prop · H40389 · 2017-02-07 00:00:00 — känsligt slag eller används utan hänsyn till det sammanhang i vilket de Även insamling och utbyte av förhållandevis harmlösa uppgifter kan, om de skapar en totalbild av en enskild persons för- hållanden, riskera att leda till intrång i den personliga integriteten. Vid informationsutbyte mellan brottsbekämpande verksamheter hos myndigheter bör å andra sidan beaktas att de myndigheter som bedriver underrättelseverksamhet har likartade regler om sådan verksamhet och att alla myndigheter tillämpar samma grundläggande regler för brotts- Vidare har uppgifter som rör brott och brottsbekämpning i princip samma sekretesskydd hos alla berörda myndigheter. behandlingen av personuppgifter är också likartat. Även om det kan finnas nackdelar med ett ökat informationsflöde mellan de brotts- bekämpande myndigheterna väger fördelarna över. som kan finnas vägs in när bestämmelserna utformas och när myndig- heter beviljas direktåtkomst, se avsnitt 9.15.2. Det ligger i sakens natur att informationsutbytet till stor del avser uppgifter som omfattas av sekretess, eftersom åtskilliga av de uppgifter som behandlas inom den brottsbekämpande verksamheten skyddas av någon typ av sekretess. En grundläggande förutsättning för att uppgifter ska få lämnas till en annan myndighet är att sekretess inte hindrar att uppgifterna lämnas ut. Detta gäller oberoende av om det rör sig om elektroniskt lagrade uppgifter eller uppgifter på papper. och sekretesslagen finns det ett antal bestämmelser som innebär att sekretess inte hindrar utbyte av uppgifter mellan nationella brotts- Enligt 10 kap. 28 § offentlighets- och sekretesslagen hindrar sekretess inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. 2016/17:89 om nya sådana bestämmelser bör införas berörs bl.a. i avsnitt 9.15.4. Informationsutbytet mellan brottsbekämpande myndigheter sker till stor del manuellt. Uppgifter kan lämnas både i pappersform och elektroniskt, t.ex. via e-post. I viss utsträckning förekommer elektroniskt utlämnande genom att mottagaren ges rätt att själv söka efter information som den utlämnande myndigheten har tillgång till (direktåtkomst). En ordning som innebär att informationsutbytet i huvudsak sker genom behandling skapar praktiska problem, särskilt som brottsbekämpningen bedrivs dygnet runt. Uppgifter som en tjänsteman behöver för att kunna genomföra en tjänsteåtgärd måste vara lätt tillgängliga även utanför vanlig kontorstid. Det finns alltså ett stort och växande behov av ett effektivt informationsutbyte mellan de brottsbekämpande myndigheterna. Detta behov måste kunna tillgodoses genom ökad användning av elektronisk kommunikation. Den nya lagen bör därför underlätta sådant informationsutbyte och bidra till att utveckla samarbetet med andra brottsbekämpande myndigheter, som den värnar om enskildas integritet. I följande avsnitt presenteras överväganden och förslag avseende bl.a. metoder för utlämnande, frågor om sekretess och uppgiftsskyldighet. Direktåtkomst för svenska brottsbekämpande Regeringens förslag: , Säkerhetspolisen, Ekobrotts- myndigheten, , och ska få medges direktåtkomst till personuppgifter i Direktåtkomsten ska endast få avse personuppgifter som är gemensamt tillgängliga. En myndighet som har medgetts direktåtkomst ska ansvara för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet. Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: Kriminalvården föreslår att Kriminalvårdens roll regleras på samma sätt som för övriga brottsbekämpande myndigheter. Kriminalvården har ett tydligt brottsbekämpande uppdrag då myndig- heten ska vidta åtgärder som syftar till att brottslighet under verk- ställigheten förhindras och verka för att återfall i brott förebyggs. Datainspektionen konstaterar att skälen till att , , , och Kust- bevakningen har ett behov av direktåtkomst till uppgifterna inte har utvecklats närmare i promemorian. Datainspektionen ställer frågan om det finns skäl att medge endast vissa brottsbekämpande myndigheter direktåtkomst med hänsyn tagen till respektive myndighets arbets- 2016/17:89 uppgifter och mandat och anför att det utan en närmare analys inte går att bedöma lämpligheten och konsekvenserna av att medge andra myndigheter direktåtkomst till information. Skälen för regeringens förslag: Enligt 3 kap. 8 § polisdatalagen och 4 kap. 7 § kustbevakningsdatalagen får ett antal namngivna brottsbekämpande myndigheter, däribland , medges direktåtkomst till personuppgifter i brottsbekämpande verksamhet. Motsvarande bestämmelse finns även i åklagardatalagen. Även i lagen om behandling av uppgifter i brottsbekämpande verksamhet och den tillhörande förordningen finns bestämmelser om att andra brottsbekämpande myndigheter får ha direktåtkomst till uppgifter som behandlas i brottsbekämpande verksamhet. Direktåtkomsten får enligt polisdatalagen och kustbevakningsdatalagen endast avse personuppgifter som är gemensamt tillgängliga. Den myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Frågan om i vilken utsträckning andra myndigheter får medges direktåtkomst regleras inte i lagen om behandling av personuppgifter vid medverkan i brottsutredningar. Det behov av informationsutbyte som föranlett bestämmelserna om direktåtkomst till uppgifter hos andra brottsbekämpande myndigheter gör sig enligt regeringens mening gällande även beträffande de uppgifter som behandlas inom brottsbekämpande verksamhet. Att olika arbetsuppgifter inom brottsbekämpningen av organisatoriska, historiska eller andra skäl är uppdelade och ligger på skilda myndigheter, innebär inte nödvändigtvis att det uppstår större risker från integritetssynpunkt med direktkopplingar mellan information hos de olika myndigheterna än vad som skulle ha varit fallet om all brottsbekämpande verksamhet låg hos en och samma myndighet, jfr propositionen brottsbekämpning – Effektivare uppgiftsbehandling (2004/05:164 Alltför vittgående möjligheter till direktåtkomst kan dock öka riskerna för intrång i den personliga integriteten. Typiskt sett innebär direktåtkomst nämligen att uppgifter blir tillgängliga för fler personer och att den ursprungliga myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Mot den bakgrunden föreslår regeringen att särskilda regler ska gälla vid direktåtkomst till personuppgifter som behandlas i brottsbekämpande verksamhet. Datainspektionen anför att skälen till att de brottsbekämpande myndigheterna har ett behov av direktåtkomst till uppgifter hos inte har utvecklats närmare i promemorian. Som framgår ovan förekommer redan direktåtkomst mellan brottsbekämpande myndigheter. Modern teknik ökar möjligheterna att skapa överblick och samordning i det brottsbekämpande arbetet och att utnyttja tillgänglig information på ett effektivt sätt. Det är angeläget att dessa möjligheter kan användas. De brottsbekämpande myndigheterna har ofta behov av att på ett snabbt och enkelt sätt få omedelbar tillgång till information genom direktåtkomst. Verksamhetsskäl talar således för att ge de brottsbekämpande myndigheterna möjlighet till direktåtkomst. Mot de brottsbekämpande myndigheternas verksamhetsbehov måste hänsynen till enskildas integritet vägas. Integritetsaspekterna måste tillmätas central betydelse vid bedömningen av i vilken omfattning sådana myndigheter bör kunna medges direktåtkomst till uppgifter i varandras verksamhet. I de databaser och register som förs av brottsbekämpande myndigheter finns det ofta stora mängder personuppgifter. Många av dessa kan vara av känslig karaktär. Enbart det förhållandet att uppgifter om en enskild persons förhållanden samlas in och bevaras kan uppfattas som ett intrång i den personliga integriteten. Ju fler personer som har omedelbar tillgång till sådana uppgiftssamlingar, desto mera påtaglig är risken för intrång. Direktåtkomst kan också minska möjligheterna att kontrollera den vidare användningen av uppgifterna. Dessa förhållanden utgör skäl för en restriktiv hållning i fråga om direktåtkomst till personuppgifter som behandlar i den brottsbekämpande verksamheten. En viktig aspekt som bör beaktas vid den avvägning som måste göras är om det, när det är fråga om direktåtkomst till sekretessreglerade uppgifter, gäller sekretess för uppgifterna hos den mottagande myndigheten. En annan viktig aspekt är hur uppgifterna sprids och används inom den mottagande myndigheten. Om användandet av uppgifterna inom den myndigheten kan begränsas till en liten krets, är integritetsriskerna mindre än om uppgifterna ges en vid spridning. En tredje aspekt är vilka bestämmelser om informationssäkerhet (t.ex. system för behörighet, loggning och tillsyn) som gäller hos den mottagande myndigheten. Om informationssäkerheten hos den mottagande myndigheten är hög, så att det kan garanteras att informationen endast når dem som har behov av den, inger möjlighet till direktåtkomst mindre betänkligheter från integritetssynpunkt än vad som annars hade varit fallet. En fjärde aspekt är att möjligheterna att göra integritetskänsliga sökningar bland personuppgifterna inte ska öka bara för att dessa är föremål för direktåtkomst. Det kan anmärkas att de brottsbekämpande myndigheterna har författningar som reglerar behandlingen av personuppgifter på ett likartat sätt. Sekretessregleringen ger också i princip samma skydd för uppgifter i brottsbekämpningen hos samtliga brottsbekämpande myndigheter. Myndigheterna omfattas således av bl.a. bestämmelserna om sekretess till skydd för brottsbekämpningen i 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen och bestämmelserna om sekretess till skydd för enskildas personliga och ekonomiska förhållanden i sådan verksamhet, som regleras i 35 kap. samma lag. Det finns också en särskild bestämmelse, 11 kap. 4 §, om överföring av sekretess vid direktåtkomst. Om en myndighet har elektronisk tillgång till en annan myndighets upptagning för automatiserad behandling och en uppgift i denna upptagning är sekretessreglerad hos den andra myndigheten, blir sekretessbestämmelsen tillämplig också hos den mottagande myndigheten. Detta gäller dock inte om uppgiften ingår i ett beslut hos den mottagande myndigheten. Det finns även en särskild bestämmelse i 11 kap. 8 § offentlighets- och sekretesslagen om vad som gäller vid konkurrens mellan den överförda sekretessen och sådan sekretess som är direkt tillämplig hos den mottagande myndigheten, se avsnitt 9.15.3. Vad sedan gäller tillgången till uppgifterna hos de mottagande myndigheterna har i avsnitt 9.9 föreslagits att en enskild tjänsteman inom ska ges tillgång endast till sådana uppgifter som han eller hon behöver för att kunna fullgöra sina arbetsuppgifter på ett ändamåls- Motsvarande begränsning bör gälla hos de myndigheter som genom direktåtkomst får tillgång till personuppgifter som Särskilda regler om detta föreslås därför i den nya lagen. möjlighet till direktåtkomst behöver alltså inte innebära annat än att en begränsad krets av tjänstemän – eller enbart en viss tjänsteman – hos den mottagande myndigheten får tillgång till uppgifterna. Vad gäller informationssäkerhet i samband med direktåtkomst har regeringen eller den myndighet som regeringen bestämmer möjlighet att meddela särskilda föreskrifter om detta. En bestämmelse som upplyser om den möjligheten föreslås, se nedan. myndigheterna ska ges möjlighet till direktåtkomst till varandras personuppgifter, bör den myndighet som beslutar om sådan åtkomst vara skyldig att försäkra sig om att den mottagande myndigheten har en acceptabel säkerhetsnivå, t.ex. vad gäller system för utlämnande av behörighet och loggning av transaktioner samt tillsyn. Det kan i samman- hanget noteras att den tekniska utvecklingen fortlöpande ger bättre möjligheter att begränsa tillgången till olika uppgifter och att i efterhand genom bl.a. loggningsuppgifter kontrollera hur tillgången har utnyttjats. De ökade integritetsrisker som en möjlighet till direktåtkomst kan medföra kan alltså motverkas genom bestämmelser av annat slag, såsom befintliga bestämmelser om sekretess och bestämmelser om tillgång till och sökning bland uppgifter och om informationssäkerhet. bör därför tillåta att övriga brottsbekämpande myndigheter ges direkt- åtkomst till personuppgifter som behandlas i brotts- Datainspektionen ställer frågan om det finns skäl att medge endast vissa brottsbekämpande myndigheter direktåtkomst med hänsyn tagen till respektive myndighets arbetsuppgifter och mandat och anför att det utan en närmare analys inte går att bedöma lämpligheten och konsekvenserna av att medge andra myndigheter direktåtkomst till informa- Regeringen vill med anledning av detta anföra följande. verket deltar i myndighetsöverskridande samarbete där samtliga brotts- bekämpande myndigheter medverkar. Bland annat deltar samtliga de myndigheter som föreslås kunna medges direktåtkomst i den nationella satsningen mot organiserad brottslighet. Det kan finnas koppling mellan sådan brottslighet som skattebrottsenhetens arbete är inriktat mot och olika typer av annan brottslighet. Regeringen anser att samma bestäm- melser om direkåtkomst för de brottsbekämpande myndigheterna som finns i polisdatalagen och kustbevakningsdatalagen bör finnas även i den Det är således de olika myndigheternas behov av uppgifter som avgör i vilken utsträckning direktåtkomst får medges, se närmare avsnitt 9.15.4. Kriminalvården föreslår att Kriminalvårdens roll regleras på samma sätt som för övriga brottsbekämpande myndigheter. ge Kriminalvården direktåtkomst till uppgifter finns inte i vare sig polisdatalagen eller Kustbevakningsdatalagen. Regeringen anser inte att det finns skäl att i den nu aktuella lagen införa en sådan möjlighet. Vad gäller övriga förutsättningar för direktåtkomsten för de upp- räknade myndigheterna gör regeringen följande överväganden. åtkomsten bör endast få avse personuppgifter som är gemensamt Prop. 2016/17:89 tillgängliga. Även om myndighetsöverskridande samarbete äger rum i mindre grupper innebär informationsutbytet att uppgifter som behandlas av blir tillgängliga utanför det sammanhang där de ursprungligen har behandlats. Det är då ur ett integritetsperspektiv rimligt att de särskilda, mer begränsande reglerna om gemensamt tillgängliga uppgifter, exempelvis särskilda upplysningar och sökbegränsningar, alltid tillämpas. Motsvarande överväganden har skett i bl.a. förarbetena till ny kustbevakningsdatalag (prop. 2011/12:45 s. 138). I likhet med vad som gäller enligt polisdatalagen, kustbevakningsdatalagen och åklagardatalagen bör det föreskrivas att den myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Det bör i lagen upplysas om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om direktåtkomsten samt om behörighet och säkerhet. Förslaget genomförs genom 3 kap. 8 § i den nya lagen. 9.15.3Sekretess i brottsbekämpande verksamhet Regler om sekretess i den brottsbekämpande verksamheten Sekretess till skydd för intresset av att förebygga eller beivra brott regleras i 18 kap. offentlighets- och sekretesslagen. Sekretess gäller, i större eller mindre utsträckning, för förundersökningar och motsvarande utredningar enligt 23 kap. (18 kap. 1 §) och som regel för underrättelseuppgifter (18 kap. 2 §). Sekretessbestämmelser till skydd för enskild i motsvarande fall finns huvudsakligen i 35 kap. offentlighets- och sekretesslagen, som reglerar sekretess till skydd för enskild i verksamhet som syftar till att förebygga eller beivra brott. Sekretessen enligt 35 kap. 1 § offentlighets- och sekretesslagen skyddar enskilds personliga och ekonomiska förhållanden. Sekretessen omfattar bl.a. uppgifter i utredning enligt bestämmelserna om förundersökning i brottmål (1), användning av tvångsmedel (2), annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, , , , eller (4), register som förs av enligt 4 kap. polisdatalagen (register över DNA-profiler) eller som annars behandlas där med stöd av 6 kap. (Säkerhetspolisens brottsbekämpande verksamhet) den lagen (6), misstankeregistret (7), register som förs av enligt lagen om behandling av personuppgifter vid medverkan i brottsutredningar eller som annars behandlas där med stöd av samma lag (8) och register som förs av enligt lagen om behandling av uppgifter i brottsbekämpande verksamhet eller som annars behandlas där med stöd av samma lag (10). också av sekretessen. Sekretessen gäller om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men. För beslut att väcka åtal eller att inte inleda eller lägga ned en förundersökning gäller inte sekretessen (35 kap. 6 §). Sekretessen upphör också normalt om uppgiften lämnas till domstol med anledning av åtal (35 kap. 7 §), men i en förundersökning förekommer det ofta uppgifter t.ex. om andra brott som den misstänkte har begått eller om personer som inte berörs av åtalet. För sådana uppgifter upphör sekretessen inte, om uppgiften uppenbart saknar betydelse i målet (35 kap. 7 § 2). Om åtal inte väcks kvarstår också sekretessen. Därför är det mycket vanligt att det förekommer kvarstående sekretess till skydd för enskild i förundersökningar och andra brottsutredningar. När en förundersökning eller annan motsvarande utredning inleds gäller som regel sekretess enligt både 18 kap. 1 eller 2 § och 35 kap. 1 § offentlighets- och sekretesslagen. Sekretessen enligt 18 kap. minskar efter hand och brukar normalt upphöra senast i samband med att åtal väcks. Enligt 35 kap. 2 § gäller sekretess i verksamhet som avses i 1 § första stycket, för uppgift i en anmälan eller utsaga av enskild i förhållande till den som anmälan eller utsagan avser, endast om det kan antas att fara uppkommer för att någon utsätts för våld eller lider annat allvarligt men om uppgiften röjs. I 35 kap. 3 § regleras sekretessen för belastningsregistret och i 35 kap. 4 § 1 sekretessen för bl.a. register över strafföreläggande och föreläggande av ordningsbot (punkten 1). I 35 kap. 10 § finns en sekretessbrytande bestämmelse för uppgifter som får lämnas ut bl.a. enligt lagen om behandling av personuppgifter vid medverkan i brottsutredningar. Sekretessbrytande regler mellan brottsbekämpande myndigheter Ansvaret för brottsbekämpningen i är uppdelat mellan flera myndigheter. Gemensamt för dessa är att sekretess i större eller mindre utsträckning gäller för åtskilliga av de personuppgifter som behandlas inom ramen för den brottsbekämpande verksamheten. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får uppgifter för vilka sekretess gäller inte röjas för andra myndigheter, om inte annat framgår av lagen eller lag eller förordning till vilken lagen hänvisar. När uppgifter ska lämnas mellan myndigheter måste hänsyn tas till både sekretesslagstiftningen och lagstiftningen om behandling av personuppgifter. I offentlighets- och sekretesslagen finns ett flertal bestämmelser som möjliggör utbyte av uppgifter mellan myndigheter trots sekretessen. Av 10 kap. 2 § offentlighets- och sekretesslagen framgår att sekretessbelagda uppgifter får lämnas från en myndighet till en annan om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen, som är avsedd att tillämpas restriktivt, medger inte sekretessgenombrott på den grunden att den mottagande myndigheten behöver uppgifterna i sin verksamhet. Enligt 10 kap. 28 § första stycket hindrar sekretess inte att uppgifter lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Uppgifter kan vidare, med vissa undantag, lämnas ut med stöd av 10 kap. 19–26 §§, när uppgifterna behövs för olika i paragraferna angivna ändamål inom brottsbekämpningen, bl.a. förundersökning. Enligt 10 kap. 27 §, den s.k. generalklausulen, gäller som huvudregel att en uppgift får lämnas ut till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Undantag görs dock för vissa sekretessregler som är av begränsat intresse här. Bedömningen av om uppgiften kan lämnas ut görs av den myndighet som innehar uppgiften, utom i de fall där utlämnandebestämmelsen har konstruerats så att uppgiften alltid ska lämnas ut om det begärs. Även bestämmelsen i 6 kap. 5 § offentlighets- och sekretesslagen är viktig i sammanhanget. Den innebär att en myndighet på begäran av en annan myndighet ska lämna ut uppgifter i den mån hinder inte möter på grund av sekretess eller arbetets behöriga gång. Det innebär att om en myndighet begär att få del av uppgifter från en annan myndighet och någon av de ovan nämnda sekretessbrytande bestämmelserna är tillämplig, så ska uppgifterna lämnas ut. Detsamma gäller om de begärda uppgifterna är offentliga, dvs. inte omfattas av sekretess. Bestämmelsen kan sägas motsvara allmänhetens rätt att få tillgång till handlingar genom offentlighetsprincipen, men utlämnandeskyldigheten är mer vidsträckt och omfattar alla typer av uppgifter som myndigheten förfogar över, bl.a. uppgifter i handlingar som inte är allmänna. Förhållandet mellan direktåtkomst och sekretess En bestämmelse om direktåtkomst innebär ingen uppgiftsskyldighet enligt 10 kap. 28 § första stycket offentlighets- och sekretesslagen. Bestämmelsen är alltså inte i sig sekretessbrytande, utan reglerar endast den tillåtna formen för att lämna ut uppgifter. Möjligheterna för t.ex. en myndighet att vid informationsutbyte med en annan myndighet överföra uppgifter genom att medge den senare direktåtkomst till uppgifter som behandlas automatiserat begränsas därför ofta av sekretess. Eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter – inom ramen för den beviljade direktåtkomsten – den vill ta del av, blir uppgifterna att anse som utlämnade i och med att direktåtkomst medges. Prövningen av om ett utlämnande är förenligt med offentlighets- och sekretesslagen måste därför ske redan då uppgifterna görs tillgängliga genom direktåtkomst, oavsett om någon mottagare tar del av dem. En myndighet kan därför inte tillåta en annan myndighet direktåtkomst till uppgifter som, vid en sekretessprövning, den senare myndigheten inte med säkerhet skulle ha rätt att ta del av. Direktåtkomst förutsätter därför att det är fråga om offentliga uppgifter, uppgifter som omfattas av en författningsbestämmelse om uppgiftsskyldighet eller – i undantagsfall – uppgifter som kan lämnas ut rutinmässigt med stöd av generalklausulen. Det finns en särskild bestämmelse om överföring av sekretess vid direktåtkomst (11 kap. 4 § offentlighets- och sekretesslagen). Om en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet och uppgifter i upptagningen är sekretessreglerade, blir de sekretessbestämmelser som är tillämpliga hos den utlämnande myndigheten, tillämpliga även hos den mottagande myndigheten. Sekretessen överförs dock inte om uppgiften ingår i ett 2016/17:89 beslut hos den mottagande myndigheten eller om det hos den mottagande myndigheten finns en annan primär sekretessbestämmelse än 21 kap. 1, 3, 5, och 7 §§ som skyddar samma intresse (11 kap. 8 § offentlighets- och sekretesslagen).