prop · H40389 · 2017-02-07 00:00:00 — Lagen om behandling av personuppgifter i medverkan i brottsutredningar skiljer sig väsentligt från regleringen i de mer moderna författningar som införts för andra brottsbekämpande myndigheter, framför allt när det gäller möjligheten att behandla personuppgifter i underrättelseverksamhet. En förändring av lagstiftningen krävs därför för att uppnå de positiva effekter som följer av en enhetlig reglering. Lagen är också i behov av en allmän modernisering för att underlätta ett flexibelt och effektivt arbetssätt inom skattebrottsenhetens verksamhet. Dagens reglering har vissa brister som kan leda till tillämpningsproblem och är i vissa delar dåligt anpassad för ett modernt brottsbekämpande arbete. Regeringen anser mot den bakgrunden att det finns behov av ändrade regler på området för behandlingen av personuppgifter i brottsbekämpande verksamhet. Det behövs en lag Personuppgiftslagen (1998:204) gäller generellt för all behandling av personuppgifter, såvida det inte finns avvikande regler i lag eller förordning. I lagstiftningsärendet som föregick personuppgiftslagen uttalade regeringen att lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar, se propositionen Personuppgiftslag (prop. 1997/98:44 s. 40 f.). Sådan författningsreglering, främst i form av s.k. registerförfattningar, har skett utifrån det principiella ställnings- 2016/17:89 tagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör regleras i lag. Som framgår av avsnitt 5.1 gäller enligt 2 kap. 6 § andra stycket regeringsformen att var och en gentemot det allmänna ska vara skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet mot intrång får begränsas i lag och bara i den ordning som föreskrivs i 2 kap. regeringsformen. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har, se propositionen En reformerad grundlag (prop. 2009/10:80 s. 250). Som exempel på åtgärder som kan anses innebära kartläggning anges i propositionen som ligger till grund för bestämmelsen bl.a. registrering i polisens register (s. 180). Vid bedömningen av vad som kan anses utgöra ett betydande intrång ska enligt förarbetsuttalandena vägas in uppgifternas karaktär och omfattning samt ändamålet med behandlingen och omfattningen av utlämnandet av uppgifter till andra (s. 184). Regeringen bedömer att det i brottsbekämpande verksamhet förekommer behandling av personuppgifter som kan vara av sådan karaktär att den faller under det förbud mot integritetsintrång som följer av 2 kap. 6 § andra stycket regeringsformen. Det krävs enligt 2 kap. 20–22 §§ regeringsformen lag för att begränsa skyddet mot integritetsintrång och tillåta all behandling av personuppgifter som måste ske i brottsbekämpande verksamhet. Därför föreslår regeringen att den huvudsakliga behandlingen av personuppgifter i brottsbekämpande verksamhet, liksom , regleras i lag. Enligt 2 kap. 21 § regeringsformen får sådana begränsningar i lag göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Det är därmed av stor vikt att de förslag som läggs fram i detta avseende uppfyller de nämnda kraven, vilket regeringen bedömer att de gör. I följande avsnitt och vid de enskilda förslagen redovisas närmare de bedömningar av bl.a. integritetsaspekter och proportionalitet som har gjorts. Regeringens bedömning: Den nya lagen bör i möjligaste mån ha samma sakliga innehåll och systematik som polisdatalagen och kustbevakningsdatalagen, såvida inte särskilda skäl talar för annat. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen anser att promemorian i många fall tycks utgå från att behov per automatik är samma som polisens behov och/eller behov av att behandla personuppgifter i den brottsbekämpande verksamheten. Datainspektionen anser att det fortsatta lagstiftningsärendet bör innehålla en djupare analys och redogörelse för de proportionalitetsavvägningar som gjorts. Skälen för regeringens bedömning: En utgångspunkt vid utformningen av förslag till en ny lag för behandling av personuppgifter i brottsbekämpande verksamhet bör enligt regeringens mening vara att skapa en så flexibel och teknikneutral lagstiftning som möjligt. För att åstadkomma detta bör lagen innehålla ramarna och de grundläggande principerna för den automatiserade behandlingen av personuppgifter som förekommer i brottsbekämpande verksamhet. Med en sådan lagstiftning skapas möjligheter bl.a. för en utvecklad och fortsatt samverkan mellan och andra myndigheter som den personliga integriteten värnas. Vidare måste det ställas höga krav på kontroll och tillsyn av verksamheten, både internt och externt. En allmän utgångspunkt för en ny lag bör vara att den motsvarar vad som gäller för brottsbekämpande verksamhet, om det är motiverat från effektivitetssynpunkt och godtagbart från integritetsskyddssynpunkt. Med en enhetlig lagstiftning blir integritetsskyddet likartat i brottsbekämpande verksamhet oavsett vilken myndighet som bedriver den. Det gör bl.a. att metoder för att i enlighet med lagen skydda enskildas integritet som utarbetats vid en myndighet med brottsbekämpande verksamhet kan överföras till andra myndigheter med sådan verksamhet. Detta kan också leda till ett i praktiken bättre integritetsskydd än vad som hade varit möjligt med skilda integritetsskyddande regler för olika brottsbekämpande verksamheter. Regleringen av de brottsbekämpande myndigheternas behandling av personuppgifter bör om möjligt vara enhetlig också för att skapa goda förutsättningar för samarbete och effektivitet i verksamheten. En hög grad av enhetlighet i den brottsbekämpande verksamheten leder också till bättre förutsebarhet för enskilda. En ny lag bör således i möjligaste mån ha samma sakliga innehåll och systematik som polisdatalagen och även kustbevakningsdatalagen, som uppvisar stora likheter med polisdatalagen, detta såvida inte särskilda skäl talar för annat. I den mån en annan struktur än den som polisdatalagen och kustbevakningsdatalagen har framstår som mer pedagogisk och ändamålsenlig kan det finnas skäl att i en ny lag göra avvikelser från strukturen i dessa lagar. Det finns också skäl att göra vissa jämförelser med den relativt införda åklagardatalagen (2015:433). Datainspektionen anser att promemorian i många fall tycks utgå från att behov av att behandla personuppgifter per automatik är samma som för exempelvis polisen. Datainspektionen menar att det fortsatta lagstiftningsärendet bör innehålla en djupare analys och redogörelse för de proportionalitetsavvägningar som gjorts. Regeringen vill med anledning härav framföra följande. Utgångspunkten för utformningen är att regleringen ska likna den som gäller i polisdatalagen. Ovan framgår skälen för detta. Den för föreslagna regleringen är dock utformad utifrån behov. Behoven kan i vissa fall vara desamma som för t.ex. , varvid den föreslagna regleringen kommer att få samma utseende, och i vissa andra fall kan den avvika, varvid avvikande bestämmelser föreslås. I samband med varje förslag framgår skälen för förslaget. 2016/17:89 9.3 Regeringens förslag: Lagen ska heta skattebrottsdatalagen. Promemorians förslag: Överensstämmer inte med regeringens förslag. I promemorian föreslås att lagen ska benämnas lagen om behandling av personuppgifter i brottsbekämpande verksamhet. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: Regeringen anser att den nya lagen bör benämnas skattebrottsdatalagen. Detta namn knyter an till benämningen på motsvarande lagstiftning för polisen och . Namnet tillgodoser vidare de synpunkter som Lagrådet förde fram i lagstiftningsärendet om den nya polisdatalagen. I lagrådsremissen föreslogs det att den lagen skulle heta lagen om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Lagrådet ansåg dock att det namnet var för långt och intetsägande och inte klargjorde att lagen handlar om registerfrågor, se propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 519). Lagrådet föredrog i stället namnet polisdatalag (eller polisregisterlag). Regeringen hade inget emot detta utan ansåg att det är praktiskt med ett kort namn som ändå ger rimlig vägledning om vad lagen handlar om (prop. 2009/10:85 s. 66). Skattebrottsdatalagen är ett ganska kort och tillräckligt klargörande namn som framstår som den lämpligaste benämningen på lagen, varför regeringen föreslår detta namn. Regeringens förslag: Syftet med den nya lagen ska vara att ge möjlighet att behandla personuppgifter på ett ändamåls- enligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid en sådan Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: , Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, , , , och Kronofogde- myndigheten anger uttryckligen att de är positiva till eller inte har några väsentliga invändningar mot förslagen i den nya lagen. Kammarrätten i hänvisar dock till Kammarrätten i yttrande över förslaget till polisdatalag och de synpunkter som där framfördes, bl.a. om svårigheten att överblicka de sammantagna konsekvenserna av lagstiftningen och skyddet för den personliga Datainspektionen anser att det fortsatta lagstiftningsärendet bör innehålla en djupare analys och redogörelse för de proportionalitets- avvägningar som gjorts mellan behov av att behandla personuppgifter och skyddet mot intrång i den personliga integriteten. anser att promemorians förslag innehåller samma komplexitet och tillämpningssvårigheter som har påtalat beträffande förslagen till polisdatalag och kustbevakningsdatalag. har där bl.a. påtalat att regleringen blir svåröverblickad, både sett till verkningar på enskildas personliga integritet samt till den faktiska tillämpningen av de föreslagna lagrummen och rekvisiten. anför vidare att promemorian saknar analys av hur de olika författningsförslagen kan komma att påverka de enskildas personliga integritet och hur dessa effekter ska vägas gentemot och övriga berörda myndigheters behov av informationsutbyte. Skälen för regeringens förslag: För att ska kunna fullgöra sina uppgifter på ett effektivt sätt måste myndigheten ha lagliga förutsättningar att utnyttja ändamålsenlig informationsteknik som gör det möjligt att samla in och i övrigt behandla stora informationsmängder. Det kan gälla uppgifter om misstänkta och vittnen men även andra personer. Förutsättningar måste även finnas att delta i det uppgiftsutbyte som sker inom ramen för de uppdrag om myndighetssamverkan som regeringen gett bl.a. , liksom att bedriva annan samverkan. Uppgifterna måste vid behov kunna tillhandahållas ett större antal personer vid myndigheten på automatiserad väg. Dessutom måste i vissa fall andra myndigheter kunna få tillgång till uppgifter. Ett utökat uppgiftsutbyte kan dock innebära en risk för intrång i den personliga integriteten. Sådana intrång måste stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen. Som redovisats i föregående avsnitt är enskilda skyddade mot åtgärder från det allmänna som innebär betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § regeringsformen). Av förarbetena till bestämmelsen framgår att utgångspunkten för grundlagsregleringen har varit att kränkningen av den personliga integriteten kan sägas utgöra ett intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där intrång bör kunna avvisas (prop. 2009/10:80 s. 175). Regeringen ansåg dock att det inte var nödvändigt att formulera en allmängiltig definition av begreppet för att kunna bedöma vilka intressen det fanns att skydda från omotiverade intrång. Det torde stå klart att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma intrånget i den personliga integriteten vid automatiserad behandling av personuppgifter. Det gäller arten av de personuppgifter som samlas in och registreras, för vilka ändamål detta görs, hur och av vem uppgifterna används, hur sökning får ske, hur länge uppgifterna sparas samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgänglig för bearbetningar och sammanställningar. Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid myndighetsverksamhet medför typiskt sett en risk för att enskilda personer utsätts för intrång i den personliga integriteten. Rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen är inte absolut. Rättigheten får begränsas i lag enligt de förutsättningar som framgår av 2 kap. 21 och 22 §§ regeringsformen. En begränsning av rätten till skydd mot sådana integritetsintrång får ske endast för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. praxis följer för övrigt att en liknande proportio- nalitetsprincip också gäller enligt artikel 8 i europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna (kallad ), som reglerar rätten till skydd för privat- och familjeliv. Den närmare utformningen av de nya bestämmelserna måste alltså föregås av en avvägning mellan å ena sidan intresset av en effektiv verksamhet och å andra sidan intresset av skyddet för den personliga Uppgifter som pekar ut personer som misstänkta för brott är särskilt känsliga ur integritetssynpunkt. I de följande avsnitten diskuteras närmare hur behov av att kunna behandla vissa uppgifter lämpligen bör vägas mot behovet av skydd för den personliga integri- Nedan redovisas några allmänna utgångspunkter för avvägningen mellan behov av behandla personuppgifter i den brottsbe- kämpande verksamheten och skyddet för den personliga integriteten. Det är viktigt att den nya lagen tydligt anger för vilka ändamål behandling av personuppgifter ska få ske. begränsar möjligheterna att behandla s.k. känsliga personuppgifter, dvs. uppgifter som avslöjar exempelvis etniskt ursprung eller politiska åsikter, bör även fortsättningsvis finnas för att upprätthålla skyddet för den I lagen bör det vidare införas mer inskränkande bestämmelser för behandling av personuppgifter som görs tillgängliga för en större krets av tjänstemän än när uppgifterna är åtkomliga för enbart ett fåtal personer. För att ska kunna bedriva ett effektivt brottsförebyggande arbete förutsätts att kan behandla uppgifter om personer som inte är misstänkta för något konkret brott men som ändå misstänks ägna sig åt brottslig verksamhet, s.k. Ur ett integritetsskyddsperspektiv bör större restriktivitet gälla för behandling av uppgifter som inte har samband med ett konkret brott. Ur integritetsskyddssynpunkt är det vidare viktigt att det inte uppstår oklarheter om huruvida en person som en uppgift rör är misstänkt för brott eller inte. I den nya lagen bör det därför regleras att det av uppgifterna ska framgå huruvida behandlingen sker för att personen är misstänkt eller inte. Även tillförlitligheten av behandlade uppgifter bör kunna utläsas, exempelvis om informationen består av kontrollerade fakta eller bara obekräftade påståenden. sökning, sammanställning och gallring bör också utformas så att skyddet för den personliga integriteten upprätthålls. Som redan nämnts måste de brottsbekämpande myndigheterna kunna utbyta information sinsemellan och, i viss utsträckning, lämna informa- tion till andra myndigheter. Av särskild betydelse är möjligheten att vid behov snabbt kunna få tillgång till uppgifter hos andra myndigheter på automatiserad väg, exempelvis genom direktåtkomst. kan dock innebära ökade risker för integritetsintrång. allt på att system för direktåtkomst normalt medför att antalet personer som har tillgång till uppgifterna blir större. För att förhindra att uppgifter blir tillgängliga i andra myndigheters verksamhet även i situationer där Prop. 2016/17:89 detta inte är nödvändigt av verksamhetsskäl i det enskilda fallet, bör tillgången till automatiserad information begränsas så att endast den som behöver en viss uppgift för att kunna fullgöra sina arbetsuppgifter kan få tillgång till den genom direktåtkomst. Sammanfattningsvis förutsätter samhällets krav på ett rättssäkert och effektivt arbete bl.a. att ges möjlighet att behandla personuppgifter på ett ändamålsenligt sätt med hjälp av väl fungerande informationsteknik som skyddet av den enskildes personliga integritet värnas. Båda dessa utgångspunkter är enligt regeringens mening centrala för lagen och bör komma till uttryck som lagens övergripande syfte. Regeringen föreslår således att det införs en bestämmelse som anger att syftet med lagen är att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Datainspektionen efterlyser en djupare analys och redogörelse för de proportionalitetsavvägningar som gjorts. anser att promemorian saknar analys av hur de olika författningsförslagen kan komma att påverka de enskildas personliga integritet och hur dessa effekter ska vägas gentemot och övriga berörda myndigheters behov av informationsutbyte. Kammarrätten i hänvisar till tidigare yttranden över förslaget till polisdatalag och de synpunkter som där framfördes om svårigheten att överblicka de sammantagna konsekvenserna av lagstiftningen och skyddet för den personliga integriteten. Regeringen gör, förutom ovan beskrivna överväganden om myndigheters behov och integritetsaspekter, närmare överväganden vid varje enskilt förslag, som presenteras i det följande. Förslaget genomförs genom 1 kap. 1 § i den nya lagen. Regeringens förslag: Den nya lagen ska gälla vid behandling av personuppgifter i den brottsbekämpande verksamheten, om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I likhet med vad som gäller ska avvikande bestämmelser om behandling av personuppgifter i lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen samt i föreskrifter som regeringen har meddelat i anslutning till dessa lagar gälla i stället för den nya lagen. Vissa bestämmelser i den nya lagen ska gälla även vid behandling av uppgifter om juridiska personer. Det ska finnas en bestämmelse som upplyser om lagens innehåll. 2016/17:89 Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. I promemorian föreslås att det ska ges en definition av brottsbekämpande verksamhet i de inledande bestämmelserna i lagen. I promemorian föreslås inte någon bestämmelse om att annan viss lagstiftning har företräde framför den nya lagen. Promemorians förslag är också något annorlunda utformat. Remissinstanserna: påpekar att personuppgiftsansvar enligt personuppgiftslagen inte omfattar juridiska personer och anser att innebörden av personuppgiftsansvaret vid behandling av uppgifter om juridiska personer måste förklaras i det fortsatta lagstiftningsarbetet. Skälen för regeringens förslag Verksamhet som omfattas av lagen Som framgår bl.a. av avsnitt 4.1 finns inom flera olika verksamheter. brottsbekämpande verksamhet syftar till att utreda brott samt förebygga, förhindra och upptäcka brottslig verksamhet. Den nya lagen bör vara tillämplig i sådan verksamhet, inklusive vid fullgörande av internationella åtaganden som avser sådana frågor. Den brottsbekämpande verksamheten inom är organisatoriskt skild från övriga verksamheter inom myndigheten och utgör en självständig verksamhetsgren enligt 8 kap. 2 § offentlighets- och sekretesslagen (2009:400). Verksamheten bedrivs inom den s.k. skattebrottsenheten. I promemorian föreslås att det i lagen tas in en definition av vad som avses med brottsbekämpande verksamhet. Regeringen anser att någon sådan definition i lagtexten inte är nödvändig. I likhet med hur regleringen i polisdatalagen och kustbevakningsdatalagen är uppbyggd bör innebörden av brottsbekämpande verksamhet i stället komma till uttryck i lagens ändamålsbestämmelser. För del finns bestämmelser om den brottsbekämpande verksamheten också i lagen om medverkan i brottsutredningar. Som framgår av avsnitt 8.1 föreslår regeringen att verksamhet i den lagen beskrivs på ett sätt som stämmer överens med hur ändamålen för den brottsbekämpande verksamheten regleras i den nya skattebrottsdatalagen. Lagen om medverkan i brottsutredningar föreslås även byta namn till lagen om brottsbekämpande verksamhet. Regeringen anser inte att det är nödvändigt med någon hänvisning till lagen om brottsbekämpande verksamhet i den nya lagen. Det framgår på annat sätt att lagen ska tillämpas i sådan verksamhet som regleras där. Den föreslagna lagen kommer således att tillämpas vid behandling av personuppgifter i den verksamhet som bedrivs inom skattebrottsenheten samt i den verksamhet inom verket som gäller styrning och ledning av denna enhet. Verksamhet som bedrivs inom andra delar av omfattas inte av lagen, även om det skulle förekomma fall då den uppvisar vissa likheter med den brottsbekämpande verksamheten. Utanför lagens tillämpningsområde faller vidare sådan behandling av personuppgifter som förekommer i samband med interna och administrativa åtgärder i verksamhet, t.ex. vid hantering av personal- och lokalfrågor. För sådan behandling gäller i stället personuppgiftslagen. Behandling som omfattas av lagen – Automatiserad och viss behandling av personuppgifter Den nya lagen bör, liksom polisdatalagen och kustbevakningsdatalagen, gälla för sådan behandling av personuppgifter som omfattas av personuppgiftslagen. Härmed avses behandling av personuppgifter som är helt eller delvis automatiserad samt annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Med behandling avses enligt 3 § personuppgiftslagen varje åtgärd eller serie av åtgärder som vidtas med en personuppgift, t.ex. insamling, registrering, bearbetning, ändring, utlämnande m.m. – Uppgifter om juridiska personer Med personuppgifter avses enligt 3 § personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte omfattas av personuppgiftslagen. behandlar i sin brottsbekämpande verksamhet stora mängder uppgifter som rör juridiska personer, t.ex. uppgifter om företag, myndigheter och andra organisationer. Även om juridiska personer inte har samma behov av integritetsskydd som fysiska personer, bör enligt regeringens mening vissa grundläggande bestämmelser tillämpas även på uppgifter om juridiska personer. En av orsakerna till detta är att det kan vara svårt att i den elektroniska hanteringen skilja uppgifter om juridiska personer från uppgifter om fysiska personer som är ägare av eller ställföreträdare för dessa. Gränsdragningsproblem kan uppstå. Det blir enklare att låta vissa grundläggande bestämmelser gälla generellt för uppgifter om levande fysiska personer och juridiska personer.