prop · H40391 · 2017-02-07 00:00:00 — Dessa ändamål bör vara uttömmande angivna i lagen. De sekundära ändamålen bör avse behandling för olika typer av utlämnande av personuppgifter från brottsbekämpande verk- samhet. I fråga om behandling av personuppgifter för andra sekundära ändamål än de i lagen angivna bör den s.k. finalitetsprincipen tillämpas. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen anger att i likhet med vad inspektionen anfört i remissbehandlingen avseende förslagen till polis- datalag, kustbevakningsdatalag och lag om behandling av personupp- gifter i brottsbekämpande verksamhet kan det ifrågasättas om bestämmelserna om ändamål i promemorians förslag uppfyller kraven enligt grundläggande dataskyddsprinciper på att personuppgifter endast får samlas in för specifika och legitima ändamål och att de inte får användas på ett sätt som är oförenligt med dessa ändamål. Detta gör sig särskilt starkt gällande mot bakgrund av att det nu föreslås väsentligt utökade möjligheter att sprida information mellan brottsbe- kämpande verksamhet och den fiskala verksamheten. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning Ändamålsbestämmelserna bör ge utrymme för att bedriva det brottsbekämpande arbetet med modern teknik Bestämmelser om för vilka ändamål som personuppgifter får behandlas har en central roll i särskilda registerförfattningar. Genom ändamålen sätts ramen för vilken behandling som är tillåten. Enligt centrala data- skyddsprinciper får uppgifter endast samlas in för specifika och legitima ändamål. Vidare får insamlade personuppgifter inte behandlas för något ändamål som är oförenligt med det ursprungliga ändamålet (den s.k. finalitetsprincipen). Dessa principer kommer till uttryck bl.a. i artikel 6.1 a i och rådets direktiv /46/EG av den 24 okto- ber 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046), dataskyddsdirektivet, och i artikel 3 i rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, dataskyddsrambeslutet. Bestämmelserna finns genomförda i svensk rätt genom 9 § första stycket c och d personupp- giftslagen (1998:204). I brottsbekämpande verksamhet förekommer vitt skilda slag av behandling av personuppgifter. Det handlar t.ex. om sedvanligt kontorsarbete. Det är självklart att , i likhet med vad som gäller enligt den nuvarande lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet (kallad tullbrottsdatalagen), polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145), i den brottsbekämpande verksamheten bör ha samma möjligheter som andra myndigheter att använda modern teknik för att upprätta vanliga dokument, göra löpande noteringar i arbetet m.m. Sådant teknikutnytt- jande innefattar inte heller i sig några påtagliga integritetsrisker. behöver också i sin brottsbekämpande verksamhet, liksom , kunna använda mer kvalificerad behandling av personuppgifter, t.ex. i form av uppbyggandet och förandet av stora uppgiftssamlingar som är tillgängliga för ett flertal personer. Sådan behandling ger givetvis upphov till större risker för intrång i den personliga integriteten än hante- ringen av enskilda dokument. I detta fall behövs därför en reglering som möter behovet av att kunna värna den enskildes integritet. Ändamålsbestämmelserna bör utformas så att de ger utrymme för att bedriva brottsbekämpande arbete på ett effektivt sätt med modern teknik och omfatta all behandling av personuppgifter oavsett om den är av mer kvalificerat slag eller inte. Primära och sekundära ändamål Utgångspunkten i den nya lagen är att personuppgifter bara ska få behandlas för vissa berättigade, särskilt angivna ändamål. Därmed kan användningen och spridningen av personuppgifterna begränsas. Frågan är då hur ändamålsregleringen bör utformas. I den nuvarande tullbrottsdatalagen delas ändamålen upp i primära och sekundära, vilket är en vanligt förekommande ordning i särskilda regis- terförfattningar. Motsvarande struktur har använts i både polisdatalagen och kustbevakningsdatalagen. De primära ändamålen är utformade för att tillgodose den behandling som behövs i den berörda myndighetens egen reglerade verksamhet. Sekundära ändamål reglerar i vilken utsträckning uppgifter som samlats in för något primärt ändamål får behandlas för att lämnas ut från den reglerade verksamheten till enskilda eller till andra myndigheter eller verksamheter. Utlämnande sker således i syfte att tillgodose deras behov, dvs. trots att det inte behövs för något primärt ändamål. För del kan det vara fråga om att uppgifter i den brottsbekämpande verksam- heten behöver lämnas ut för att användas i brottsbekämpande verksamhet som någon annan myndighet bedriver, eller till en annan verksamhet som bedriver. Regeringen anser att ändamålen även i den nya lagen bör delas in i primära och sekundära ändamål. I avsnitt 10.2 behandlas de primära ändamålen för behandlingen av personuppgifter i brotts- bekämpande verksamhet. I avsnitt 10.3 behandlas de sekundära ända- målen för vilka personuppgifter ska få behandlas. Överväganden och förslag som avser diarieföring och ärendehantering redovisas i avsnitt 10.4. Bestämmelserna om de tillåtna ändamålen med behandlingen bör gälla även behandling av uppgifter om juridiska personer, se avsnitt 8.2. Finalitetsprincipen innebär att insamlade personuppgifter inte får behan- dlas för något ändamål som är oförenligt med det ursprungliga ända- målet. Det finns flera möjligheter att utforma ändamålsregleringen i särskilda registerförfattningar i förhållande till finalitetsprincipen. Det går dock att urskilja två principiellt olika sätt. Det ena är att i en uttöm- mande uppräkning ange samtliga ändamål för vilka behandling får ske, både primära och sekundära. Den tekniken har använts i den nuvarande tullbrottsdatalagen. Det andra är att de i lagen angivna ändamålen kom- pletteras med en möjlighet att vidarebehandla personuppgifter även för ändamål som inte är oförenliga med insamlingsändamålet. Möjligheten till vidarebehandling får då avgöras med tillämpning av finalitetsprin- cipen. I flera särskilda registerförfattningar, däribland polisdatalagen och kustbevakningsdatalagen, är ändamålsbestämmelserna utformade enligt det senare alternativet. En utgångspunkt för den nya lagen bör vara att de tillåtna ändamålen för behandling av personuppgifter anges så tydligt och fullständigt som möjligt. De primära ändamålen, dvs. de ändamål för vilka får samla in personuppgifter i sin brottsbekämpande verksamhet, bör därför även fortsättningsvis, i likhet med nuvarande tullbrottsdatalag, polisdata- lagen och kustbevakningsdatalagen, anges uttömmande. En svårare fråga är om även de sekundära ändamålen – som anger när de personuppgifter som med stöd av de primära ändamålen har samlats in i brottsbekämpande verksamhet får lämnas ut från verksam- heten trots att det inte behövs enligt de primära ändamålen – bör anges uttömmande, på motsvarande sätt som gäller enligt den nuvarande tullbrottsdatalagen. Det kan finnas fördelar med en sådan reglering. Lag- stiftaren kan sägas en gång för alla ha bestämt i vilken utsträckning uppgifter ska få behandlas för att spridas till andra. Under förutsättning att ändamålen är tydligt avgränsade står det genom en sådan reglering klart för både tillämpare och andra vilken behandling av personuppgifter som får förekomma med stöd av den aktuella lagen. I förarbetena till flera särskilda registerförfattningar har regeringen dock gjort bedöm- ningen att det inte är möjligt att i en lag om behandling av person- uppgifter på ett visst område på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras, se propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 98) och propositionen Kustbevaknings- datalag (prop. 2011/12:45 s. 102). Att bedöma nuvarande och förutse framtida behov av att kunna få lämna ut personuppgifter är svårt i brottsbekämpande verk- samhet. har också upplevt att den nuvarande ordningen med uttömmande uppräkning av samtliga ändamål har begränsat myndig- hetens möjligheter att anpassa sig till samhällsutvecklingen och den ökade samverkan med andra myndigheter som efterfrågas. Regeringen anser att de sekundära ändamålen inte bör anges uttömmande i den nya lagen. I ett enskilt fall bör personuppgifter som samlats in enligt de primära ändamålen även få behandlas för att tillhandahålla information för något annat ändamål än de som uttryckligen anges i lagen, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket personuppgifterna samlades in. Motsvarande gäller enligt polisdatalagen och kustbevakningsdatalagen. Den hänvisning till 9 § första stycket c och d personuppgiftslagen som föreslås i den nya lagen, se avsnitt 9.2, innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt finalitetsprincipen (9 § första stycket d) får insamlade uppgifter sedan inte behandlas för ändamål som är oförenliga med det ursprungliga En av de övergripande arbetsuppgifterna för den brottsbe- kämpande verksamheten är att utreda brott och bekämpa brottslig verksamhet. Har personuppgifter samlats in för att utreda ett visst brott, kan det generellt sett inte anses vara oförenligt med det ursprungliga ändamålet att behandla samma personuppgifter för att utreda ett annat brott eller bekämpa brottslig verksamhet (se prop. 2009/10:85 s. 99). I vissa undantagsfall har lagstiftaren dock bedömt att behandling för sådana nya ändamål inte bör vara tillåten. Uttrycklig reglering om detta har då införts. Sådan reglering finns i bl.a. 27 kap. 23 a § rättegångs- balken, som begränsar användningen av s.k. överskottsinformation från hemliga tvångsmedel till enbart de fall som direkt anges. – när svenska myndigheter mottar uppgifter från andra stater – finnas villkor som på grund av en internationell överenskommelse är bindande för de svenska myndigheterna och som begränsar möjligheterna att använda uppgifterna eller bevisningen. I t.ex. 4 kap. 2 § lagen (2000:1219) om internationellt tullsamarbete, 3 § lagen (2000:343) om internationellt polisiärt samarbete, 8 § lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen och 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål finns det bestäm- melser som innebär att svenska myndigheter ska följa sådana villkor oavsett vad som är föreskrivet i lag eller annan författning. En grundtanke är alltså att det inom brottsbekämpande verksamhet, liksom , bör vara tillåtet att använda sig av person- uppgifter som samlats in för ett visst brottsbekämpande ändamål för ett annat sådant ändamål, om det finns behov av detta och det är tillåtet enligt den reglering som gäller för brottsbekämpande verksamhet. Under sistnämnda förutsättning bör ett utlämnande av personuppgifterna från verksamheten också få ske om det behövs för brottsbekämpande ändamål hos andra myndigheter eller för vissa andra sekundära ändamål som kan förutses och som i det enskilda fallet får anses förenliga med finalitetsprincipen. Genom att ange de primära ändamålen och nämnda sekundära ändamål i lagen görs ställningstagan- det att vidarebehandling för dessa ändamål är förenlig med finalitetsprin- cipen. När det gäller de sekundära ändamålen bör också dessa uttryckas så preciserat och fullständigt som möjligt. Det bör vidare krävas att behandlingen är nödvändig för att tillhandahålla information som behövs i annan verksamhet i vissa uppräknade fall. För andra sekundära ändamål än de som anges särskilt måste en bedömning i förhållande till finalitets- principen dock göras i varje enskilt fall. Vidare måste ett utlämnande av personuppgifter givetvis också vara förenligt med offentlighets- och sekretesslagen (2009:400) för att det ska kunna ske. Regleringsmetoden överensstämmer med den som använts i polisdata- lagen och kustbevakningsdatalagen. Regleringen ska vara förenlig med dataskyddsprinciper Datainspektionen anser att det kan ifrågasättas om bestämmelserna om ändamål i promemorians förslag uppfyller kraven enligt grundläggande dataskyddsprinciper på att personuppgifter endast får samlas in för specifika och legitima ändamål och att de inte får användas på ett sätt som är oförenligt med dessa ändamål. I det följande presenteras förslagen Prop. 2016/17:91 om reglering avseende de primära och sekundära ändamålsbestämmel- serna, samt förslaget avseende finalitetsprincipen. Regeringen bedömer att förslagen uppfyller kraven på förenlighet med relevanta dataskydds- principer. Regeringens förslag: Bestämmelsen om de primära ändamåls- bestämmelserna ska föras över oförändrad in i den nya lagen. uppgifter ska således få behandlas i brottsbekämpande verksamhet om det behövs för att 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller beivra brott, eller 3. fullgöra de förpliktelser som följer av internationella åtaganden. Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: Datainspektionen anger att det centrala begreppet brottsbekämpning innefattar vitt skilda saker från utredning av ett konkret och begånget brott till vagt definierat brottsförebyggande arbete och att det innebär att ges mycket vida befogenheter att Datainspektionen har visserligen förståelse för behovet av en effektiv och flexibel lagstiftning inom det brottsbekämpan- de området, men bestämmelserna får inte utformas på ett sätt som öppnar upp för alltför skönsmässiga bedömningar. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag: har brottsbekämpande uppgifter av skilda slag där behovet av att behandla personuppgifter När det gäller den närmare avgränsningen av de primära ända- målen i brottsbekämpande verksamhet kan konstateras att man i svensk lagstiftning brukar skilja mellan verksamhet med att förebygga, förhindra eller upptäcka brottslig verksamhet och verksamhet som innefattar att utreda och beivra konkreta brott. Verksamheten med att utreda och beivra brott utförs med anledning av att ett konkret brott har eller misstänks ha begåtts, medan underrättelseverksamhet utförs med anled- ning av misstankar om pågående brottslig verksamhet som inte kan konkretiseras eller allmänna misstankar om framtida brott. underrättelseverksamheten består främst i att samla in, bearbeta och bedriver brottsbekämpande verksamhet som avser miss- tankar om både brott och brottslig verksamhet, som avses ovan. utom deltar i internationellt samarbete enligt internationella överenskommelser som ålägger verket vissa förpliktelser. En stor del av det gränsöverskridande samarbetet äger rum som ett led i förebyggande, utredning eller lagföring av svensk brottslighet, t.ex. när en svensk myndighet begär rättslig hjälp i en annan stat. personuppgifter och utlämnandet av information sker då med stöd av de primära ändamålen att förebygga, förhindra eller upptäcka brottslig verksamhet eller att utreda eller beivra brott i . 2016/17:91 bistår andra länder med uppgifter som behövs i deras verksamhet sker behandlingen med stöd av ändamålet att fullgöra ett internationellt åtagande. Genom en lagändring som trädde i kraft ändrades den tidigare ordalydelsen av den primära ändamålsbestäm- melsen i den nuvarande tullbrottsdatalagen som reglerar det internatio- nella samarbetet på så sätt att en hänvisning till lagen om internationellt tullsamarbete ersattes med en hänvisning till internationella åtaganden. Lagändringen syftade till att ändamålsbestämmelsen skulle omfatta hela det internationella samarbete som är ålagd att delta i, inte bara internationellt samarbete enligt den angivna lagen. Den nuvarande 7 § tullbrottsdatalagen tillåter behandling för tre primära ändamål: förebygga, förhindra eller upptäcka brottslig verksam- het (1), utreda eller beivra visst brott (2) eller fullgöra förpliktelser som följer av internationella åtaganden (3). I princip likalydande bestämmel- ser om de primära ändamålen i fråga om brottsbekämpande verksamhet finns i polisdatalagen och kustbevakningsdatalagen. Vad gäller punkten utreda eller beivra brott kan nämnas att huvuddelen av den brottsbekämpande verksamheten består av förundersökning eller annan utredning enligt bestämmelserna i 23 kap. . har även vissa arbetsuppgifter som avser beivrande av brott, under vilket främst faller tullåklagarens rätt att förelägga ordningsbot och att utfärda strafförelägganden. Det har inte framkommit att det i den brottsbekämpande verksamheten skulle finnas behov av att för något annat ändamål än de nu gällande samla in eller annars behandla personuppgifter för egen räkning. Regeringen hänvisar därför till tidigare förarbetsuttalanden, se t.ex. propositionen brottsbekämpning – Effektivare uppgifts- behandling (prop. 2004/05:164). Regeringen föreslår således att bestäm- melsen om de primära ändamålen i den nuvarande tullbrottsdatalagen, som motsvarar bestämmelserna i polisdatalagen och kustbevaknings- datalagen, i sak oförändrad tas in i den nya lagen. Bestämmelsen är alltså avsedd att ha samma innebörd som . Datainspektionen anger att det centrala begreppet brottsbekämpning innefattar vitt skilda saker från utredning av ett konkret och begånget brott till vagt definierat brottsförebyggande arbete och att det innebär att ges mycket vida befogenheter att behandla personuppgifter. Regeringen vill framhålla, som också framgår ovan, att det nu inte är fråga om någon utvidgning av möjligheterna att behandla person- uppgifter utan om att behålla befintlig reglering. Förslaget genomförs genom 2 kap. 5 § i den nya lagen. 10.3Behandling av personuppgifter för att tillhandahålla information till andra Regeringens förslag: Personuppgifter som behandlas i brottsbekämpande verksamhet enligt de primära ändamålen ska även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i 1. brottsbekämpande verksamhet hos , Säkerhets- Prop. 2016/17:91 polisen, , , 2.brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, 3.verksamhet hos för att förebygga brott och upp- rätthålla säkerheten, 4.annan verksamhet som ansvarar för, om det finns särskilda skäl att tillhandahålla informationen, –om enligt lag eller annan förordning är skyldig att bistå myndigheten med någon viss uppgift, eller –om informationen tillhandahålls inom ramen för myndighetsöver- skridande samverkan mot brott. Personuppgifter ska även få behandlas om det är nödvändigt för att tillhandahålla information till och regeringen samt till andra, om skyldighet att lämna uppgifter följer av lag eller förordning. I ett enskilt fall ska personuppgifter som behandlas i brottsbekämpande verksamhet även få behandlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: När det gäller tillhandahållande av information till andra myndigheter med brottsbekämpande verksamhet välkomnar att det föreslås att får behålla möjlig- heten att behandla personuppgifter i sin brottsbekämpande verksamhet för att tillhandahålla information som andra brottsbekämpande myndig- heter behöver i sin verksamhet. För att på ett rationellt sätt använda samhällets samlade resurser för att bekämpa brottslighet är det självklart att de brottsbekämpande myndigheterna ges möjlighet att utbyta informa- tion sinsemellan på ett effektivt sätt. När det gäller tillhandahållande av information som behövs i verksam- het hos för att förebygga brott och upprätthålla säker- heten välkomnar Kriminalvården förslaget. När det gäller tillhandahållande av information vid myndighetssam- verkan mot brott anger att det är positivt att får möjlighet att behandla personuppgifter för att tillhanda- hålla information även till myndigheter som inte har ett brottsbekämpan- När det gäller tillhandahållande av information till annan verksamhet inom lämnar följande remissinstanser synpunkter. anger att i promemorian föreslås att personuppgifter får behandlas för att tillhandahålla information som behövs i annan verksam- het hos , om det finns särskilda skäl att tillhandahålla informa- I promemorian sägs att ”informationen får alltså inte rutinmässigt tillhandahållas, utan det måste i det enskilda fallet finnas särskilda omständigheter som talar för att informationen bör tillhandahållas den fiskala verksamheten”. Enligt hovrätten är det inte helt klart vad som kan utgöra sådana särskilda skäl. Detta bör preciseras och exemplifieras på sätt som har gjorts i förarbetena till polisdatalagen, inte minst mot bak- grund av att gränsdragningen mellan den fiskala och den brottsbekäm- pande verksamheten inom inte är helt tydlig. Kammarrätten i ifrågasätter inte vikten av effektiv samver- kan som utgör utgångspunkt i promemorian men ställer sig frågande till om det har gjorts nödvändiga avvägningar mellan effektiv samverkan och integritetsskydd. Ett exempel på bristande avvägning mellan effektiv samverkan och integritetsskydd är förslaget om informationsutbyte mellan brottsbekämpande och fiskala verksamhet, utöver samverkan mot brott. I promemorian har inte tillräckligt analyserats skillnaderna mellan de två verksamheterna eller hur avvägningen mellan integritetsskyddet och samverkan ska göras vid informationsutbytet mellan dessa. Informationsutbytet har inte heller ställts i relation till finalitetsprincipen. Att i lagen ange de sekundära ändamålen gör inte att dessa per automatik är förenliga med finalitetsprincipen på det sätt som promemorian gör gällande. ser behov av en djupare analys av konsekvenserna när det gäller den föreslagna möjligheten till uppgiftslämnande mellan Tull- verkets olika verksamheter. Det är viktigt för att veta till vilket eller vilka ändamål uppgifter lämnas ut eftersom det kan ha betydelse för sekretessprövningen hos . anser att lydelserna ”annan verksamhet” och ”särskilda skäl” i författningsförslaget är för otydliga och ger utrymme för oklarheter vid tolkning och för skönsmässiga bedömningar. Det måste tydligare framgå vad som avses med dessa lokutioner, såväl i lag som i förarbeten. Följden blir annars bl.a. att ges stora möjlig- heter att själv tolka dessa begrepp och att därmed skapa den praxis som man anser lämplig. Verksamhet som avses bör räknas upp. ”Särskilda skäl” bör förtydligas och de ”särskilda omständigheter” som endast kortfattat hänvisas till i promemorian, bör räknas upp i lagen. () och Tull-Kust ser behov av att kunna utbyta uppgifter mellan den brottsbekämpande verksam- heten och den fiskala verksamheten bl.a. för att mer effektivt kunna bekämpa den ekonomiska brottsligheten. Skälen för regeringens förslag I detta avsnitt behandlas hur de sekundära ändamålen bör anges och därmed i vilken utsträckning personuppgifter som har samlats in enligt de primära ändamålen ska få lämnas ut för att användas även av andra myndigheter eller i annan verksamhet som bedriver, för dessas behov. Med annan verksamhet som bedriver avses den som regleras av lagen (2001:185) om behandling av uppgifter i Tull- verkets verksamhet, kallad tulldatalagen, dvs. verksamhet under Effektiv handel. Det bör dock inledningsvis påpekas att utlämnande av personuppgifter till andra också kan ske inom ramen för något av de primära ändamålen, som behandlas i avsnitt 10.2. Utlämnande av uppgifter till andra kan i många fall nämligen vara ett led i den egna brottsbekämpande verksam-