prop · H40391 · 2017-02-07 00:00:00 — Regeringen bedömer således sammanfattningsvis att det finns behov av ändrade regler på området för behandlingen av personuppgifter i brottsbekämpande verksamhet och föreslår att den nuvarande tullbrottsdatalagen ska ersättas av en ny lag. Regeringens bedömning: Den nya lagen bör i möjligaste mån ha samma sakliga innehåll och systematik som polisdatalagen och kustbevakningsdatalagen, såvida inte särskilda skäl talar för annat. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen anger att promemorians förslag till ny tullbrottsdatalag i allt väsentligt har samma sakliga innehåll och systematik som polisdatalagen och kustbevakningsdatalagen. inspektionen anser att det naturligtvis finns vinster med en så likartad reglering som möjligt, men att promemorian i många fall tycks utgå från att behov att behandla personuppgifter i den brottsbekäm- pande verksamheten per automatik är desamma som för exempelvis polisen. Behovet av personuppgiftsbehandling anses i promemorian ofta, utan någon närmare redovisad analys, väga tyngre än enskildas rätt till integritetsskydd. Mot den bakgrunden och med hänsyn till det integri- tetsskydd som var och en är tillförsäkrad gentemot det allmänna i 2 kap. 6 § andra stycket regeringsformen bör det i det fortsatta lagstiftnings- ärendet tydligare redogöras för hur de olika författningsförslagen kan komma att påverka enskildas personliga integritet och hur dess effekter ska vägas mot behov av att behandla personuppgifter i den brottsbekämpande verksamheten. Bl.a. Kammarrätten i , , Rikspolis- styrelsen, och är uttryckligen positiva till bedömningen och övriga remissinstanser har inga invänd- ningar mot bedömningen. Skälen för regeringens bedömning: En utgångspunkt vid utform- ningen av förslag till en ny lag för behandling av personuppgifter i brottsbekämpande verksamhet bör enligt regeringens mening vara att skapa en så flexibel och teknikneutral lagstiftning som möjligt. För att åstadkomma detta bör lagen innehålla ramarna och de grund- läggande principerna för den automatiserade behandlingen av person- uppgifter som förekommer i brottsbekämpande verksamhet. Med en sådan lagstiftning skapas möjligheter bl.a. för en utvecklad och fortsatt samverkan mellan och andra myndigheter som den personliga integriteten värnas. Vidare måste det ställas höga krav på kontroll och tillsyn av verksamheten, både internt och externt. En allmän utgångspunkt för en ny lag bör vidare vara att den motsvarar vad som gäller för brottsbekämpande verksamhet, om det är motiverat från effektivitetssynpunkt och godtagbart från integri- tetsskyddssynpunkt. Med en enhetlig lagstiftning blir integritetsskyddet likartat i brottsbekämpande verksamhet oavsett vilken myndighet som bedriver den. Det gör bl.a. att metoder för att i enlighet med lagen skydda enskildas integritet som utarbetats vid en myndighet med brottsbekäm- pande verksamhet kan överföras till andra myndigheter med sådan verksamhet. Detta kan också leda till ett i praktiken bättre integritets- skydd än vad som hade varit möjligt med skilda integritetsskyddande regler för olika brottsbekämpande verksamheter. Regleringen av de brottsbekämpande myndigheternas behandling av personuppgifter bör om möjligt vara enhetlig också för att skapa goda förutsättningar för samarbete och effektivitet i verksamheten. En hög grad av enhetlighet i den brottsbekämpande verksamheten leder också till bättre förutsebarhet för enskilda. En ny lag bör således i möjligaste mån ha samma sakliga innehåll och systematik som polisdatalagen och även kustbevakningsdatalagen, som uppvisar stora likheter med polisdatalagen, detta såvida inte särskilda skäl talar för annat. Det kan påminnas om att liksom Polis- myndigheten och har polisiära befogenheter och i uppdrag att utreda och beivra brott. Verksamheterna har således stora likheter, även om det naturligtvis också finns stora skillnader. I den mån en annan struktur än den som polisdatalagen och kustbevakningsdata- lagen har framstår som mer pedagogisk och ändamålsenlig kan det finnas skäl att i den nya lagen göra avvikelser från strukturen i dessa lagar. finns också skäl att göra vissa jämförelser med den relativt införda åklagardatalagen (2015:433). Datainspektionen anser att det naturligtvis finns vinster med en så likartad reglering som möjligt, men att promemorian i många fall tycks utgå från att behov att behandla personuppgifter i den brottsbekämpande verksamheten per automatik är desamma som för Datainspektionen anser att det med hänsyn till det integritetsskydd som var och en är tillförsäkrad gentemot det allmänna i 2 kap. 6 § andra stycket regeringsformen bör redogöras tydligare för hur de olika författningsförslagen kan komma att påverka enskildas person- liga integritet och hur dess effekter ska vägas mot behov av att behandla personuppgifter i den brottsbekämpande verksamheten. Regeringen vill med anledning av detta framföra följande. punkten för utformningen är att regleringen ska likna den som gäller i Ovan framgår skälen för detta. föreslagna regleringen är dock utformad utifrån behov. Behoven kan i vissa fall vara desamma som för t.ex. varvid den föreslagna regleringen kommer att få samma utseende, och i vissa andra fall kan den avvika, varvid avvikande bestämmelser föreslås. I samband med varje förslag framgår skälen för förslaget. ovan redovisas regeringens inställning avseende förenligheten med 2 kap. 6 § regeringsformen. Regeringens förslag: Lagen ska heta tullbrottsdatalagen. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: Regeringen föreslår i likhet med vad som föreslås i promemorian att den nya lagen ska benämnas tullbrotts- Detta namn motsvarar hur den nuvarande lagen ofta benämns, och knyter även an till benämningen på motsvarande lagstiftning för Namnet tillgodoser vidare de synpunkter som Lagrådet förde fram i lagstiftningsärendet om den nya polisdata- I lagrådsremissen föreslogs det att den lagen skulle heta lagen om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Lagrådet ansåg dock att det namnet var för långt och intetsägande och inte klargjorde att lagen handlar om registerfrågor, se propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 519). Lagrådet föredrog i stället namnet polisdatalag (eller Regeringen hade inget emot detta utan ansåg att det är praktiskt med ett kort namn som ändå ger rimlig vägledning om vad lagen handlar om (prop. 2009/10:85 s. 66). Förslaget innebär att den formella benämningen på de två lagar som styr behandlingen av personuppgifter i verksamhet kommer att skilja sig åt. Det kan dock nämnas att den lag som styr verksam- heten under Effektiv handel brukar benämnas tulldatalagen. Skäl talar Prop. 2016/17:91 därför snarare för att även den lagen bör få en annan benämning i sam- band med en eventuell översyn av den. Tullbrottsdatalagen är ett ganska kort och klargörande namn som framstår som den lämpligaste benäm- ningen på lagen, varför regeringen föreslår detta namn. 8 Lagens syfte och tillämpningsområde Regeringens förslag: Syftet med den nya lagen ska vara att ge möjlighet att behandla personuppgifter på ett ändamåls- enligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: , Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, , , , , , , , Skatte- verket, , , , , och Tull-Kust anger uttryckligen att de är positiva till eller inte har några väsentliga invändningar mot förslagen som presenteras i promemorian. och har inga invändningar mot förslagen. Datainspektionen efterlyser en djupare analys och redogörelse för de proportionalitetsbedömningar som gjorts mellan myndigheternas behov av att behandla personuppgifter för brottsbekämpande ändamål och enskildas rätt till skydd för intrång i den personliga integriteten. I promemorian framhålls visserligen att intresset av en effektiv brotts- bekämpning noga bör vägas mot intresset av skydd för den personliga integriteten och att intrånget i den personliga integriteten måste stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen, men detta kommer enligt inspektionen inte till tydligt uttryck i de redovisade författningsförslagen. Skälen för regeringens förslag: För att ska kunna fullgöra sina uppgifter på ett effektivt sätt måste myndigheten ha lagliga förutsättningar att utnyttja ändamålsenlig informationsteknik som gör det möjligt att samla in och i övrigt behandla stora informationsmängder. Det kan gälla uppgifter om misstänkta och vittnen men även andra personer. Förutsättningar måste även finnas att delta i det uppgiftsutbyte som sker inom ramen för de uppdrag om myndighetssamverkan som regeringen gett bl.a. , liksom att bedriva annan samverkan. Uppgifterna måste vid behov kunna tillhandahållas ett större antal personer vid myndigheten på automatiserad väg. Dessutom måste i vissa fall andra myndigheter kunna få tillgång till uppgifter. också i vissa fall kunna utbytas med myndigheter i andra länder. Ett utökat uppgiftsutbyte kan dock innebära en risk för intrång i den Sådana intrång måste stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen. De grundläggande bestämmelserna till skydd för den personliga inte- griteten finns i regeringsformen. Av förarbetena till 2 kap. 6 § regerings- formen framgår att utgångspunkten för grundlagsregleringen har varit att kränkningen av den personliga integriteten kan sägas utgöra ett intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där intrång bör kunna avvisas, se propositionen En reformerad grundlag (prop. 2009/10:80 s. 175). Regeringen ansåg dock att det inte var nödvändigt att formulera en allmängiltig definition av begreppet för att kunna bedöma vilka intressen det fanns att skydda från omotiverade intrång. stå klart att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma intrånget i den personliga integriteten vid automatise- rad behandling av personuppgifter. Det gäller arten av de personuppgifter som samlas in och registreras, för vilka ändamål detta görs, hur och av vem uppgifterna används, hur sökning får ske, hur länge uppgifterna sparas samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgänglig för bearbetningar och Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid myndighetsverksamhet medför typiskt sett en risk för att enskilda personer utsätts för intrång i den personliga integriteten. Rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen är inte absolut. heten får begränsas i lag enligt de förutsättningar som framgår av 2 kap. 21 och 22 §§ regeringsformen. En begränsning av rätten till skydd mot sådana integritetsintrång får ske endast för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. praxis följer för övrigt att en liknande proportionali- tetsprincip också gäller enligt artikel 8 i europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna (kallad ), som reglerar rätten till skydd för privat- och familjeliv. Den närmare utformningen av de nya bestämmelserna måste alltså föregås av en avvägning mellan å ena sidan intresset av en effektiv verksamhet och å andra sidan intresset av skyddet för den personliga Vid den avvägningen finns det anledning att hålla i minnet att de personuppgifter som kan bli aktuella att behandla i brotts- bekämpande verksamhet kan vara särskilt integritetskänsliga, dels därför att de kan peka ut personer såsom misstänkta för brott, dels därför att de inte sällan rör enskildas personliga sfär såsom saker de bär med sig. enskilde kan uppleva redan det förhållandet att många uppgifter om hans eller hennes privata förhållanden kan komma att sammanställas och göras tillgängliga för dem som arbetar med det aktuella ärendet som ett Nedan redovisas några utgångspunkter för avvägningen mellan behov av att behandla personuppgifter i den brottsbekämpande verksamheten och skyddet för den personliga integriteten. Det är viktigt att den nya lagen tydligt anger för vilka ändamål behand- ling av personuppgifter får ske. Särskilda bestämmelser som begränsar möjligheterna att behandla s.k. känsliga personuppgifter, dvs. uppgifter som avslöjar t.ex. etniskt ursprung eller politiska åsikter, bör även fortsättningsvis finnas för att upprätthålla skyddet för den personliga integriteten. I lagen bör det vidare införas mer inskränkande bestäm- melser för behandling av personuppgifter som görs tillgängliga för en större krets av tjänstemän än när uppgifterna är åtkomliga för enbart ett fåtal personer. För att ska kunna bedriva ett effektivt arbete i syfte att förebygga, förhindra och upptäcka brottslig verksamhet förut- sätts att kan behandla uppgifter om personer som inte är misstänkta för något konkret brott men som ändå misstänks ägna sig åt allvarligare brottslig verksamhet, s.k. traditionell underrättelseverk- samhet. Ur ett integritetsskyddsperspektiv bör större restriktivitet gälla för behandling av uppgifter som inte har samband med ett konkret brott. Från integritetsskyddssynpunkt är det vidare viktigt att det inte uppstår oklarheter om huruvida en person som en uppgift rör är misstänkt för brott eller inte. I den nya lagen bör det därför regleras att det ska framgå om personen är misstänkt eller inte. Även tillförlitligheten av behandlade uppgifter bör kunna utläsas, t.ex. om informationen består av kontrolle- rade fakta eller bara obekräftade påståenden. Regler om sökning, sammanställning och gallring bör också utformas så att skyddet för den personliga integriteten upprätthålls. Större enhetlighet i regelverket för brottsbekämpande myndigheter leder vidare till ökad förutsebarhet vilket är av vikt ur ett integritets- skyddsperspektiv. I 1 § personuppgiftslagen (1998:204) finns det en bestämmelse som anger den lagens syfte. Syftet är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. I likhet med polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145) bör enligt regeringens mening den nya lagen innehålla en bestämmelse i vilken anges att ett av lagens syften är att skydda män- niskor mot att deras personliga integritet kränks. Som nämnts i det föregående finns det emellertid även andra intressen som ska vägas mot detta skydd. En inledande bestämmelse bör därför även ge uttryck för att lagens syfte är att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet. Datainspektionen efterlyser en djupare analys och redogörelse för de proportionalitetsbedömningar som gjorts mellan myndigheternas behov av att behandla personuppgifter för brottsbekämpande ändamål och enskildas rätt till skydd för intrång i den personliga integriteten. Regeringen vill med anledning av detta påminna om att den nya lagstiftning som föreslås i de delar som Datainspektionen nu lyfter i stort motsvarar de regler som redan gäller för brottsbekämpande verksamhet. Förutom ovan beskrivna överväganden om myndighetens behov och integritetsaspekter följer dock närmare överväganden vid varje enskilt förslag, vilka presenteras i det följande. Regeringen föreslår således att det införs en bestämmelse som anger att syftet med lagen är att ge möjlighet att behandla personupp- 2016/17:91 gifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Förslaget genomförs genom 1 kap. 1 § i den nya lagen. Regeringens förslag: Den nya lagen ska i likhet med nuvarande lag gälla vid behandling av personuppgifter i den brottsbekäm- pande verksamheten, om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I likhet med vad som gäller för nuvarande lag ska avvikande bestäm- melser om behandling av personuppgifter i lagen om internationellt polisiärt samarbete och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, samt i föreskrifter som regeringen har meddelat i anslutning till dessa lagar, gälla i stället för den nya lagen. Vissa bestämmelser i den nya lagen ska gälla även vid behandling av uppgifter om juridiska personer. Det ska finnas en bestämmelse som upplyser om lagens innehåll. Promemorians förslag: Överensstämmer delvis med regeringens förslag. Promemorians förslag innehåller även en bestämmelse om att ifall det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som hindrar en behandling av personuppgifter som är tillåten enligt den nya lagen, ska de bestämmelserna gälla. Promemorians förslag innehåller också en upplysningsbestämmelse om att det i lagen även finns bestämmelser om vissa skyldigheter för myndigheter som har direktåtkomst till uppgifter i brottsbekämpande verksamhet. Promemorians förslag är också något annorlunda utformade. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- slagen. Skälen för regeringens förslag Verksamhet som omfattas av lagen Som framgår av avsnitt 5.3 består verksamhet av Effektiv handel och brottsbekämpande verksamhet. Den nya lagen bör bara omfatta behandling av personuppgifter i brottsbekämpande verksamhet. Den verksamhet som omfattas är alltså den som sker för att förebygga, upptäcka, förhindra, utreda och beivra brottslighet som Tull- verket har i uppdrag att bekämpa, inklusive fullföljande av internationella åtaganden med koppling till sådant. I fråga om verksam- heten under Effektiv handel, där det inte föreligger någon misstanke om brott eller brottslig verksamhet, gäller i stället lagen (2001:185) om behandling av uppgifter i verksamhet och tillhörande förord- ning. Utanför lagens tillämpningsområde faller även sådan behandling av personuppgifter som kan förekomma i verksamhet i samband med interna och administrativa åtgärder, t.ex. vid hantering av personal- och lokalfrågor. För behandling av personuppgifter i den verksamheten gäller i stället personuppgiftslagen. Tillämpningsområdet för den nya lagen i fråga om vilken verksamhet hos som omfattas är alltså detsamma som för den nuvarande lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet, kallad tullbrottsdatalagen, se propositionen Tull- verkets brottsbekämpning – Effektivare uppgiftsbehandling (prop. 2004/05:164 s. 112 f.). Behandling som omfattas av lagen – Automatiserad och viss behandling av personuppgifter Den nya lagen bör, liksom den nuvarande tullbrottsdatalagen, polis- datalagen och kustbevakningsdatalagen, gälla för sådan behandling av personuppgifter som omfattas av personuppgiftslagen, dvs. behandling av personuppgifter som är helt eller delvis automatiserad samt annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Även insamling av personuppgifter vid digital inspelning av ljud och bild omfattas t.ex. av tillämpningsområdet. Med behandling avses enligt 3 § personuppgiftslagen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, t.ex. insamling, registrering, bearbetning, ändring, utlämnande m.m. – Uppgifter om juridiska personer Med personuppgifter avses enligt 3 § personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte omfattas av personuppgiftslagen. behandlar i sin brottsbekämpande verksamhet stora mäng- der uppgifter som rör andra än levande fysiska personer, t.ex. uppgifter om företag, myndigheter och andra organisationer. Uppgifter om juridiska personer finns i stor utsträckning redan i offentliga register, bl.a. hos . Det förekommer att juridiska personer används som brottshjälpmedel. Det är inte sällan juridiska personer som äger fartyg eller andra transportmedel som åker över gräns. Vid utredning och kartläggning av brott är sökning på firma eller organi- sationsnummer för att hitta samband och kopplingar mellan olika personer en viktig del i brottsbekämpande arbete. Den nya lagen bör enligt regeringens mening, liksom den nuvarande tullbrottsdatalagen och även polisdatalagen och kustbevakningsdata- lagen, i vissa avseenden gälla också för behandling av uppgifter om juridiska personer. Även om juridiska personer inte har samma behov av integritetsskydd som fysiska personer, bör vissa grundläggande bestäm- melser tillämpas även på uppgifter om juridiska personer. En av orsakerna till detta är att det kan vara svårt att i den elektroniska hante- ringen skilja uppgifter om juridiska personer från uppgifter om fysiska personer som är ägare av eller ställföreträdare för dessa. Det blir enklare att låta vissa grundläggande bestämmelser gälla generellt för uppgifter om levande fysiska personer och juridiska personer. Vissa bestämmelser i polisdatalagen och kustbevakningsdatalagen om tillgången till personuppgifter, ändamålen för behandlingen, gemensamt tillgängliga personuppgifter och bevarande och gallring gäller även vid behandling av uppgifter om juridiska personer, vilket i huvudsak också motsvarar vad som gäller enligt den nuvarande tullbrottsdatalagen. Motsvarande bestämmelser i den nya lagen bör därför enligt regeringens mening gälla även för uppgifter om juridiska personer. När det gäller frågan om personuppgiftsansvar anges i 10 § den nuvarande tullbrottsdatalagen att är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför, om inte annat framgår av särskild lag eller förordning, och att motsvarande personuppgiftsansvar gäller för behandling av uppgifter om juridiska personer. Den uttryckliga regleringen av ansvaret för juridiska personer infördes av tydlighetsskäl (prop. 2004/05:164 s. 58). Också i kustbevakningsdatalagen finns en reglering av ansvaret för behandling av uppgifter om juridiska personer, dock med en annan författningsteknisk lösning, nämligen genom en hänvisning i bestämmel- sen som behandlas i detta avsnitt (1 kap. 3 § 2 kustbevaknings- datalagen). Regeringen anser att bestämmelserna om personuppgiftsansvar även fortsättningsvis ska gälla även för juridiska personer. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som den nya lagen ställer på behandling av uppgifter om juridiska personer. Dit hör att uppgifterna endast får behandlas för tillåtna ändamål och ska gallras i rätt tid. Även ansvaret för att de krav som ställs upp för behandling av personuppgifter i brottsbekämpande verksam- het uppfylls gäller för behandling av uppgifter gentemot juridiska personer. Se också avsnitt 9.3. Enligt den nuvarande tullbrottsdatalagen gäller bestämmelserna i den lagen om sökbegrepp också vid behandling av uppgifter om juridiska personer. Det är dock svårt att förstå hur bestämmelserna, som bl.a. handlar om uppgifter som avslöjar ras eller andra förhållanden knutna till fysiska personer, är avsedda att tillämpas på uppgifter om juridiska personer. behöver i sin brottsbekämpande verksamhet söka på bl.a. uppgift om firma och organisationsnummer. I polisdatalagen och kustbevakningsdatalagen gäller inte bestämmelserna om sökning för uppgifter om juridiska personer.