sou · H4B341 · 2016-06-07 00:00:00 — Det anses däremot vara oklart om de brottsbekämpande myndigheterna får läsa ett meddelande, exempelvis ett sms, som mottas efter beslags- tidpunkten.15 Det krävs ett beslut om husrannsakan (28 kap. rätte- gångsbalken) för att bereda sig tillgång till en dator respektive en mobiltelefon om dessa inte är tillgänglig för beslag, t.ex. för att före- målet finns i en bostad. 15 s. 34. De brottsbekämpande myndigheternas verksamhet Trots att frågan inte uttryckligen reglerats anses de brottsbekäm- pande myndigheterna ha rätt att kopiera hela innehållet vid sin undersökning av beslagtagna mobiltelefoner och datorer, under för- utsättning att skälen för åtgärden uppväger det intrång eller men i övrigt som åtgärden innebär för den misstänkte eller för något annat motstående intresse.16 Vissa skriftliga handlingar, t.ex. meddelanden mellan en misstänkt och dennes försvarare, får dock inte tas i beslag. För vissa andra skriftliga handlingar, exempelvis meddelanden mellan den miss- tänkte och någon honom eller henne närstående, eller mellan sådana närstående inbördes, gäller att handlingen får tas i beslag endast om det är fråga om ett brott för vilket det inte är föreskrivet lindrigare straff än fängelse . Det har dock framförts olika uppfattningar om dessa undantags räckvidd när det gäller elektroniska handlingar.17 Avsaknaden av särskild reglering innebär vidare att det inte finns något generellt förbud mot att använda överskottsinformation som erhållits vid kopiering av en mobiltelefon eller dator. Vissa allmänna bestämmelser, exempelvis polisdatalagen, sätter dock vissa gränser för behandlingen av sådana uppgifter och uppställer dessutom vissa krav när det gäller bl.a. gallring. har i sitt betänkande18 föreslagit ett antal förtydliganden som tar sikte på just genomsökning och kopiering av innehållet i bl.a. mobiltelefoner och datorer. Förslaget innebär bl.a. att det införs uttryckliga bestämmelser om att beslag tagen egendom får kopieras och om att exempelvis en dator eller mobiltelefon som kan antas innehålla korrespondens mellan en miss- tänkt och dennes försvarare inte får genomsökas utan att den hos vilken beslaget gjorts och försvararen har beretts tillfälle att närvara vid undersökningen. Utredningen har även föreslagit att det inte ska vara tillåtet att ta ytterligare del av innehållet om det konstateras att datorn eller mobiltelefonen innehåller uppgifter som omfattas av tystnadsplikt. Även detta förslag har varit på remiss och bereds i regeringskansliet.19 16 Europeiska domstolens för de mänskliga rättigheterna dom i målet Robathin mot (30457/06). 17 Utredningens om it-brottskonventionen betänkande konvention om it-relate- rad brottslighet, SOU 2013:39, s. 151. 18 betänkande Förundersökning – objektivitet, beslag, doku- mentation m.m., SOU 2011:45. 19 Dnr Ju2011/4074/Å (arbete med lagrådsremiss pågår). De brottsbekämpande myndigheternas verksamhet 18.6.3Risker för den personliga integriteten Mobiltelefoner och datorer kan innehålla information om den miss- tänktes kontakter med andra som är av stor betydelse för brottsut- redningen och som inte kan erhållas på annat sätt. Genom att hela innehållet kopieras säkerställs att det kan undersökas utan risk för att originalet ändras eller går förlorat. En kopiering av hela innehållet kan dessutom göra det möjligt att lämna tillbaka originalet tidigare än vad som annars vore fallet, och på så sätt i någon mening begränsa de negativa konsekvenserna för den misstänkte. innehåller datorer och mobiltelefoner vanligtvis en hel del information som saknar betydelse för brottsutredningen, bl.a. känslig information av privat natur. Många mobiltelefoner fungerar som små datorer. Genom att hela innehållet kopieras ökar risken för oönskad spridning av all den information som kan bäras av enheten. Tömning av telefoner är dessutom ett mycket vanligt beslag. Det kan även nämnas att Datainspektionen vid en inspektion har konsta- terat att en polismyndighet hade samlat en mycket stor mängd över- skottsinformation från sådana s.k. mobiltömningar i en sökbar data- bas, utan att vid vare sig registrering eller gallring pröva uppgifters relevans för undersökningens ändamål såsom krävs enligt lag.20 En kopiering som följs av ett återlämnande av originalet anses dessutom medföra att den misstänkte förlorar möjligheten att påkalla rättens prövning av beslaget, vilket kan vara till nackdel för denne. Av dessa skäl och då innebörden av gällande rätt är oklar i vissa avseenden, exempelvis när det gäller korrespondens mellan en miss- tänkt och dennes försvarare, finns av integritetsskäl ett behov av för- tydliganden på detta område. 20 Datainspektionens beslut , dnr 1849-2011. De brottsbekämpande myndigheternas verksamhet 18.7Polismyndighetens informationsinhämtning på internet m.m. Behovet av spaning på internet ökar i takt med att allt mer kriminell verksamhet, t.ex. narkotikahandel, begås på internet. Viss informa- tion kan hämtas in genom att polisen endast tar del av befintlig infor- mation på internet, medan annan inhämtning görs genom att polisen är aktiv på internet. Information kan hämtas in öppet, utan att poli- sen i fråga döljer sin identitet, eller dolt, på så sätt att inhämtningen görs utan spårbarhet till polisen. använder även internet, inklusive sociala medier, för att bl.a. få in tips och vittnesuppgifter, men även för att sprida information i syfte att öka tryggheten hos medborgarna samt för att minska brottsligheten och stärka förtroendet för Polismyn- digheten. För att möjliggöra detta har polisen ett flertal Facebook- sidor och Twitter-konton. Dessa konton administreras oftast lokalt, av exempelvis ett närpolisområde. inhämtar också information från sociala medier och datorföretag som tillhandahåller e-posttjänster. Typiskt sett lämnar sådana aktörer ut abonnentuppgifter och IP-loggar, t.ex. information om från vilka IP-adresser som inloggningar gjorts på ett visst konto . När det gäller förfrågningar till vissa företag fungerar Nationella operativa avdelningen vid Polis- myndigheten som s.k. Single Point of Contact för svensk polis, för att förfrågningarna ska vara likformiga och kvalitetssäkrade. I 8 § polislagen finns ett generellt krav på att en polisman som har att verkställa en tjänsteuppgift ska under iakttagande av vad som före- skrivs i lag eller annan författning ingripa på ett sätt som är försvar- ligt med hänsyn till åtgärdens syfte och övriga omständigheter. Där- utöver har den tidigare gett ut en handledning med rubriken i sociala medier21, som uppdateras kontinuer- ligt. Handledningen behandlar bl.a. organisatoriska, juridiska och 21 KA-159-3040/11. De brottsbekämpande myndigheternas verksamhet etiska frågor och innehåller även konkreta råd och tips för polisens närvaro i sociala medier. När det gäller omnämnandet av personer i inlägg anges att information som kan riskera brottsoffers eller brottsmisstänktas integritet och säkerhet inte får publiceras. Inte heller får information som gör att läsaren kan identifiera en enskild individ läggas ut. och efterföljande behandling av personupp- gifter måste därutöver göras i enlighet med de generella krav för be- handling av personuppgifter som följer av bl.a. polisdatalagen. I princip alla sociala medier och datorföretag som tillhandahåller e-posttjänster har sitt säte utomlands. Deras utlämnande av upp gifter till svensk polis regleras därför av utländsk rätt. Vissa av aktö- rerna har därutöver egna regelverk och riktlinjer som kompletterar deras respektive nationella lagstiftning. I praktiken innebär detta att dessa aktörer i regel förser svensk polis med uppgifter om abonnen- ter och IP-loggar när det föreligger s.k. dubbel straffbarhet, dvs. när det brott som utreds i även är straffbart enligt aktörens nationella lagstiftning. måste alltså lämna infor- mation om vilken brottsrubricering ärendet gäller samt i regel även viss dokumentation, t.ex. skärmdumpar, angående det specifika brottet. För att svensk polis ska få ut innehållet i exempelvis ett e-post- meddelande krävs däremot en begäran om internationell rättshjälp, dvs. att svenska myndigheter begär bistånd från exempelvis en åkla- gare eller domstol i den andra staten. Den svenska lagstiftningen om rättslig hjälp i brottmål finns huvudsakligen i lagen (2000:562) om internationell rättslig hjälp i brottmål. Vissa kompletterande bestäm- melser återfinns dock i lagen (2003:1174) om vissa former av inter- nationellt samarbete i brottsutredningar. 18.7.3Risker för den personliga integriteten Polisens spaningsverksamhet på internet hör till ett område med svag reglering. Riskerna handlar t.ex. om bristande insyn över vilka uppgifter som samlas in och behandlas. De brottsbekämpande myndigheternas verksamhet 18.8Tillgång till uppgifter i flygbolagens databaser (, PNR) och i EU:s informationssystem för viseringar (VIS) Flygbolagen samlar passageraruppgifter (, PNR) i sina databaser. Många av dessa uppgifter kommer från pas- sagerarna själva (de har t.ex. lämnats vid bokning av en resa), medan andra uppgifter kommer från exempelvis resebyråer, hotell eller bil- uthyrare. Vissa av dessa uppgifter överförs på begäran till de brotts- bekämpande myndigheterna. Vidare för ett regis- ter över passagerare som ankommer direkt från länder som varken ingår i EU eller . Inom EU har dessutom skapats ett gemensamt informationssys- tem för viseringar (VIS), vilket i första hand syftar till att förbättra genomförandet av den gemensamma viseringspolitiken. De brotts- utredande myndigheterna inhämtar i viss utsträckning in uppgifter även från det systemet. Om uppgifterna kan antas ha betydelse för myndighetens brotts bekämpande verksamhet, får respektive Polismyndighe- ten enligt 6 kap. 23 § tullagen (2000:1281) och 15 § lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska Unionen respektive 25 § polislagen kräva att exem- pelvis flygbolag lämnar ut PNR-uppgifter om passagerares namn, resväg, bagage, medpassagerare samt betalnings- och bokningssätt. Av nämnda bestämmelse i polislagen framgår vidare att även Säker- hetspolisen kan kräva ut PNR-uppgifter. Av lagen (2006:444) om passagerarregister framgår vidare att , med hjälp av automatiserad behandling, ska föra ett register (passagerarregistret) över passagerare som ankommer direkt från länder som varken ingår i EU eller . Syftet med registret är att underlätta verkställandet av personkon- troller vid gräns mot stater som varken tillhör Europeiska De brottsbekämpande myndigheternas verksamhet unionen eller Schengenområdet. Personuppgifterna får i viss utsträckning lämnas ut till Säkerhetspolisen och och ska i regel gallras efter överföringen till . Med förbehåll för vissa särregler i lagen om passagerarregister, exempelvis nämnda gallringsskyldighet, gäller att inhämtade uppgifter ska behandlas i enlighet med regleringen i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verk- samhet respektive polisdatalagen. Genom Europeiska unionens råds beslut22 skapade EU ett gemensamt informationssystem för viseringar (VIS). Ändamålet, funktionen och ansvarsfördelningen för VIS, inklusive villkoren för utbyte av uppgifter mellan medlemsstaterna, regleras i Europaparla- mentets och rådets förordning (EG) nr 767/2008 av . De brottsbekämpande myndigheternas tillgång till dessa uppgifter baseras på rådets beslut23 och regleras i lagen (2000:343) om interna- tionellt polisiärt samarbete och förordningen (2010:705) om inter- nationellt polisiärt samarbete. Regleringen innebär i korthet att , för egen räkning eller på begäran av Säkerhetspo- lisen, , eller , genom direktåtkomst får söka uppgifter i VIS, om det i enskilda fall finns skäl att anta att uppgifter i systemet väsentligen kan komma att bidra till att utreda viss allvarlig brottslighet, eller om det finns skäl att anta att uppgifter i systemet väsentligen kan komma att bidra till att förebygga, förhindra eller upptäcka sådan brottslighet. Det finns dock vissa begränsningar av vilka sökbegrepp som får användas. Vidare gäller att personuppgifter som har hämtats från VIS får be- handlas för det ändamål som uppgifterna hämtades för samt för att utreda eller beivra brott i det enskilda fall som sökningen avsåg. 18.8.3Risker för den personliga integriteten Precis som vid annan insamling och efterföljande behandling av per- sonuppgifter finns en risk att fler uppgifter än nödvändigt samlas in och används för andra ändamål än det för vilket de samlades in. Denna risk ökar om uppgifterna inte gallras på ett ändamålsenligt sätt. 22 Rådets beslut /512/EG av . 23 Rådets beslut /633/RIF av . De brottsbekämpande myndigheternas verksamhet Kommissionen presenterade ett förslag till direk- tiv om användning PNR-uppgifter för brottsbekämpande ändamål inom EU. röstade igenom förslaget . Direktivet ska reglera skyldigheten för flygbolag att överföra passageraruppgiftssamlingar till enheter för passagerarinformation i medlemsstaterna, för vilka ändamål uppgifterna får behandlas, hur länge uppgifterna får lagras och under vilka förutsättningar de får lämnas ut. Flygpassageraruppgifterna får endast behandlas för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. tillsatte den en utredare som ska föreslå hur direktivet om passageraruppgifter ska genomföras i Sverige.24 18.9Polisens behandling av personuppgifter i register och databaser I polisens verksamhet behandlas en betydande mängd uppgifter, bl.a. i ett stort antal register av olika storlek och slag och med olika funk- tioner. Många uppgifter i dessa register, t.ex. uppgifter om att en person är misstänkt för brott, är känsliga ur integritetssynpunkt. Vid behandling av personuppgifter i och till stor del även Säkerhetspolisens brottsbekämpande verksamhet gäller polisdatalagen . Polisdatalagen gäller även för den polisiära verksam- heten vid samt vid behandling av person- uppgifter i särskilda register i Nationellt forensiskt centrum (tidi- gare ). Lagen gäller för automatiserad behandling av personuppgifter och för viss annan behandling av personuppgifter som ingår i en strukturerad samling av personuppgifter. 24 Dir 2016:22. De brottsbekämpande myndigheternas verksamhet Viss behandling av personuppgifter är undantagen från polisdata- lagens tillämpningsområde och regleras i stället i andra författningar, nämligen lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informations- system, lagen (2006:444) om passagerarregister och lagen (2010:362) om polisens allmänna spaningsregister. Polisdatalagen gäller som hu- vudregel inte heller när personuppgifter behandlas i polisens vapen- register enligt vapenlagen (1996:67). Inom ramen för sitt tillämpningsområde gäller polisdatalagen i stället för personuppgiftslagen, men lagen hänvisar till ett stort antal bestämmelser i personuppgiftslagen. För den personuppgifts- behandling som inte avser brottsbekämpande verksamhet, exempel- vis tillståndsgivning eller mer renodlad övervakning och ordnings- hållande verksamhet, är dock personuppgiftslagen direkt tillämplig. I polisdatalagen anges för vilka ändamål personuppgifter får be- handlas i polisens brottsbekämpande verksamhet. Personuppgifter får behandlas om de behövs för att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Personupp gifter får även behandlas när det är nödvändigt för att tillhandahålla information som behövs i framför allt brottsbekämpande verksam- het hos vissa andra myndigheter, däribland Säkerhetspolisen, och . I ett enskilt fall får personuppgifter behandlas genom att lämnas ut även för något annat ändamål än de som anges i lagen, under förutsättning att ända- målet inte är oförenligt med det ändamål för vilket uppgifterna sam- lades in (finalitetsprincipen). För behandling av känsliga personuppgifter finns särskilda begränsningar. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det är alltså inte tillåtet att föra register över enskilda enbart på den grunden att de utifrån ras, etniskt ursprung eller något annat i paragrafen angivet förhållande kan hän- föras till en viss kategori av människor. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana person- uppgifter när det är absolut nödvändigt för syftet med behandlingen. Det innebär att om andra uppgifter om en person samlas in i sam- De brottsbekämpande myndigheternas verksamhet band med t.ex. en förundersökning får dessa kompletteras med upp- gifter om t.ex. religiös övertygelse eller etniskt ursprung om det är av avgörande betydelse för utredningen.25 Känsliga personuppgifter kan förekomma i förundersökningar av många olika anledningar, t.ex. uppgifter om hälsa i olika undersök- ningar som görs eller på grund av att någon under ett förhör har läm- nat en sådan uppgift eller i en inlaga nämnt uppgiften, bl.a. när det gäller vissa brottstyper såsom sexual- eller hatbrott. Om det ned- tecknade förhöret eller den inkomna handlingen ingår i förunder- sökningen omfattas behandlingen av den känsliga personuppgiften även i dessa fall av undantaget. När en uppgift inte längre behövs för något tillåtet ändamål ska den gallras, dvs. göras digitalt oåtkomlig. Det finns dessutom vissa generella tidsgränser för hur länge uppgifter får bevaras. Dessa tids- gränser innebär att uppgifterna i vart fall ska gallras efter ett, tre, fem eller , beroende på vad uppgiften gäller. Tillgången till personuppgifter ska begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. För upp gifter som görs eller har gjorts gemensamt tillgängliga i polisens brottsbekämpande verksamhet finns särskilda och mer begränsande regler till skydd för den personliga integriteten, t.ex. krav på marke- ring när uppgifter avser en person som inte är misstänkt. I polisdatalagen finns också särskilda bestämmelser om behand- ling av personuppgifter i Säkerhetspolisens brottsbekämpande verk- samhet. Dessa bestämmelser reglerar bl.a. ändamålen för Säkerhets- polisens personuppgiftsbehandling, som delvis avviker från regleringen för den övriga polisen. Det finns även särskilda bestäm- melser om bevarande och gallring. Vissa register är föremål för särskild reglering i polisdatalagen, bl.a. , utredningsregistret och spårregistret som alla är register över DNA-profiler. innehåller DNA- profiler (information om identitet men inte om personliga egenskaper) avseende personer som har dömts till annan påföljd än böter, eller godkänt ett strafföreläggande som avser villkorlig dom, medan utredningsregistret innehåller motsvarande DNA-profiler avseende personer som är skäligen misstänkta för brott på vilket fängelse kan följa. I spårregistret finns däremot DNA-profiler som 25 SIN:s uttalanden , dnr 67-2014 och 69-2014, om polismyndigheters behandling av känsliga personuppgifter i underrättelseverksamhet. De brottsbekämpande myndigheternas verksamhet har tagits fram under utredning av brott och som inte kan hänföras till en identifierbar person. Även fingeravtrycks- och signalements- registret, penningtvättsregistret samt det internationella registret omfattas av särskild reglering i polisdatalagen. Gemensamt för alla dessa register är att det finns särskilda bestämmelser om ändamål, gallring och direktåtkomst. Vidare innehåller lagen (2014:400) om elimi- neringsdatabas särskilda bestämmelser om elimineringsdatabasen. Även det registret innehåller DNA-profiler, men inte från dömda eller misstänkta brottslingar utan från anställda vid heten och vissa andra som kan komma i kontakt med och därigenom riskerar att kontaminera exempelvis prover som ska bli föremål för DNA-analys. Uppgifterna i denna databas får endast behandlas för att upptäcka och utreda kontamineringar vid DNA-analyser och hanteringen av DNA-spår. Ett register som däremot är av mer direkt betydelse för brottsbe- kämpningen är polisens allmänna spaningsregister (). Registret regleras framför allt i lagen (2010:362) om polisens allmänna spa- ningsregister och förordningen (2010:1157) om polisens allmänna spaningsregister. Ändamålet med är att underlätta tillgången till sådan information som behövs i polisens spaningsverksamhet. Per- sonuppgifter som framkommit i polisens brottsbekämpande verk- samhet får behandlas i för detta ändamål. Registret används såväl i polisens utredningsverksamhet som i dess underrättelseverksamhet. , och har direkt- åtkomst till registret. Det finns vissa begränsningar som gäller för att uppgifter om en misstänkt person ska få registreras i . Det brott som avses och som den registrerade kan misstänkas för får inte endast ha böter i straffskalan. Vidare krävs att uppgiften är av särskild betydelse för polisens spaningsverksamhet. Uppgiften ska alltså kunna bidra till att brott av en tillräcklig svårighetsgrad kan beivras.26 Det finns vi- dare särskilda krav för registrering av uppgifter om personer som inte är misstänkta för brott (s.k. kringpersoner). När det gäller sådana personer ska det bl.a. framgå att personen inte är misstänkt för brott. 2009/10:85 s. 289 och 376). De brottsbekämpande myndigheternas verksamhet 18.9.3Risker för den personliga integriteten Användning av modern informationsteknik i form av bl.a. olika typer av register är en naturlig del i så gott som allt polisiärt arbete och av stor betydelse för polisens möjligheter att kunna be- driva sin verksamhet på ett effektivt och rättssäkert sätt. måste detta arbete göras med respekt för enskildas integritet. En stor del av de uppgifter som behandlas är av integritetskänslig karaktär. Ett exempel är naturligtvis uppgifter om att någon är miss- tänkt för brott, men även många andra känsliga uppgifter om t.ex. hälsa och sexualliv, religiös övertygelse, politiska åsikter och etniskt ursprung behandlas i stor utsträckning. Här kan också nämnas den betydande mängd genetiska data som förekommer i form av DNA- profiler i DNA-registren och som teoretiskt sett kan användas för att ta fram mycket detaljerad information om personer, även om användningsområdet endast är att slå fast om spår från en brottsplats kommer från en viss person eller inte. Det behandlas också integritetskänsliga uppgifter om personer som inte är miss- tänkta för brott. När det gäller uppgifter om dessa personer är emellertid kraven ännu högre för att polisen ska få behandla dem. När verksamheten i en så stor organisation som Polismyndig heten till stor del baseras på insamling och bearbetning av informa- tion finns risk att det skapas register vars användning är helt eller delvis otillåtna. Det kan exempelvis inträffa att det skapas register som överhuvudtaget inte får existera, eller som i vart fall innehåller otillåtna, felaktiga eller gamla uppgifter. Det kan även förekomma att tillgången till personuppgifter inte blir så begränsad för respektive tjänsteman som polisdatalagen förutsätter. Liknande risker kan även finnas i en mindre organisation som . Erfarenheterna från senare tid visar att det fortfarande finns bety- dande problem när det gäller följsamheten till gällande reglerverk. Som exempel på detta kan nämnas följande. Efter en omfattande granskning riktade Datainspektionen27 kritik mot dåvarande behandling av personuppgifter i . Av beslutet framgår bl.a. att registret innehöll uppgifter som enligt Datainspektionen saknade särskild betydelse för polisens spaningsverksamhet. Datainspektionen gjorde bedömningen att det pågick en inte obetydlig registrering av personuppgifter i som 27 Beslut (dnr 205-2013). De brottsbekämpande myndigheternas verksamhet Bland de namn på grupperingar som förekommer i påträffades dessutom vissa namn som innehåller känsliga person- uppgifter, exempelvis ”rasister” och ”zigenare”, ”kringresande romer” och ”romer”.