sou · H4B341 · 2016-06-07 00:00:00 — Eftersom känsliga personuppgifter inte får användas för sökningar i innebär detta en risk för otillbörliga integritetsintrång. Datainspektionen framhöll också att är extra integritetskänsligt, bl.a. på grund av att kraven för att registrera upp- gifter i registret är låga och för att även personer som inte är miss- tänkta för brott får registreras. Datainspektionen ansåg även att det var av betydelse att det är många inom polisen som har tillgång till registret.28 Även har tidigare i samband med granskning av konstaterat vissa brister, fram- för allt i fråga om rutiner för behandling av känsliga personuppgifter .29Datainspektionen har dessutom uppmärksammat att Nationellt forensiskt centrum tidigare gjort en otillåten jämförelse mellan DNA-profiler i laboratoriets elimineringsdatabas och det spårregis- ter som förs med stöd av polisdatalagen.30 Elimineringsdatabasen är lagreglerad. Vidare har granskat behandling av personuppgifter i penningtvätts- registret (PTR) och framfört kritiken att det i flera granskade ären- den har saknats lagliga förutsättningar att behandla vissa personupp- gifter. Det konstaterades också att gallring av personuppgifter i ett granskat ärende inte har gjorts i rätt tid samt att rutinerna var sådana att det fanns risk att motsvarande fel skulle begås igen.31 har även granskat Polismyndigheternas i och behandling av personuppgifter i underrättelseverksamhet. Nämnden har sedan uttalat kritiken att känsliga personuppgifter i flera fall har behandlats utan att det har varit absolut nödvändigt, att uppgifter har varit tillgängliga i en alltför vid krets och att det närmare ändamå- let med behandlingen av personuppgifter i vissa uppgiftssamlingar 28 Polisen överklagade de delar av beslutet som gällde hur polisen gallrar uppgifter i registret och hanterar personer med skyddade personuppgifter. Förvaltningsrätten i avslog överklagandet i dom (mål nr 8685-15) och Kammarrätten i har beslutat att inte meddela prövningstillstånd (beslut i mål nr 3435-15). 29 Beslut (dnr 15-2013). 30 Beslut , dnr 514-2012). 31 Uttalande bl.a. dnr 111-2013. De brottsbekämpande myndigheternas verksamhet har varit alltför vitt. Nämnden påtalade också att uppgifter behand- lats utan att det har funnits något konkret behov av dem, att det när- mare ändamålet med behandlingen i vissa fall inte framgått tillräck- ligt tydligt, att det i vissa fall inte har framgått tillräckligt tydligt vilka personer som inte är misstänkta för brott samt att uppgifter inte har gallrats i rätt tid.32 Ett annat uppmärksammat exempel är i s.k. kringresanderegister som Säkerhets- och integritetsskydds- nämnden har kritiserat.33 Av nämndens uttalande framgår bl.a. att polismyndighetens behandling av personuppgifter var olaglig i flera avseenden. Enligt nämnden var den allvarligaste bristen att ändamå- let med personuppgiftsbehandlingen var alldeles för vitt och därför inte gav några ramar för personuppgiftsbehandlingen, att det inte fanns behov av att registrera alla de personer som fanns i uppgiftsam- lingen, inte ens med det vida ändamål som gällt, och att det inte fanns ett tillräckligt tydligt samband mellan den av polismyndigheten angivna brottsligheten och de personuppgifter som behandlades. Sammantaget bedömdes uppgiftssamlingen därför i vart fall delvis ha fått karaktären av en ”bra att ha”-uppgiftssamling. Justitiekanslern gjorde sedermera bedömningen att bristerna sammantagna var så allvarliga att de personer vilkas uppgifter behandlats i nämnda regis- ter blivit utsatta för en sådan kränkning av den personliga integrite- ten som ger dem rätt till ersättning av staten enligt 48 § personupp- giftslagen.34 har senare konstaterat att i har vidtagit åtgärder för att korrigera dessa felaktigheter35. Även Justitieombudsmannen36 har konstaterat att det förelegat brister och uttalat kritik mot polisen och elva av de registrerade har vid väckt en skadeståndstalan mot staten.37 Sedan det uppmärksammats att en polismyndighet hade fört ett register över misshandlade och hotade kvinnor som innehållit mycket känsliga uppgifter om kvinnorna och deras anhöriga, inledde Datainspektionen en granskning av nämnda register. 32 Uttalande (dnr 67-2014 respektive 69-2014). 33 Uttalande (dnr 173-2013). 34 Justitiekanslerns beslut , dnr . 35 Dnr 463-2013. 36 Beslut , dnr 5205-2013. 37 Tingsrättens mål nr T 2978-15, T 2986-15, T 2993-15, T 2996-15, T 2998-15, T 3002-15, T 3006-15, T 3010-15, T 3011-15, T 3012-15 och T 3013-15. De brottsbekämpande myndigheternas verksamhet granskning konstaterade Datainspektionen bl.a. att registret var olagligt och bröt mot regler i såväl gamla och nya polisdatalagen som personuppgiftslagen. Registret innehöll bl.a. uppgifter av typen ”Lätt förståndshandikappad kille”, ”Psykopatvarning”, ”Borderline samt bipolär”, ”Mytoman” och ”Styvsonen homosexuell”. Registret innehöll dessutom registreringar. Inga uppgifter hade gallrats ur registret trots att polisen i alla sina register löpande ska pröva vilka uppgifter som ska finnas kvar. Datainspektionen konsta- terade vidare att polisen själva fattade beslut om att upphöra med det här registret, men att verksamheten ändå fortsatt som om inget har hänt samt att det tyder på bristande intern kontroll och uppföljning inom polisen. Datainspektionen har därför förelagt polisen att genast sluta använda registret.38 Vidare har anmält ett annat fall där polisen behandlat uppgifter om en person enbart på grund av dennes religiösa övertygelse och gjort bedömningen att detta kan utgöra brott.39 Nämnden har även i en granskning granskat behandling av personuppgifter i polisens signale- mentsregister och funnit systematiska brister vad gäller gallring av uppgifter.40 Mot den bakgrunden, och med beaktande av att det är system med mycket stor spridning, föranledde bristerna skarp kritik. Nämnden konstaterade även att drygt 27 000 användare har formell behörighet till systemet. Nämnden uppmanade därför Polismyndig- heten att se över behörighetstilldelningen och rutinerna för att om- pröva och avsluta tilldelade behörigheter i systemet. Det har även förekommit att , i syfte att få all- mänhetens hjälp att identifiera personer misstänkta för brott, har publicerat bilder från övervakningskameror på internet. Efter att klagomål mot ett sådant förfarande hade anmälts till Justitieombuds- mannen, anförde bl.a. följande i sitt beslut: För att en sådan åtgärd ska vara rättsenlig och lämplig i övrigt, krävs att åtgärden är av synnerlig vikt för utredningen, att bilderna visar någon som utför vad som objektivt sett är ett brott eller försök till brott och att det för brottet inte ska vara föreskrivet lindrigare straff än fängelse . 38 Datainspektionens beslut , dnr 2790-2014. 39 Dnr 67-2014. 40 SIN:s uttalande , dnr 2015-47. De brottsbekämpande myndigheternas verksamhet Om det rör sig om särskilt grov brottslighet eller om den misstänkte på goda grunder kan antas vara farlig för allmänheten eller enskilda, kan en publicering undantagsvis vara försvarbar även utan ett så starkt bevisläge.41 När det gäller s.k. kringpersoner, dvs. personer som inte själva är misstänkta för brott, har Datainspektionen dessutom vid en gransk- ning av behandling av personuppgifter i dess brottsbe- kämpande verksamhet uppmärksammat brister när det gäller uppfyl- landet av skyldigheten i 16 § lagen om behandling av uppgifter i brottsbekämpande verksamhet att förse registrerade uppgifter med en särskild upplysning om att personen i fråga inte är misstänkt för brott.42 Som nämns i avsnitt 18.6.3 har Datainspektionen dessutom vid inspektion av en s.k. särskild undersökning vid i kriminalunderrättelseverksamhet konstaterat bl.a. att framför allt genom s.k. mobiltömningar hade kommit över en mycket stor mängd överskottsinformation, bl.a. uppgifter om tidigare misstänktas kontaktnät, och registrerat bl.a. uppgifter från telefonernas adressböcker i en sökbar databas. Det konstaterades även att det beträffande av dessa uppgifter, varken vid registrering eller senare gallring hade prövats om registre- ringen uppfyller lagens krav. Datainspektionen, som även noterade att ett flertal anställda hade tillgång till databasen och att det saknas spårbar behandlingshistorik som visar vad den inloggade har vidtagit för åtgärder, förelade därför i att upphöra med denna behandling av personuppgifter.43 Det har även i andra sammanhang uppmärksammats brister när det gäller polisens gallring av uppgifter.44 Gallringsbestämmelserna syftar i första hand till att skydda den enskildes integritet genom att sätta en yttersta tidsgräns för det intrång som behandlingen innebär. Ett sätt att komma till rätta med dessa problem kan vara att förbättra det tekniska stödet så att systemet automatiskt raderar vissa upp gifter , eller i vart fall uppmärksammar användaren på 41 beslut , dnr 4787-2009. 42 Datainspektionens beslut , dnr 111-2013. 43 Datainspektionens beslut , dnr 1849-2011. 44 Datainspektionens beslut (dnr 205-2013) samt SIN:s uttalanden (dnr 111-2013) och (dnr 67-2014 och dnr 69-2014). De brottsbekämpande myndigheternas verksamhet behovet av gallring. Detta försutsätter också att myndigheterna erhåller tillräckliga resurser för att bl.a. ta fram och utveckla sådant teknikstöd. Det förekommer att tjänstemän vid döms för dataintrång som består i att de har använt polisregister för att ta fram uppgifter som de inte behövs i tjänsten, exempelvis gjort slagningar på sig själva eller sina närstående. har dock myndigheten i viss utsträckning stramat upp sina rutiner för att und- vika den typen av beteende, bl.a. genom olika varningstexter på data- skärmen och s.k. loggning av sökningar i vissa register, dvs. att sök- historik sparas så att det i efterhand går att se vem som gjort vad. Denna uppstramning bör leda till att antalet dataintrång inom poli- sen minskar. Förekomsten av dataintrång som begås av anställda visar dock på behovet av att också begränsa den faktiska tillgången till uppgifter som inte är nödvändig för t.ex. olika personalkatego- rier. Utformningen och tilldelningen av behörigheter är ett viktigt verktyg för att uppnå det integritetsskydd som föreskrivs i polisda- talagen, liksom intern kontroll, genom t.ex. loggning, och uppfölj- ning. Det kan skada allmänhetens förtroende för de brottsbekämpande myndigheternas verksamhet att reglerna fortfarande inte följs fullt ut. Omorganisationen av polisen innebär en möjlighet för verksam- heten att ta krafttag för att komma till rätta med de problem med att följa bestämmelserna som framgår av nämnda uttalanden och beslut från tillsynsmyndigheterna. Enligt uppgift som framförts från till kommit- tén har myndigheten genomfört ett flertal åtgärder som är ägnade att stärka skyddet för den personliga interiteten. Det hand- lar bl.a. om skärpta rutiner för behörighetstilldelning, ökad spårbar- het och förbättrad åtkomstkontroll. har genom olika internationella överenskommelser åtagit sig att överlämna information som härrör från brottsbekämpande verk- samhet dels till polis- och åklagarmyndigheter i andra länder, dels till De brottsbekämpande myndigheternas verksamhet organisationer som Interpol45 och Europol46. På samma sätt erhåller de svenska brottsbekämpande myndigheterna information från ut- ländska myndigheter. Uppgifter delas både inom underrättelseverk- samheten och inom ramen för förundersökning, och kan omfatta uppgifter om såväl särskilda organisationer och företeelser som enskilda individer. Informationsutbytet görs i olika situationer. En situation är när har förbundit sig att tillhandahålla information av visst slag utan särskild begäran, genom direktåtkomst eller på annat sätt. Det kan också vara fråga om att i en överenskommelse har åtagit sig att genomföra en viss åtgärd eller lämna viss information på begä- ran av en annan stat eller mellanstatlig organisation. Uppgiftsutläm- nandet kan också vara spontant på initiativ av den svenska polisen. 18.10.2 Det skyddande regelverket De uppgifter som utländska myndigheter önskar att få del av omfat- tas av sekretessbestämmelser i offentlighets- och sekretesslagen (2009:400), framför allt bestämmelser om sekretess till skydd för den brottsbekämpande verksamheten och till skydd för enskilda vilkas uppgifter behandlas i sådan verksamhet, men även an- dra sekretessbestämmelser kan vara aktuella. Enligt lagen får utläm- nande av uppgifterna får dock ändå göras till en utländsk myndighet om utlämnandet görs i enlighet med särskild föreskrift i lag eller för- ordning. Sådana föreskrifter finns i polisdatalagen och innebär att personuppgifter får lämnas ut till , Europol, eller en polis- myndighet eller åklagarmyndighet som är ansluten till i vissa brottsbekämpande syften, om det är förenligt med svenska in- tressen. Detsamma gäller utlämnande till utländsk underrättelse- eller säkerhetstjänst. Uppgifter får vidare lämnas till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som efter godkännande har tillträtt. Bestämmelsen tar framför allt sikte på ut- lämnande av uppgifter till Europol. 45 En mellanstatlig polisorganisation där medlemsstaterna i arbetet mot gränsöverskridande brottslighet samarbetar inom ramen för respektive medlemslands nationella lagstiftning. 46 Europeiska polisbyrån, ett av EU:s brottsbekämpande organ som samordnar utbytet av un- derrättelseinformation mellan medlemsstaterna framför allt när det gäller grov gränsöverskri- dande brottslighet. De brottsbekämpande myndigheternas verksamhet Enligt offentlighet- och sekretesslagen får utlämnande också gö- ras om uppgiften i motsvarande fall skulle få lämnas till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas ut. Ett exempel på sådant utlämnande är när en svensk myn- dighet i samband med en begäran om rättslig hjälp i en förundersök- ning lämnar ut sekretessbelagda uppgifter till en utländsk myndighet i syfte att få ett visst förhör genomfört. Av polisdatalagens hänvisning till vissa bestämmelser i person- uppgiftslagen följer ett förbud mot att föra över personuppgifter till ett land som inte är medlem i EU eller anslutet till EES (ett s.k. tredjeland), om landet inte har en adekvat nivå för skyddet av personuppgifterna. Från denna regel gäller dock vissa undantag. Här kan även nämnas kravet på uppgifter som samlats in för ett visst ändamål, inte får lämnas ut om utlämnandet är oförenligt med det ursprungliga ändamålet, vilket när det gäller detta område i normal fallet torde vara att förhindra och bekämpa brott. I många fall kan uppgifter lämnas ut med villkor som begränsar mottagarens användning av uppgiften. Det kan t.ex. handla om att begränsa mottagarens möjlighet att lämna uppgiften vidare eller på annat sätt använda den. Sådana villkor får inte strida mot en interna- tionell överenskommelse som är bindande för och i vissa fall inte heller innehålla andra begränsningar än sådana som får föreskri- vas vid överföring inom . Det finns därutöver ett antal författningar som reglerar utläm- nandet av personuppgifter till utländska myndigheter i vissa särskilda situationer, däribland följande. •I lagen (2000:343) om internationellt polisiärt samarbete regleras samarbete mellan svenska brottsbekämpande myndigheter och motsvarande myndigheter i andra medlemsstater i EU samt och . Lagen reglerar bl.a. och Prüm-samarbetet (som ger polismyndigheter inom EU rätt att söka i varandras DNA-, fingeravtrycks- och fordonsregister), men även annat samarbete som är konventionsbundet. Informa- tionsutbyte inom ramen för regleras dock framför allt i lagen (2000:344) om Schengens informationssystem. De brottsbekämpande myndigheternas verksamhet •Lagen (2003.1174) om vissa former av internationellt samarbete i brottsutredningar innehåller regler om gränsöverskridande samar- bete i enskilda brottsutredningar. •Lagen (2000:1219) om internationellt tullsamarbete reglerar det internationella tullsamarbete som syftar till att förhindra, upp- täcka, utreda och beivra överträdelser av tullbestämmelser. •I lagen (2000:562) om internationell rättslig hjälp regleras skyldig- heten för svensk myndighet att på en utländsk myndighets begä- ran vidta vissa åtgärder, som exempelvis hemliga tvångsmedel. En sådan begäran handläggs i av domstol eller åklagare, som kan begära biträde av bl.a. I princip används samma tillvägagångssätt som vid motsvarande svensk åtgärd. Lagen innehåller också bestämmelser om i vilken utsträckning svenska myndigheter kan begära rättslig hjälp utomlands. Genom lagen (2013:329) med vissa bestämmelser om skydd för per- sonuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen infördes kompletterande bestämmelser för ge- nomförde av rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (det s.k. dataskydds- rambeslutet). Lagen innehåller regler som gäller för viss behandling av personuppgifter vid det gränsöverskridande samarbetet mellan de brottsbekämpande myndigheterna inom EU samt , , och . 18.10.3 Risker för den personliga integriteten Det internationella utbytet av information spelar en viktig roll för bekämpningen av framför allt allvarlig och gränsöverskridande brottslighet.47 Det finns dock en risk för att informationsutbytet le- der till en förlorad kontroll över flödet av personuppgifter och för att den nationella lagstiftningen inte kan säkerställa ett skydd för in- formationen. Informationen kan t.ex. komma att användas för andra syften eller få en större spridning än vad som varit avsett. Det kan vidare vara svårt att åstadkomma rättelse och utplåning m.m. avse- 47 Se bl.a. prop. 2009/10:85 s. 170. De brottsbekämpande myndigheternas verksamhet ende uppgifter som har överförts till andra länder. Det måste också beaktas att graden av känslighet hos personuppgifter kan variera mellan olika länder. Vidare kan det, som bl.a. Säkerhets- och integri- tetsskyddsnämnden konstaterat i en rapport48, innebära praktiska svårigheter för en myndighet att bedöma om den mottagande staten vid ett s.k. tredjelandsutlämnande har en adekvat nivå för skyddet av personuppgifter. De risker som ett utlämnande av information kan medföra innebär att stora krav måste ställas på att bestämmelserna följs och på möjligheterna till kontroll av detta. En förutsättning för att extern granskning ska kunna genomföras och vara effektiv är naturligtvis att skälen för fattade beslut dokumenteras.49 18.11Kommitténs samlade bedömning av området De brottsbekämpande myndigheterna inhämtar information om en- skilda på en rad olika sätt och ofta information som är känslig från integritetssynpunkt. Mycket av informationen behandlas därefter bl.a. i olika register. Åtgärderna motiveras av intressen att förebygga, utreda eller beivra brott. Dessa intressen måste anses vara legitima och centrala i en rättsstat. Dessutom syftar brottsbekämpningen i många fall till att skydda just enskildas personliga integritet i olika avseenden. I detta kapitel om brottsbekämpande verksamhet har kommittén behandlat risker för integritetsintrång i samband med dessa företeel- ser: •Hemliga tvångsmedel med stöd av 27 kap. (hemlig rumsavlyssning, hemlig kameraövervakning, hemlig avlyssning och övervakning av elektronisk kommunikation samt genomsökning och kopiering av mobiler och datorer). •Användning av spaningsmetoder som främst regleras av polisla- gen. •Polisens aktivitet på internet. •Behandling av personuppgifter i register •Tillgång till uppgifter i flygbolagens register. 48 SIN:s rapport , dnr 886-2010. 49 Jfr ovan nämnda rapport samt SIN:s uttalande , dnr 205-2012. De brottsbekämpande myndigheternas verksamhet • Internationellt informationsutbyte. Behovet av, nyttan med och risken för integritetsintrång på grund av olika tvångsmedel har varit föremål för en omfattande kartläggning, framför allt inom ramen för Utredningen om vissa hemliga tvångs- medel.50 Utredningen gjorde dels en totalundersökning där man inhämtade uppgifter från de brottsbekämpande myndigheterna om varje enskilt ärende där den aktuella lagstiftningen tillämpats, dels djupundersökningar av vissa ärenden. Av kartläggningen framgår bl.a. att det överlag finns ett stort behov av tvångsmedlen samt att vissa tvångsmedel anses vara av särskild nytta, men att det fram- för allt i utredningar om organiserad brottslighet är av avgörande betydelse att information kan inhämtas på många olika sätt. tidigt konstaterades att tvångsmedlen medför integritetsintrång, som dock såväl de brottsbekämpande myndigheterna som domsto- larna på olika sätt försökt begränsa vid den praktiska tillämpningen. Det har alltså gjorts en grundlig genomgång där intresset av en ef- fektiv brottsbekämpning har vägts mot intresset av skydd för den enskildes personliga integritet. har det dock mer eller mindre kontinuer- ligt pågått en rad olika och delvis överlappande lagstiftningsprojekt på området. Så är fallet även . Dessa ständigt pågående föränd- ringar av regelverket gör det svårt att bedöma den samlade effekten av åtgärderna från ett integritetsperspektiv. har vissa lag- ändringar inneburit att regleringen i ökande grad har samlats i 27 kap. rättegångsbalken51 och därmed gjorts mer över- blickbart, vilket får anses vara positivt även ur ett integritetsperspek- tiv. Vidare har i större utsträckning uppställts krav på beslut från domstol för användning av tvångsmedlen. För dessa ärenden hos domstol har också införts ett ökat krav på offentliga ombud som ska bevaka enskildas integritetsintressen. 50 SOU 2012:44. 2011/12:55 och prop. 2013/14:237. De brottsbekämpande myndigheternas verksamhet Hemliga tvångsmedel med stöd av 27 kap. Tvångsmedlen som utförs med stöd av 27 kap. är alltså väl reglerade och innefattar olika skyddsfunktioner för den personliga integriteten. När det gäller hur gällande regelverk följs har dock i sin tillsyns- verksamhet uppmärksammat att även om de brottsbekämpande myndigheterna hanterar hemliga tvångsmedel på ett i huvudsak till- fredsställande sätt, föreligger vissa brister i verksamheten. En brist som uppmärksammats är att det material (upptagningar eller upp- teckningar) som erhållits genom hemlig tvångsmedelanvändning i vissa fall inte har förstörts tillräckligt snabbt.52 Det har vidare kon- staterats brister bl.a. i myndigheters dokumentation som inneburit att det inte alltid varit möjligt att följa handläggningen av tvångsme- delsärendena samt att hantering av underrättelser till enskilda i flera avseenden varit undermålig.53 Kommittén bedömer ur ett riskperspektiv att det föreligger viss risk för den personliga integriteten i samband med användning av olika tvångsmedel med stöd av 27 kap. . Vid denna bedömning har kommittén beaktat sannolikheten för att gemene man ska träffas av åtgärden, liksom att företeelserna är väl reglerade och att risken för oönskad spridning är låg. Ett hemligt tvångsmedel innebär dock ett mycket närgånget intrång i den personliga integriteten för den enskilda person som är föremål för åtgärden. När det gäller den generella skyldigheten för teleoperatörer att lagra vissa trafikuppgifter gör kommittén bedömningen att denna företeelse utgör ett väsentligt avsteg från den väl etablerade princi- pen att personuppgiftsansvariga bara får lagra personuppgifter som de själva har ett behov av. Användning av spaningsmetoder som främst regleras av polislagen. Det finns även ett antal företeelser som är av beaktansvärd betydelse från integritetssynpunkt men som trots detta är mer eller mindre oreglerade , bl.a. användningen av dolda kroppsmikrofoner och 52 Se t.ex. redovisning (dnr 97-2012) , dnr 96-2013] respek- tive (dnr 891-2014). 53 Se t.ex. SIN:s uttalanden , dnr 137-2014 och 2088-2014). De brottsbekämpande myndigheternas verksamhet handmanövrerade kameror samt möjligheterna att kopiera hela inne- hållet i datorer och mobiltelefoner.