sou · H4B365 · 2016-10-05 00:00:00 — Att den öppna polisens personuppgiftsbehandling i brottsbekämpande verksamhet kommer att omfattas av direktivet är uppenbart. Frågan om och i vilken utsträckning direktivet kommer att omfatta också Säkerhetspolisens verksamhet är ännu svår att besvara. I direktiven till Utredningen om 2016 års dataskyddsdirektiv (dir. 2016:21) konstateras att centrala delar av Säkerhetspolisens verksamhet är av sådant slag att unionsrätten inte är tillämplig. Den utredningen har därför fått i uppdrag att bland annat analysera och bedöma på vilket sätt Säkerhetspolisens personuppgiftsbehandling bör regleras och om det finns skäl att separera den regleringen från polisdatalagstiftningen. Utredningens uppdrag ska redovisas . Vi utgår i våra överväganden ifrån antagandet att det nya dataskyddsdirektivet kan komma att anses tillämpligt på i vart fall delar av Säkerhetspolisens verksamhet. Utredningen om 2016 års dataskyddsdirektiv har även Förstärkning av skyddet för den personliga integriteten... i övrigt uppdrag som rör bland annat tillsynsmyndighetens uppgifter med anledning av direktivet. Denna del av uppdraget ska redovisas i ett delbetänkande . 10.3.4Tillsynen över Säkerhetspolisens personuppgiftsbehandling bör utföras både av Datainspektionen och När det gäller frågan hur tillsynen över Säkerhetspolisens personuppgiftsbehandling i fortsättningen bör vara utformad för att erbjuda ett så starkt och ändamålsenligt skydd som möjligt för den enskildes personliga integritet måste några särskilda omständigheter vägas mot de eventuella nackdelar som kan uppstå med en parallell tillsyn. fann i sitt nämnda avgörande att Datainspektionens tillsyn över Säkerhetspolisen, inte ens tillsammans med den tillsyn som också bedrivs av andra myndigheter, motsvarar krav på ett effektivt rättsmedel. SIN tillkom bland annat för att råda bot på denna brist. Tillsynen över Säkerhetspolisens personuppgiftsbehandling kan mot den bakgrunden inte lyftas bort från SIN för att uteslutande utföras av Datainspektionen om inte sådana åtgärder vidtas som innebär att Datainspektionens tillsyn kommer att utgöra ett effektivt rättsmedel enligt artikel 13 i . Exakt vilka åtgärder som detta skulle kräva är emellertid oklart. Datainspektionen har inte SIN:s särskilda beslutsform, en nämnd med en parlamentarisk förankring. Denna beslutsform har ansetts särskilt lämplig i ärenden som präglas av så stark sekretess och begränsade möjligheter till insyn som Säkerhetspolisens säkerhets- och underrättelseverksamhet. Om Datainspektionen i fortsättningen ensam skulle ansvara för tillsynen över Säkerhetspolisens personuppgiftsbehandling måste det därför övervägas om en sådan särskild beslutsform bör införas även där. Att tvärtom överväga en ordning som innebär att endast SIN i fortsättningen ska vara behörig att utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling skulle å andra sidan, i den mån det nya dataskyddsdirektivet kommer att anses omfatta i vart fall delar av Säkerhetspolisens verksamhet, förutsätta anpassningar till bland Förstärkning av skyddet för den personliga integriteten... annat direktivets krav på tillsynsmyndigheternas befogenheter. SIN saknar som angetts vissa av dessa befogenheter. SIN:s uttalanden är inte heller bindande beslut och de kan inte överklagas. Nämndens särskilda sammansättning med parlamentariskt utsedda ledamöter gör det enligt vår mening inte lämpligt att föreslå någon ändring i det avseendet. I detta sammanhang kan vi också konstatera att Artikel 29- gruppen, dvs. den grupp inom EU med representanter för medlemsstaternas tillsynsmyndigheter som bland annat syftar till en enhetlig tillämpning av , har rekommenderat att tillsynen över säkerhets- och underrättelseverksamhet ska utföras av den nationella centrala tillsynsmyndigheten (i Datainspektionen) eller av ett särskilt organ i samarbete med den nationella tillsynsmyndigheten.12 Dessa omständigheter talar mot att låta SIN ensamt ansvara för tillsynen över Säkerhetspolisen. Sammantaget anser vi mot denna bakgrund att både Datainspektionen och SIN även i fortsättningen ska vara behöriga att utöva tillsyn över Säkerhetspolisens behandling av personuppgifter i den brottsbekämpande verksamheten. De två myndigheterna kan när det gäller Säkerhetspolisens personuppgiftsbehandling tillsammans tillhandahålla en ordning som ger ett starkt skydd för den enskildes personliga integritet. De parallella tillsynsbefogenheterna kompletterar här varandra och blir inte i praktiken behäftade med några sådana negativa konsekvenser som annars kan bli följden av en parallell tillsyn. SIN har en väl upparbetad kunskap om och erfarenhet av de särskilda förhållanden som gäller för Säkerhetspolisens verksamhet, som ju omgärdas av stark sekretess och mycket begränsad insyn. Det finns vid och i nämnden en väl etablerad och fungerande ordning för att hantera det ofta omfattande hemliga material som utgör grunden för tillsynen. Nämndens särskilda sammansättning ger en stark parlamentarisk anknytning, med ledamöter som kan sägas representera allmänheten och garantera en medborgerlig insyn. Dessutom motsvarar den kontrollverksamhet som utförs av SIN, tillsammans med skyldigheten att anmäla förhållanden till myndigheter som kan fatta rättsligt bindande 12 Opinion 04/2014 on surveillance of electronic communications for intelligence and national security purposes, Article 29 Data Protection Working Party, . Förstärkning av skyddet för den personliga integriteten... beslut, krav på ett effektivt rättsmedel. Det kan tilläggas att det också i många andra länder är vanligt med särskilda tillsynsorgan för säkerhets- och underrättelseverksamhet. För att leva upp till även de EU-rättsliga kraven på vilka befogenheter en tillsynsmyndighet bör ha, krav som kan komma att åtminstone till viss del omfatta även Säkerhetspolisens personuppgiftsbehandling, samt för att tillhandahålla en ordning som innebär att ett bindande beslut om exempelvis förbud eller rättelse kan meddelas och att ett sådant beslut också kan överklagas till allmän förvaltningsdomstol bör även Datainspektionen ha behörighet att med bibehållna befogenheter utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. En sådan ordning är också lämplig med tanke på att Datainspektionen ska ha ett helhetsperspektiv när det gäller dataskyddsfrågor och följa utvecklingen på it-området. Detta gäller inte minst med tanke på det kommande arbetet inom dataskyddsstyrelsen. En ordning som innebär att två myndigheter även i fortsättningen är behöriga att utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling stämmer dessutom väl överens med den som gäller på försvarsunderrättelseområdet. Statens inspektion för försvarsunderrättelseverksamheten (Siun) utövar sin tillsyn parallellt med Datainspektionen och denna ordning är av allt att döma inte ifrågasatt. De verksamheter som är föremål för tillsyn av SIN respektive Siun uppvisar likheter, särskilt vad gäller den starka begränsningen av allmänhetens insyn och behovet av särskilda tillsynsinsatser som kan stärka det medborgerliga förtroendet för verksamheterna. I praktiken torde en ordning av detta slag innebära att de huvudsakliga tillsynsinsatserna på samma sätt som kommer att utföras av SIN. I detta sammanhang bör SIN:s anmälningsskyldighet till Datainspektionen beröras. För att säkerställa en ordning som innebär att iakttagelser om otillåten personuppgiftsbehandling vid behov kan resultera i ett bindande och överklagbart beslut och som även tillgodoser de EU-rättsliga kraven på tillsynsmyndigheternas befogenheter, krav som till viss del kan komma att omfatta även Säkerhetspolisen, har vi övervägt om de finns behov av förändringar i den nuvarande ordningen beträffande när och hur SIN ska anmäla frågor om personuppgiftsbehandling till Datainspektionen. En sådan anmälningsskyldighet följer av SIN:s Förstärkning av skyddet för den personliga integriteten... myndighetsinstruktion, som anger att SIN i ska anmäla vissa iakttagelser till Datainspektionen, Justitiekanslern och Åklagarmyndigheten.13 Det är emellertid en skillnad mellan hur SIN:s anmälningsskyldighet är formulerad i förhållande till Datainspektionen respektive till de två andra myndigheterna. SIN ska, om man i sin verksamhet uppmärksammar förhållanden som kan utgöra brott, anmäla detta till eller annan behörig myndighet. Om nämnden uppmärksammar felaktigheter som kan medföra skadeståndsansvar för staten gentemot en fysisk eller juridisk person ska nämnden anmäla detta till Justitiekanslern. Anmälningsskyldigheten i förhållande till Datainspektionen är däremot något svagare formulerad. Den förutsätter en mera fri bedömning av SIN om nämnden finner omständigheter som Datainspektionen bör uppmärksammas på, ska nämnden anmäla det till inspektionen. Våra kontakter med SIN och Datainspektionen har visat att myndigheterna har gjort något olika tolkningar av denna anmälningsskyldighet. För att säkerställa att rättsligt bindande och överklagbara beslut ska kunna meddelas som föreskriver exempelvis att oriktigt behandlade personuppgifter ska rättas eller att en behandling ska upphöra, har vi övervägt att föreslå skärpningar av hur SIN:s anmälningsskyldighet till Datainspektionen formuleras. En sådan skärpning skulle kunna ske genom att SIN åläggs att göra en anmälan till Datainspektionen så snart nämnden har funnit förhållanden som utgör otillåten personuppgiftsbehandling. Vi har emellertid kunnat konstatera att även om SIN:s beslut inte är rättsligt bindande så följer polisen SIN:s uttalanden, något som enligt SIN är ett skäl till varför nämnden inte haft anledning att göra någon anmälan till Datainspektionen. Till skillnad från vad som gäller i förhållande till och Justitiekanslern – SIN kan inte själv fatta beslut om att inleda en förundersökning eller att tillerkänna någon skadestånd – har SIN därmed såvitt vi har kunnat finna i praktiken åstadkommit vad en anmälan till Datainspektionen skulle syfta till, dvs. exempelvis att en felaktig uppgift rättas eller att en otillåten behandling upphör. Det finns mot den bakgrunden inte skäl att nu införa en regel som kräver att SIN ska anmäla till Data- 13 20 § förordningen (2007:1141) med instruktion för . Förstärkning av skyddet för den personliga integriteten... inspektionen varje gång SIN konstaterat att det förekommit en otillåten personuppgiftsbehandling. En anmälningsskyldighet bör i stället föreligga bara när det finns ett behov av att Datainspektionen utnyttjar sina korrigerande befogenheter genom bindande och överklagbara beslut. Ett sådant behov uppkommer inte om Säkerhetspolisen självmant följer ett uttalande från SIN som pekar på ett behov av att vidta vissa åtgärder för att komma tillrätta med en felaktig behandling. Om det däremot skulle inträffa att Säkerhetspolisen inte rättar sig efter SIN:s uttalande i ett tillsynsärende, bör SIN anmäla detta till Datainspektionen, som då kan vidta åtgärder i form av exempelvis ett beslut med föreläggande om rättelse. En sådan tolkning av innebörden av SIN:s anmälningsskyldighet i förhållande till Datainspektionen som den vi har beskrivit ryms enligt vår mening inom den nuvarande lydelsen av bestämmelsen. Det saknas därför behov av att genom författningsändringar skärpa anmälningsskyldigheten. 10.3.5Tillsynen över den öppna polisens personuppgiftsbehandling bör utföras av Datainspektionen När det så gäller den öppna polisens personuppgiftsbehandling i den brottsbekämpande verksamheten gör vi följande överväganden. De särskilda omständigheter som gäller beträffande tillsynen över Säkerhetspolisens personuppgiftsbehandling gör sig inte gällande med samma styrka när det gäller den öppna polisen. Det är inte här fråga om en verksamhet som i alla delar omgärdas av samma starka sekretess och begränsade insyn. När det gäller det från integritetssynpunkt allra känsligaste området, nämligen underrättelseverksamhet, kan dock sekretessen vara lika stark hos den öppna polisen som hos . rör här främst, på ett nationellt plan, de principiella och samhällsekonomiska invändningarna mot parallell tillsyn samt de praktiska problem som riskerar att uppstå när det är oklart vilken myndighet som i ett enskilt fall ska inleda ett tillsynsärende. När det gäller tillsynen över den öppna polisens personuppgiftsbehandling har tillsynsuppdraget i praktiken snarare kommit att vara parallellt än kompletterande. Ett exempel på detta för- Förstärkning av skyddet för den personliga integriteten... hållande är, som nämnts, tillsynsärendena om de s.k. kringresande- och kvinnoregistren som fördes av de dåvarande Polismyndigheterna i respektive Stockholm.14 Det förstnämnda tillsynsärendet hanterades av SIN och det andra av Datainspektionen. I båda fallen var det fråga om personuppgiftsbehandling i den öppna polisens brottsbekämpande verksamhet och det kan för en utomstående vara svårt att förstå varför de inte prövades av samma myndighet. De frågeställningar som tillsynen avsåg var delvis likartade, vilket illustrerar risken för att de två myndigheterna skulle kunnat komma till oförenliga slutsatser. Som redan framhållits medför också de båda myndigheternas olika befogenheter och den omständigheten att Datainspektionens men inte SIN:s beslut kan överklagas, att det kan få betydelse vilken av myndigheterna som hanterar ett tillsynsärende. Mot det nu sagda kan emellertid invändas att det var en förstärkning av tillsynen som man ville uppnå när SIN:s tillsynsuppdrag utvidgades till att också omfatta den öppna polisens personuppgiftsbehandling. Då anfördes som en fördel att de båda myndigheterna skulle utöva sin tillsyn med utgångspunkt i sina olika uppdrag. Datainspektionen skulle kontrollera att allmänna principer för behandling av personuppgifter tillämpades. Med tanke på att Datainspektionens tillsynsområde är så omfattande ansågs det vara av värde om inspektionens tillsyn kompletterades med tillsyn genom en myndighet som har till särskild uppgift att utöva tillsyn över brottsbekämpandeverksamhet. Tanken var att på detta sätt åstadkomma en mer allsidig och därigenom förstärkt tillsyn. Även om sekretessen i den öppna polisens brottsbekämpande verksamhet inte i alla delar är lika omfattande och stark som i Säkerhetspolisens underrättelseverksamhet är allmänhetens insyn även här i många fall begränsad. Att Datainspektionens tillsyn under sådana förhållanden kompletteras av ytterligare ett tillsynsorgan, som dessutom genom den parlamentariska anknytningen kan sägas representera allmänheten, bedömdes också vara en positiv förstärkning av tillsynen. Ordningen med parallella tillsynsorgan har emellertid inte, på det sätt som avsågs, inneburit att de två myndigheterna utövar 14 Säkerhets- och integritetsskyddsnämndens ärende med dnr 173-2013, uttalande respektive Datainspektionens ärende med dnr 2790-2014, beslut . Förstärkning av skyddet för den personliga integriteten... tillsyn med olika fokus. Datainspektionens och SIN:s tillsynsuppdrag kan avse samma frågeställningar, gälla samma regelverk och utövas med samma bedömningsgrunder. Tillsynen inriktas i båda fallen på de områden som kan ge upphov till särskilda risker från integritetssynpunkt. Intentionerna att Datainspektionen skulle kontrollera mer allmänna principer och att SIN skulle komplettera denna tillsyn med sin särskilda kompetens har därmed inte uppfyllts. Möjligen skulle fördelarna med den parallella tillsynen kunnat vara större om de två myndigheterna haft mer olika fokus, på det sätt som var förutsatt. Följden av att så inte blivit fallet är att två myndigheter med samma uppdrag utövar tillsyn över samma verksamhet, utan att de tänkta fördelarna med en granskning från olika utgångspunkter såvitt kan bedömas har uppkommit i praktiken. Till detta kommer de praktiska invändningar som kan riktas mot den nuvarande ordningen. För att undvika kolliderande tillsynsinsatser för Datainspektionen och SIN en kontinuerlig dialog där de bland annat tar del av varandras tillsynsplaner. Genom löpande kontakter och utbyte av tillsynsplaner kan tillsynsinsatser som inriktas på samma frågor därigenom undvikas. Denna samordning tar emellertid i anspråk resurser utan att skapa något mervärde. Det finns även en risk att de två myndigheterna kan komma till olika slutsatser i fråga om en viss typ av behandling eller, som en följd av beslutens olika karaktär, att Datainspektionens beslut efter ett överklagande ändras medan SIN:s i princip likalydande uttalande i samma fråga fortfarande gäller och inte kan överklagas. I sådana situationer hjälper inte ett aldrig så väl utvecklat samråd mellan myndigheterna. Ett så effektivt utnyttjande som möjligt av allmänna medel torde förutsätta att det inte finns några oklarheter i frågan om vilken myndighet som ska göra vad och att det inte finns risk för att två myndigheter gör samma sak. En ordning som innebär att det kan uppfattas vara en slump vilken av myndigheterna som inleder ett tillsynsärende är enligt vår mening inte lämplig. Sammantaget anser vi därmed att den parallella tillsynen här, till skillnad från vad som gäller för tillsynen över Säkerhetspolisen, inte har fått de positiva effekter som eftersträvades. Den avsedda kompletteringen av Datainspektionens tillsyn har visserligen inneburit att fler tillsynsinsatser kunnat genomföras så att resultatet har blivit ”mer tillsyn”, men har visat sig innebära praktiska Förstärkning av skyddet för den personliga integriteten... problem för både tillsynsobjekten och tillsynsmyndigheterna, oklarheter i ansvarsfördelningen och risker för ett ineffektivt utnyttjande av allmänna resurser. De avsedda förstärkningarna av skyddet för den enskildes personliga integritet har därför inte åstadkommits genom införandet av parallella tillsynsbefogenheter när det gäller den öppna polisens personuppgiftsbehandling. Vi gör bedömningen att det inte är möjligt att genom lagstiftning eller på annat sätt formellt dela upp tillsynsansvaret på ett sådant sätt att de båda myndigheterna skulle kunna utöva tillsyn över den öppna polisen men inte ha ett överlappande tillsynsansvar. Det är svårt att se hur man på ett tillräckligt konkret och logiskt sätt skulle kunna definiera olika tillsynsuppgifter eller skiljelinjer mellan dem, och gränsdragningsproblemen skulle med en sådan lösning därmed sannolikt förvärras. Vi anser därför att övervägande skäl numera talar för att bara en myndighet ska utöva tillsyn över den öppna polisens personuppgiftsbehandling. I valet mellan Datainspektionen och SIN gör vi bedömningen att det bör vara Datainspektionen som har tillsynsansvaret för den öppna polisens personuppgiftsbehandling i den brottsbekämpande verksamheten. Det är bara Datainspektionen som har de befogenheter som såvitt vi nu kan bedöma krävs av det nya dataskyddsdirektivet. Datainspektionen utövar vidare tillsyn över alla andra myndigheter i den så kallade rättskedjan; , , , och Kriminalvården. Datainspektionen deltar också i ett flertal gränsöverskridande samarbeten, såsom Europol, Schengens informationssystem och Prümrådsbeslutet. Utvecklingen både i och inom EU går mot ett ökat utbyte av personuppgifter mellan dessa myndigheter. För att säkerställa att tillsynen över flödet av personuppgifter ska bli effektiv och bedrivas med en helhetssyn är det en fördel om tillsynen över alla dessa myndigheters personuppgiftsbehandling utövas av en och samma myndighet. Datainspektionen har den breda erfarenhet och kompetens som krävs för att utöva en sådan samlad tillsyn. Vi föreslår därför att SIN:s tillsynsuppdrag ändras så att det inte längre ska omfatta tillsyn över personuppgiftsbehandling i Polis- Förstärkning av skyddet för den personliga integriteten... myndighetens och Ekobrottsmyndighetens15 brottsbekämpande verksamhet. En ordning som innebär att endast Datainspektionen ska utöva tillsyn över personuppgiftsbehandlingen inom den öppna polisens brottsbekämpande verksamhet får till följd att Datainspektionen också bör ha en skyldighet att på begäran av en enskild kontrollera om han eller hon är föremål för en lagstridig personuppgiftsbehandling i den öppna polisens brottsbekämpande verksamhet. Med hänsyn till att det nya dataskyddsdirektivet ställer krav på tillsynsmyndigheten att utföra vissa kontroller på begäran av enskilda (artikel 46.1g) menar vi att den skyldighet som åligger SIN inte bör överföras ordagrant till Datainspektionen. I stället bör den utredning som har i uppdrag att föreslå hur direktivet ska genomföras i svensk rätt, bland annat när det gäller tillsynsmyndighetens uppgifter, återkomma till frågan om hur Datainspektionens skyldighet att utföra kontroller på begäran av enskilda bör utformas.16 En sådan skyldighet kommer dessutom så vitt vi kan bedöma att omfatta personuppgiftsbehandlingen i fler brottsbekämpande myndigheter än , såsom exempelvis och . Vi har ovan föreslagit att SIN även i fortsättningen ska utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Om tillsynen över den öppna polisens personuppgiftsbehandling bara ska utföras av Datainspektionen innebär detta att SIN:s verksamhet och uppdrag, såvitt gäller granskning av behandling av personuppgifter, återgår till den ordning som gällde . Utöver tillsynen över Säkerhetspolisens personuppgiftsbehandling kommer SIN även i fortsättningen att utöva tillsyn över de brottsbekämpande myndigheternas användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter, och därmed sammanhängande verksamhet, samt på begäran av en enskild kontrollera om han eller hon i strid med lag har utsatts för hemliga tvångsmedel eller varit föremål för Säkerhetspolisens personuppgiftsbehandling. SIN kommer härutöver även i fortsättningen att bedriva den verksamhet som utförs av de två 15Det är som har personuppgiftsansvaret för behandling av personuppgifter enligt polisdatalagen vid . 16Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06, dir. 2016:21). Förstärkning av skyddet för den personliga integriteten... särskilda organen Registerkontrolldelegationen och Skyddsregistreringsdelegationen. 10.3.6SIN:s tillsynsuppdrag bör inte avgränsas till vissa lagar SIN ska enligt lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet utöva tillsyn över den behandling av personuppgifter enligt polisdatalagen (2010:361) och lagen (2010:362) om polisens allmänna spaningsregister som utförs av de myndigheter som omfattas av SIN:s tillsyn. När det gäller Säkerhetspolisen ska tillsynen också avse behandling enligt den gamla polisdatalagen (1998:622). Att tillsynsuppdraget på detta sätt begränsas till två specifika lagar har visat sig leda till vissa tillämpningsproblem och osäkerhet om myndighetens tillsynsmandat i tillsynsärenden där en personuppgiftsbehandling även aktualiserar tillämpningen av någon annan registerlagstiftning. Osäkerheten förstärks när regeringen i förarbetena till annan lagstiftning anför att SIN:s tillsyn över personuppgiftsbehandling, trots den uttryckliga formuleringen i 1 § lagen om tillsyn över viss brottsbekämpande verksamhet, inte bara gäller polisdatalagen utan även närliggande lagstiftning.17 Vi menar att ett mera ändamålsenligt sätt att avgränsa SIN:s tillsynsansvar är att inte koppla det till personuppgiftsbehandling enligt vissa lagar. Uppdraget bör i stället formuleras så att SIN ska utöva tillsyn över den behandling av personuppgifter som utförs i brottsbekämpande verksamhet i de myndigheter som omfattas av tillsynen. Av våra tidigare förslag följer att detta kommer att innebära Säkerhetspolisen. Med en sådan avgränsning av tillsynsansvaret behövs inte heller någon särskild hänvisning till den gamla polisdatalagen. 17 Se t.ex. prop. 2012/13:73, s. 114 f. Förstärkning av skyddet för den personliga integriteten... 10.4Frågan om ett integritetsskyddsråd