kr.12 Av de tio ärenden –2014 som inte avsett registre- ring i är det endast ett ärende som ännu inte är avslutat. Två ärenden har skrivits av utan åtgärd. I tre fall har JK beviljat ersättning för kränkning av artikel 8 i på den grunden att personuppgifter inte gallrats ur Säkerhets- polisens register i föreskriven ordning (i likhet med vad som i några fall förekommit i m.fl. mot ). I ett fall har JK beviljat ersättning eftersom personuppgifter inte gallrats ur en polismyndighets register i enlighet med polisdatalagen (2010:361) I tre fall har kränkning av artikel 8 konstaterats på grund av att upptagningar från hemlig teleavlyssning bevarats än vad som medgetts i lag, dvs. utan stöd i lag. I dessa tre fall har JK bedömt att konstaterandet av en rättighetskränkning 12 JK:s beslut , diarienummer . ansetts vara tillräcklig gottgörelse för den ideella skada kränkningen inneburit. överlämnades också ett ärende till Åklagarmyn- digheten. En parlamentarisk kontroll av tillämpningen av reglerna om hemliga tvångsmedel utövas av på grundval av en årlig skrivelse från regeringen. Skrivelsen omfattar de brottsbekämpande myndig- heternas tillämpning av reglerna om hemlig avlyssning och över- vakning av elektronisk kommunikation, hemlig kameraövervakning samt inhämtning av uppgifter enligt inhämtningslagen. De tillstånd som avser Säkerhetspolisens ärenden redovisas dock inte. Regering- en har också föreslagit att redovisningen ska omfatta även hemlig rumsavlyssning och tillämpningen av lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott (prop. 2013/14:237 s. 133 f.). I skrivelsen redovisar regeringen bl.a. antalet tillstånd till respektive tvångsmedel, vilka brott som tillstånden avsett samt uppgifter om vilken nytta tvångsmedelsanvändningen har be- dömts leda till. 4.1.1Direktivets syfte och tillämpningsområde och rådets direktiv /24/EG om lagring av uppgifter som genererats eller behandlats i samband med tillhanda- hållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv /58/EG (datalagringsdirektivet) antogs . Direk- tivet syftade enligt artikel 1.1 till att harmonisera medlemsstaternas bestämmelser om skyldighet att lagra vissa uppgifter om elektro- nisk kommunikation för att på så sätt säkerställa att uppgifterna är tillgängliga för avslöjande, utredning och åtal av allvarliga brott. I direktivet definierades uppgifter som trafik- och lokaliseringsupp- gifter samt de uppgifter som behövs för att identifiera en abonnent eller användare (artikel 2.2 a). Direktivet gällde, enligt artikel 1.2, trafik- och lokaliseringsupp- gifter om såväl fysiska som juridiska personer samt uppgifter som är nödvändiga för att kunna identifiera abonnenten eller den regi- strerade användaren. Artikel 3 i direktivet ålade medlemsstaterna att anta åtgärder för att säkerställa lagring av sådana uppgifter som specificerades i artikel 5. Lagringsskyldigheten omfattade uppgifter som genereras eller be- handlas av leverantörer av allmänt tillgängliga elektroniska kommuni- kationstjänster eller allmänna kommunikationsnät vid leverans av kommunikationstjänster, i den utsträckning det sker inom statens territorium. Medlemsstaterna ålades enligt artikel 6 att säkerställa att upp- gifterna lagras av och högst från det datum kommunikationen ägde rum. De uppgifter som omfattades av lagringsskyldigheten angavs i artikel 5. Bestämmelsen var uppdelad utifrån olika ändamål för vilka uppgifterna skulle lagras. Det rörde sig om uppgifter som är nödvändiga för att spåra och identifiera en kommunikationskälla och för att identifiera slutmålet för kommunikationen. Lagrings- skyldigheten omfattade dessutom uppgifter om datum, tidpunkt och varaktighet för kommunikationen, typen av kommunikation samt vilken utrustning som använts. Slutligen omfattade lagrings- skyldigheten uppgifter som är nödvändiga för att identifiera lokali- sering av mobil kommunikationsutrustning vad avser kommuni- kationens början. I anslutning till respektive ändamål angavs i detalj de kategorier av uppgifter som skulle lagras för respektive kommu- nikationssätt. Inga uppgifter som avslöjar kommunikationens innehåll fick lagras enligt direktivet. Av skäl 13 i ingressen framgick att lagringen också borde ske på ett sådant sätt att man undviker att uppgifter lagras mer än en gång. 4.1.3Hanteringen av lagrade uppgifter Enligt artikel 4 i direktivet skulle medlemsstaterna vidta åtgärder för att säkerställa att lagrade uppgifter görs tillgängliga endast för behöriga nationella myndigheter i vissa närmare angivna fall. De närmare förutsättningarna för när och under vilka förutsättningar uppgifterna får lämnas ut skulle fastställas i respektive medlemsstat. I skäl 25 i ingressen klargjordes att direktivet inte påverkade hur medlemsstaterna reglerar frågan om de nationella myndigheternas tillgång till och användning av trafikuppgifter. I skäl 17 i ingressen framhölls dock att medlemsstaterna måste anta lagstiftning som säkerställer att lagrade uppgifter är tillgängliga bara för behöriga nationella myndigheter i enlighet med nationell lagstiftning och som respekterar grundläggande rättigheter för berörda personer fullt ut. Medlemsstaterna skulle säkerställa att de lagrade uppgifterna på begäran kan överföras till behöriga myndigheter utan dröjsmål (artikel 8). Frågan om uppgiftsskydd och datasäkerhet reglerades i artikel 7 i direktivet. Där angavs att varje medlemsstat, utan att det påverkar tillämpningen av de bestämmelser som antagits i enlighet med direk- tiv 95/46 och direktiv /58, ska säkerställa att leverantörerna som lagrar uppgifter enligt direktivet som ett minimum respekterar vissa principer om datasäkerhet. Dessa var närmare angivna så att de lagrade uppgifterna dels skulle vara av samma kvalitet och före- mål för samma säkerhet och skydd som uppgifterna i nätverket, dels skulle omfattas av lämpliga tekniska och organisatoriska åtgärder som säkerställer att de skyddas mot förstöring, förlust, ändring eller olaglig lagring, behandling av, tillgång till eller avslöjande av upp- gifterna samt som säkerställer att tillgång ges endast till bemyndigad personal. Vidare angavs att uppgifterna skulle förstöras vid slutet av lagringstiden, utom de uppgifter för vilka tillgång har medgetts och som har bevarats. I artikel 9 angavs vidare att varje medlemsstat skulle utse en eller flera oberoende myndigheter för att övervaka leverantörernas tillämpning av artikel 7. I skäl 16 i ingressen erinrades om tjänsteleverantörernas skyldig- heter att vid behandlingen garantera uppgifternas kvalitet, sekretess och säkerhet i enlighet med dataskyddsdirektivet. Enligt artikel 13 i datalagringsdirektivet skulle medlemsstaterna också se till att de natio- nella åtgärder som genomför bestämmelserna om rättslig prövning, ansvar och sanktioner i dataskyddsdirektivet blir tillämpliga även på de uppgifter som avsågs i datalagringsdirektivet. Den rätt till ersätt- ning som enligt dataskyddsdirektivet tillkommer varje person som lidit skada till följd av otillåten behandling eller någon annan hand- ling som är oförenlig med de nationella bestämmelser som genom- för direktivet skulle enligt skäl 19 i datalagringsdirektivet gälla även för personuppgifter enligt det sist nämnda direktivet. Medlemsstaterna ålades vidare att införa sanktioner för att beivra otillåten avsiktlig tillgång till eller överföring av lagrade trafikupp- gifter (artikel 13). om IT-brottslighet (CETS 185) liksom dataskyddskonventionen skulle också omfatta uppgifter som lagras i enlighet med direktivet om lagring av trafikuppgifter (skäl 20). Datalagringsdirektivet genomfördes i svensk rätt genom lag- och förordningsändringar som trädde i kraft . Bestämmel- serna om lagring finns i 6 kap. 16 a–f §§ LEK (prop. 2010/11:46, bet. 2011/12:JuU28, rskr. 2011/12:165–166). Kompletterande bestäm- melser finns i 37–46 §§ förordningen om elektronisk kommunika- tion. Till grund för genomförandet fanns förslag från Trafikuppgifts- utredningen som hade överlämnat sitt betänkande Lagring av tra- fikuppgifter för brottsbekämpning (SOU 2007:76) . När behandlade regeringens propo- sition återförvisades förslaget med stöd av 2 kap. 22 § RF till justi- tieutskottet för att där vila . När förslaget togs upp för förnyad behandling i kammaren bifölls det med kvalificerad majoritet. beslutade även på eget initiativ att de föreskrifter om skyddsåtgärder som regeringen bemyndigades att meddela skulle underställas för prövning (8 kap. 6 § RF). Detta skedde genom att en proposition underställdes riks- dagen där det föreslogs att skulle godkänna regeringens föreskrifter om särskilda tekniska och organisatoriska åtgärder för att skydda de lagrade trafikuppgifterna vilka hade förts in i förord- ningen om elektronisk kommunikation (prop. 2011/12:146, bet. 2011/12:JuU26, rskr. 2011/12:288–289). Den centrala bestämmelsen avseende lagringsskyldighetens omfatt- ning finns i 6 kap. 16 a § LEK. Lagringsskyldiga är enligt den be- stämmelsen de som bedriver anmälningspliktig verksamhet enligt 2 kap. 1 § samma lag. Därigenom omfattas leverantörer av allmänt tillgängliga kommunikationsnät av sådant slag som vanligen tillhanda- hålls mot ersättning och av allmänt tillgängliga elektroniska kom- munikationstjänster. Lagringsskyldigheten omfattar uppgifter som anges som nödvändiga för vissa preciserade syften. Dessa är formu- lerade som uppgifter som är nödvändiga för att kunna spåra och identifiera en kommunikationskälla, slutmålet för kommunikationen, datum, tid och varaktighet för kommunikationen, typ av kommu- nikation, kommunikationsutrustning samt lokalisering av mobil kom- munikationsutrustning. Lagringsskyldigheten omfattar uppgifter som leverantören genererar eller behandlar i sin verksamhet. Det innebär att leverantören inte har någon skyldighet att skapa uppgifter som denne annars inte genererar eller behandlar. Lagringsskyldig- heten är närmare strukturerad i vissa teknikslag. Dessa är angivna som telefoni, meddelandehantering, internetåtkomst och tillhanda- hållande av kapacitet för att få internetåtkomst (anslutningsform). I 39–43 §§ förordningen om elektronisk kommunikation anges på en mer tekniskt detaljerad nivå vilka uppgifter som ska lagras inom respektive teknikslag. PTS får också meddela närmare föreskrifter om de uppgifter som ska lagras (44 §). Av 6 kap. 16 a § LEK följer vidare att den svenska regleringen på två punkter går längre än vad direktivet krävde. Lagringsskyldig- heten omfattar nämligen även uppgifter som behövs för att lokali- sera mobil kommunikationsutrustning vid kommunikationens slut samt uppgifter som genererats eller behandlats vid misslyckad upp- ringning. En lagringsskyldig leverantör får enligt 6 kap. 16 a § tredje stycket LEK uppdra åt någon annan att utföra själva lagringen. Enligt 6 kap. 16 b § kan en leverantör, om det finns synnerliga skäl för det, undantas från lagringsskyldigheten. Lagringsskyldigheten gäller enligt 6 kap. 16 d § LEK från den dag då kommunikationen avslutades. Därefter ska uppgifterna utplånas, om det inte är så att de har begärts utlämnade men ännu inte hunnit lämnas ut. I sådana fall ska upp- gifterna i stället utplånas så snart de har lämnats ut.