prop · H40391 · 2017-02-07 00:00:00 — Känsliga uppgifter ska också få behandlas om det är nödvändigt för diarieföring eller om person- uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människo- värdet. Vad gäller det sistnämnda kravet gör således regeringen, i likhet med vad regeringen gjorde vid införandet av kustbevakningsdatalagen, en annan bedömning än som ifrågasätter denna bestämmelse. Förslaget genomförs genom 2 kap. 10 § i den nya lagen. 13.1Utlämnande på medium för automatiserad behandling Regeringens förslag: Bestämmelsen om att enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling ska föras över oförändrad in i den nya lagen. Det ska också fortsättningsvis upplysas om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Kammarrätten i anser att innebörden av begreppet enstaka personuppgifter bör belysas ytterligare i författ- ningskommentaren. anger att i lagförslaget begränsas möjligheterna till elektroniskt utlämnande på så sätt att endast enstaka personuppgifter som huvudregel får lämnas ut på medium för automatiserad behandling men att detta enligt promemorian kan innehålla ett större antal person- uppgifter eller alla handlingar och uppgifter i ett enstaka ärende eller delar av ett ärende. är kritisk till att lagförslaget till sin ordalydelse i vanligt språkbruk avviker så kraftigt från bestäm- melsens tänkta innebörd. Myndigheten anser det vara nödvändigt att försvarare och annat juridiskt biträde har samma elektroniska tillgång till ett omfattande förundersökningsprotokoll som åklagaren, men ser oklarheter i frågan om en förundersökning omfattas av bestämmelsen eller inte. Ekobrotts- myndigheten anser att den lösning som förordas i förarbetena till polisdatalagen (2010:361), propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 186), att i förordning medge ett elektroniskt utlämnande utan begränsningar till försvarare eller annat juridiskt biträde, är att föredra. anser att det vore lämpligt att i förarbetena klart ange t.ex. huruvida en hel förundersökning anses omfattas av begreppet enstaka uppgifter och därmed få lämnas ut på medium för automatiserad behand- ling till berörda. Detta skulle underlätta bedömningen i de enskilda fallen samt medföra en mer enhetlig tillämpning av bestämmelsen. Även journalister bör kunna få del av förundersökningsmaterial i elektronisk form, under förutsättning att det inte är olämpligt i det enskilda fallet. Skälen för regeringens förslag: Innebörden av uttrycket utlämnande på medium för automatiserad behandling redovisas i avsnitt 6.3, liksom begreppet direktåtkomst. Enligt 25 § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet (kallad tullbrotts- datalagen) får enstaka uppgifter lämnas ut på medium för automatiserad behandling. Regeringen får också meddela föreskrifter om att utläm- nande på sådant medium får ske i andra fall, vilket inte har skett. Av effektivitetsskäl kan uppgifter behöva lämnas ut i elektronisk form på medium för automatiserad behandling. Inte bara direktåtkomst utan även utlämnande av personuppgifter på medium för automatiserad behandling anses medföra särskilda risker från integritetssynpunkt. Ett sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar riskerna för att uppgifterna ska behandlas i strid med de grundläggande kraven på dataskydd. Utlämnande i elektronisk form skapar också möjlighet för myndigheter att inrätta rutiner som innefattar dagliga överföringar av större mängder av uppgifter. Även om direktåtkomst generellt får betraktas som den mest känsliga formen av elektroniskt utlämnande kan i vissa fall likartade risker föreligga vid andra former av elektroniskt utlämnande. I polisdatalagen, kustbevakningsdatalagen (2012:145) och åklagardatalagen (2015:433) finns särskilda bestämmel- ser om möjligheten att lämna ut uppgifter på medium för automatiserad Mot denna bakgrund anser regeringen att förutsättningarna för utlämnande på medium för automatiserad behandling även fortsätt- ningsvis bör författningsregleras när det gäller brottsbekäm- Enligt de ovan nämnda lagarna om behandling om personuppgifter i andra brottsbekämpande verksamheter gäller som huvudregel att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling, t.ex. genom e-post, när förutsättningarna för ett utlämnande i övrigt är uppfyllda. Regeringen anser inte att det finns skäl när det gäller just brottsbekämpande verksamhet att ha en annan utgångs- Huvudregeln bör därför vara att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling, t.ex. genom e- Uttrycket enstaka ska ha samma innebörd som i de andra författ- ningarna på området. Regeringen föreslår därmed i likhet med promemo- rian att bestämmelsen om utlämnande på medium för automatiserad behandling förs över i sak oförändrad till den nya lagen. uppgifter ska således få lämnas ut på medium för automatiserad behand- I förhållande till myndigheter som får medges direktåtkomst finns inte skäl att införa begränsningar i fråga om utlämnande på annat elektroniskt medium, eftersom lagen ska vara teknikneutral. Regeringen avser att i förordning meddela föreskrifter om detta. att avgöra vilken form av elektroniskt utlämnande som bäst tillgodoser det behov som finns och som är mest lämplig. behöver utvecklingen beträffande begreppet direktåtkomst beaktas (se t.ex. avsnitt 6.3.2). Kammarrätten i och invänder mot uttrycket enstaka personuppgifter och även vill ha klargöranden om detta. Regeringen har tidigare uttalat sig om detta. samband med lagstiftningsärendena om polisdatalagen och kustbevak- ningsdatalagen har regeringen angett att det är svårt att i lagtext närmare ange innebörden av begreppet enstaka. Det har i sammanhanget även påpekats att begreppet enstaka har en annan innebörd än i vanligt språkbruk, se prop. 2009/10:85 s. 333 och propositionen Kustbevak- ningsdatalag (prop. 2011/12:45 s. 98). Regeringen har inte någon annan syn i frågan när det gäller nu aktuellt lagstiftningsärende. enstaka i nu föreslagen bestämmelse i den nya lagen ska som nämnts även ovan ha samma innebörd som i polisdatalagen och kustbevaknings- datalagens motsvarande bestämmelser om elektroniskt utlämnande. och anser det också vara oklart vad som gäller elektroniskt utlämnande av förundersökningar eller uppgifter i förundersökningar. Regeringen vill med anledning av detta Det kan uppkomma behov för att kunna lämna ut större mängder med uppgifter i vissa fall. Det finns därför skäl att överväga att i förordning medge utlämnande på medium för automa- tiserad behandling även i andra fall än som anges i lagen. kan nämnas just utlämnande av en förundersökning men också annan i 23 kap. till t.ex. försvarare eller annat juridiskt biträde. sådant utlämnande har införts i t.ex. 18 § polisdataförordningen (2010:1155) och 8 § åklagardataförordningen (2015:575). Även utläm- Prop. 2016/17:91 nande av statistik till kan komma att regleras. I likhet med vad som gäller bör i den nya lagen upplysas om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. Detta sker med stöd av restkompetensen i 8 kap. 7 § första stycket 2 regeringsformen. Regeringen föreslår därför att det i lagtexten uttryckligen hänvisas till 8 kap. 7 § regeringsformen. Enligt den nuvarande tullbrottsdatalagen har skyldighet att lämna sådana uppgifter som är nödvändiga för att framställa rättsstatistik till den myndighet som ansvarar för att framställa sådan statistik, dvs. I avsnitt 15.5.5 föreslås att en sådan skyldighet tas in också i den nya lagen. Regeringen anser att det är rimligt att får den statistik som myndigheten ansvarar för i elektronisk form och att kan lämna ut en omfattande mängd uppgifter i detta fall. Ett sådant omfattande uppgiftsutlämnande till kan lämpligen regleras i förordning på mot- svarande sätt som skett för del. Förslaget genomförs genom 2 kap. 16 § i den nya lagen. Regeringens förslag: Utlämnande genom direktåtkomst av person- uppgifter i brottsbekämpande verksamhet ska vara tillåtet bara i den utsträckning som följer av lagen. Det ska införas en bestämmelse som hänvisar till var i lagen det finns bestämmelser om direktåtkomst. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: I den nuvarande tullbrottsdatalagen anges att regeringen får meddela föreskrifter om att vissa uppräknade myndigheter i sin brottsbekämpande verksamhet får ha direktåtkomst till uppgifter i tullbrottsdatabasen (26 §). Sådana föreskrifter har meddelats i förordningen (2005:791) om behandling av personuppgifter i brottsbekämpande verksamhet (6–8 §§). Bestämmelserna om direkt- åtkomst i polisdatalagen och kustbevakningsdatalagen har en annan utformning men innefattar också en uttömmande reglering av möjlig- heten till direktåtkomst, genom att det anges när det är tillåtet med direktåtkomst. För att uppnå tydlighet bör det enligt regeringens mening i den nya lagen finnas en sådan uttrycklig bestämmelse som finns i polisdatalagen och kustbevakningsdatalagen. Det ska alltså anges att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Vidare bör det upplysas om var i lagen det finns bestämmelser om direktåtkomst. Förslaget genomförs genom 2 kap. 17 § i den nya lagen. Särskilda bestämmelser för gemensamt Regeringens förslag: Den nya lagen ska innehålla särskilda bestäm- melser om behandling av personuppgifter som görs eller har gjorts Uppgifter som endast ett fåtal personer har rätt att ta del av ska inte anses som gemensamt tillgängliga. särskilda bestämmelserna om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestämmelserna Promemorians förslag: Överensstämmer i huvudsak med regeringens I promemorian föreslås att de särskilda bestämmelserna om gemensamt tillgängliga uppgifter inte heller ska gälla när sådana personuppgifter som behövs för handläggningen av ärenden som rör internationellt samarbete behandlas i ett internationellt register. är också något annorlunda utformat. Remissinstanserna: Datainspektionen anger att den i lagstiftnings- ärendena om polisdatalag, kustbevakningsdatalag och lag om behandling av personuppgifter i brottsbekämpande verksamhet har ifrågasatt systemet med att ha olika regler för uppgifter som görs gemensamt tillgängliga och för andra uppgifter i den brottsbekämpande Det är tveksamt om dataskyddsnivån i den känsliga brottsbekämpande verksamheten ska vara beroende av hur många som faktiskt har tillgång till uppgifterna. Visserligen ökar typiskt sett risken för otillbörliga integritetsintrång när personuppgifter blir tillgängliga för en större krets individer. Den föreslagna regleringen beaktar dock enligt inspektionen inte att risken för otillbörliga integritetsintrång också beror på andra omständigheter. Inspektionen anser också att uttrycket gemen- samt tillgängliga uppgifter är otydligt och därför kan ge upphov till Det är naturligtvis viktigt med en enhetlig syn hos de tillämpande myndigheterna på centrala begrepp i lagstiftningen. integritetshänseende är det dock ännu viktigare att begreppen är tydliga och att den praktiska tillämpningen inte leder till otillbörliga integritets- Det är inte acceptabelt att, som i detta fall, begreppsbildningen närmare ska utvecklas av den tillämpande myndigheten. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag Det bör finnas särskilda bestämmelser för uppgifter som flera personer Den nya lagen föreslås gälla för all automatiserad behandling av personuppgifter i brottsbekämpande verksamhet och för viss sådan behandling (se avsnitt 8.2). Detta innebär att inte bara uppgifter som behandlas i för verksamheten gemensamma uppgifts- samlingar, t.ex. register eller ärendehanteringssystem, omfattas, utan sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp av personer, t.ex. vanlig ordbehandling och e-post- kommunikation. Som framhållits i andra lagstiftningsärenden, se t.ex. propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 125) och propositionen Kustbevakningsdatalag (prop. 2011/12:45 s. 72), är risken för otillbörliga intrång i den personliga integriteten större när personuppgifter används av flera gemensamt i en verksamhet än när behandlingen sker av en enskild tjänsteman vid den egna datorn utan att någon annan har direkt elektronisk åtkomst till uppgifterna. Det har därför bedömts nödvändigt att införa särskilt stränga krav för behandling av personuppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer. Uppgifter som är tillgängliga enbart för en eller ett fåtal personer behöver däremot inte omgärdas av lika strikta krav. I flera särskilda registerförfattningar har det därför gjorts en åtskillnad mellan sådan behandling som avser uppgifter som är gemensamt tillgängliga i en verksamhet och sådan behandling där upp- gifterna endast är tillgängliga för en enskild eller en begränsad grupp av tjänstemän. Regeringen har således gjort en annan bedömning i denna fråga än Datainspektionen, som motsätter sig att man har olika strikta regler beroende på hur många som faktiskt har tillgång till uppgifterna. Den nya lagen bör enligt regeringens mening, i likhet med bl.a. lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet (kallad tullbrottsdatalagen), polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145), innehålla särskilda bestämmelser för behandling av personuppgifter som är gemensamt tillgängliga i brottsbekämpande verksamhet. Regeringen föreslår också en inledande upplysningsbestämmelse i kapitlet om gemensamt tillgängliga uppgifter. Vilket begrepp bör användas? Frågan är då hur man bör avgränsa den behandling av personuppgifter för vilken särskilda regler ska gälla. I tidigare lagstiftning om behandling av personuppgifter på särskilda områden har begreppen register och databas använts för att göra avgräns- ningen. Användningen av registerbegreppet i fråga om behandling som innefattar elektronisk ärendehantering kritiserades redan i samband med framtagandet av den nuvarande tullbrottsdatalagen, bl.a. därför att det för tankarna till ett på visst sätt organiserade eller systematiserade samlingar av uppgifter, se propositionen brottsbekämpning – Effekti- vare uppgiftsbehandling (prop. 2004/05:164 s. 60). I den nuvarande tullbrottsdatalagen används i stället begreppet databas (tullbrottsdatabas) för att beskriva gemensamt använda uppgifter. Även begreppet databas har dock en stark teknisk anknytning och leder tanken till ett visst, i tekniskt avseende avgränsat, informationssystem. Detta är inte ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Upp- gifter kan t.ex. föras in helt ostrukturerat och oorganiserat i olika filer för olika sammanställningar m.m. Som en följd av detta bör enligt rege- ringens mening den nya lagen inte bygga på att behandlingen av personuppgifter sker i olika slag av register eller databaser utan i stället ges en mera generell utformning. Regleringen bör vara teknikneutral. 2016/17:91 har i särskilda registerförfattningar på det brottsbekäm- pande området i stället för databas, register eller uppgiftssamling för avgränsningen använts uttrycket gemensamt tillgängliga uppgifter. Så är fallet med polisdatalagen och kustbevakningsdatalagen, liksom i flera andra antagna registerförfattningar. Regeringen föreslår att samma uttryck används i den nya tullbrotts- datalagen. Därmed blir begreppsbildningen också enhetlig för samma verksamhet hos flera olika myndigheter som i sin verksamhet ofta utbyter uppgifter. Det kan dock noteras att i lagen (2001:185) om behandling av uppgifter i verksamhet (kallad tulldatalagen) används ännu begreppet databas (tulldatabasen). Några nämnvärda tillämpningssvårigheter till följd av att olika begrepp används i den nya lagen och tulldatalagen kan dock inte förutses (jfr prop. 2009/10:85 s. 127). I enlighet med det sagda föreslår regeringen att det i den inledande bestämmelsen om gemensamt tillgängliga uppgifter ska framgå vad som avses med gemensamt tillgängliga uppgifter. Uttrycket har samma inne- börd som motsvarande uttryck i polisdatalagen och kustbevaknings- datalagen, se mer nedan. Gränsdragningen mellan gemensamt tillgängliga uppgifter och andra personuppgifter Det ligger i sakens natur att det inte är enkelt att dra en tydlig gräns mellan uppgifter som är gemensamt tillgängliga och andra uppgifter. Regeringen har i förarbetena till polisdatalagen och kustbevaknings- datalagen angett några principer för gränsdragningen (se prop. 2009/10:85 s. 127 f. och 2011/12:45 s. 73 f.). Uttrycket gemensamt tillgängliga uppgifter i den nya lagen har samma innebörd som mot- svarande uttryck i polisdatalagen och kustbevakningsdatalagen. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga bör vara att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Att en uppgift ”är tillgänglig” för en viss person bör förstås så att personen har såväl faktisk möjlighet att ta del av uppgiften som rättslig behörighet till det. Det bör däremot inte spela någon roll hur många som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller spela någon roll om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Detta innebär till att börja med att uppgifter blir att anse som gemen- samt tillgängliga om behandlingen sker för att en obestämd krets – t.ex. hela brottsbekämpande verksamhet eller en viss organisa- tionsenhet inom myndigheten – ska kunna ta del av uppgifterna. Också andra uppgifter som är tillgängliga för en mer begränsad men i förväg obestämd krets av personer bör, som huvudregel, anses gemensamt tillgängliga. Överhuvudtaget täcker uttrycket gemensamt tillgängliga uppgifter inte enbart register i traditionell bemärkelse utan alla uppgifts- samlingar i brottsbekämpande verksamhet, avsedda för en obestämd krets av personer. Vidare bör uppgifter anses som gemensamt tillgängliga även i vissa fall när den personkrets som har tillgång till uppgifterna är bestämd och avgränsad. Om uppgifterna är tillgängliga för ett stort antal bestämda personer, bör de således anses vara gemensamt tillgängliga. Personupp- gifter som behandlas i brottsbekämpande verksamhet som involverar ett flertal tjänstemän som gemensamt behandlar viss information bör alltså regelmässigt anses som gemensamt tillgängliga. Uppgifter bör dock inte anses som gemensamt tillgängliga enbart därför att två eller flera personer har tillgång till dem. Kan man redan från början konstatera att uppgifterna endast kommer att vara tillgängliga för en avgränsad krets av ett litet antal personer, bör uppgifterna inte anses som gemensamt till- gängliga. En förutsättning för att uppgifterna inte ska anses vara gemensamt tillgängliga är alltså att kretsen omfattar endast ett litet antal personer, t.ex. ett mindre underrättelseprojekt. Om projektet enbart engagerar en avgränsad krets, bestående av ett fåtal på förhand utpekade personer eller funktioner, bör de uppgifter som behandlas inom ramen för projektet normalt inte betraktas som gemensamt tillgängliga. Så snart det är fråga om mer än ett fåtal personer som har tillgång till uppgifterna bör utgångspunkten vara den motsatta. Det bör inte i lag anges någon exakt gräns för antalet personer, men som tumregel har i förarbetena för polisdatalagen och kustbevakningsdatalagen angetts att uppgifter normalt bör anses som gemensamt tillgängliga när fler än ett tiotal personer har tillgång till dem (prop. 2009/10:185 s. 129 och prop. 2011/12:45 s. 74). När det talas om en bestämd krets bör detta inte uppfattas som att det alltid från början måste kunna anges exakt vilka tjänstemän eller vilken krets av tjänstemän som avses få tillgång till uppgifterna. Bedömningen blir naturligtvis enklare om man på förhand vet att endast ett fåtal respektive en större krets kommer att behandla uppgifterna. Även i de fall där detta inte står klart från början kan man oftast av arbetsuppgiftens art och storlek sluta sig till om uppgifterna sannolikt kommer att behandlas av ett fåtal tjänstemän eller av en större krets. I viss utsträckning kan tidsaspekten ha betydelse för om uppgifter ska anses vara gemensamt tillgängliga eller inte. En del verksamheter, främst underrättelseverksamhet inom ramen för brottsbekämpningen, leder inte alltid till ett bestämt avslut av ett visst konkret ärende. Ett underrättelse- projekt kan ha en obestämd varaktighet och därför komma att löpa , t.ex. projekt riktade mot systematisk brottslighet eller organiserad narkotikasmuggling. Det ligger i sakens natur att i sådana långvariga projekt kan den personal som sysslar med projektet komma att bytas ut under arbetets gång. Även om tanken från början har varit att endast en liten avgränsad krets ska arbeta med projektet, är det därför långt ifrån alltid möjligt att upprätthålla det kravet. Underrättelsematerial som tas fram i ett sådant projekt bör därför också anses som gemensamt tillgängliga uppgifter. Motsvarande bör i princip gälla andra typer av uppgifter som behandlas för att användas . Detta bör inte gälla undantagslöst. Om en enskild tjänsteman gör sammanställningar av olika slag för eget bruk, gör detta inte att upp- gifterna anses vara gemensamt tillgängliga, även om han eller hon har för avsikt att använda dem . Det är inte möjligt att ge detal- jerade anvisningar för bedömningen av när en viss uppgift är gemensamt Enhetlighet åstadkoms i stället genom riktlinjer utformade av och utbildning av personalen. Datainspektionen anser att uttrycket gemensamt tillgängliga uppgifter är otydligt och att det därför kan ge upphov till tillämpningsproblem. Inspektionen anser det vara viktigt med en enhetlig syn hos de tilläm- pande myndigheterna på centrala begrepp i lagstiftningen och att det inte är acceptabelt att begreppsbildningen närmare ska utvecklas av den tillämpande myndigheten. Regeringen anser i likhet med Datainspek- tionen att en enhetlig syn är viktig och betonar därför att innebörden av uttrycket också är densamma i de nu jämförda författningarna. Att det ska utformas riktlinjer och att personalen ska utbildas syftar just till att tillämpningen ska bli korrekt. Undantag från reglerna om gemensamt tillgängliga uppgifter Som framgår ovan kommer den föreslagna lagen att skilja mellan personuppgifter som endast ett fåtal personer har tillgång till och person- uppgifter som görs eller har gjorts gemensamt tillgängliga i brottsbekämpande verksamhet. För gemensamt tillgängliga uppgifter föreslås lagen innehålla särskilda, mera begränsande, bestämmelser. Personuppgifter som behandlas med stöd av den föreslagna bestäm- melsen om diarieföring m.m. (2 kap. 7 §, se avsnitt 10.4) kommer i vissa fall att bli tillgängliga för en större krets personer, t.ex. i diarier, även om tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (se avsnitt 9.5). De skulle därmed i och för sig kunna sägas utgöra gemensamt tillgängliga uppgifter.