sou · H5B329 · 2017-04-05 00:00:00 — Det kan diskuteras om sådan brottsofferverksamhet som har anknytning till pågående eller avslutade brottsutredningar, t.ex. uppföljning av meddelade kon- taktförbud eller personskydd som beviljats med anledning av be- gångna brott, bör hänföras till uppgiften att utreda brott eller ses som brottsförebyggande arbete. Det saknar dock betydelse i detta sammanhang eftersom det i båda fallen är en uppgift som omfattas av ramlagens tillämpningsområde. Även behandlingen av person- uppgifter vid kommunikationscentraler har i viss utsträckning ansetts falla under polisdatalagens tillämpnings- område och bör därmed omfattas av ramlagens tillämpningsområde (se prop. 2009/10:85, s. 140 f.). bedriver brottsförebyggande arbete som rör framför allt otillåten införsel av varor. Även den verksamheten, som inne- fattar bl.a. underrättelseverksamhet och sådan kartläggning och spaning som nämnts, ligger inom ramlagens tillämpningsom- råde. I förarbetena till lag anses uttrycken upptäcka och beivra brott stämma bättre överens med språkbruket i svensk rätt än uttrycken avslöja och lagföra brott (se prop. 2012/13:73, s. 63). Utredningen delar regeringens bedömning när det gäller uttrycket upptäcka brott men anser att uttrycket lagföra brott bör användas i ramlagen i stället för beivra brott av följande skäl. Uttrycket utreda och beivra brott används i 2 kap. 7 § polisdata- lagen, 3 kap. 2 § kustbevakningsdatalagen (2012:145) och 2 kap. 5 § åklagardatalagen (2015:433). Samma uttryck föreslås också i både tullbrottsdatalagen och skattebrottsdatalagen (se avsnitt 3.2.2 och 3.2.4). Utreda brott omfattar framför allt arbete som utförs inom ramen för en förundersökning enligt 23 kap. , medan förenklade förfaranden som mynnar ut i att strafföreläg- gande eller föreläggande av ordningsbot utfärdas i stället för att åtal väcks hänförs till beivra brott. Uttrycket beivra brott passar därför väl för , , och åklagares verksamhet, men mindre väl för handläggningen vid de allmänna domstolarna när de dömer någon till ansvar för brott och bestämmer påföljd. Däremot täcker uttrycket lagföra brott, som används i direktivet, såväl de förenklade förfaranden som Polis- myndigheten, , och åklagare tillämpar som handläggningen i domstol. Ordet lagföra framstår också som mer modernt än beivra. Utredningen anser därför att det mer vitt- omfattande uttrycket lagföra brott bör väljas i ramlagen. Frågan om även myndigheternas registerförfattningar bör ändras på motsva- rande sätt kommer att behandlas i slutbetänkandet. Uttrycket verkställa påföljd används inte i någon av de be- rörda myndigheternas registerförfattningar. Däremot används det lag. I förarbetena till den lagen anges att regleringen om- fattar bl.a. Kriminalvården och (prop. 2012/13:73, s. 61 f.). Terminologin lag framstår som lämplig och bör användas även i ramlagen. I avsnitt 8.4 diskuteras vilka myndigheter och andra aktörer som ansvarar för straffverk- ställighet i direktivets mening och som därmed bör tillämpa ramla- gen. Ramlagen bör således gälla vid personuppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Det innebär att lagen kan bli tillämplig vid underrättelse- verksamhet och annan brottsförebyggande verksamhet, förunder- sökning och liknande utredningar som hänvisar till reglerna om förundersökning, åtalsprövning, strafföreläggande och föreläggan- de av ordningsbot, domstols handläggning av brottmål och verk- ställighet av påföljder. Det är dock inte tillräckligt att personupp- giftsbehandlingen utförs i något av dessa syften. att det är en behörig myndighet som utför den, vilket utvecklas i avsnitt 7.1.4. 7.1.3Personuppgiftsbehandling som rör allmän ordning och säkerhet Utredningens förslag: Ramlagen ska gälla för behandling av personuppgifter som utförs i syfte att upprätthålla allmän ord- ning och säkerhet. Skälen för utredningens förslag Tillämpningsområdet ska omfatta skydd av allmän säkerhet Direktivets tillämpningsområde inkluderar personuppgiftsbehand- ling i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. I skäl 12 anges att polisens och andra brottsbekämpande myndigheters verksamhet främst är inriktad på att förebygga, förhindra, utreda, avslöja och lagföra brott, men att sådan verksamhet också kan innefatta myndighetsutövning genom vidtagande av tvångsåtgärder vid demonstrationer, större idrotts- evenemang och upplopp. Det anges också att verksamheten även omfattar upprätthållande av lag och ordning som en uppgift som anförtros åt polisen eller andra brottsbekämpande myndigheter när det är nödvändigt för att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och mot i lag skyddade grundläg- gande allmänna intressen som kan leda till ett brott. Det är framför allt som har i uppdrag att skydda allmänheten mot hot mot den allmänna säkerheten. En av huvuduppgifter enligt 2 § polislagen är att före- bygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den allmänna ordningen eller säkerheten och att över- vaka den allmänna ordningen och säkerheten och ingripa när stör- ningar har inträffat. Befogenheterna att ingripa finns bl.a. i 13– 13 c §§ polislagen. I avsnitt 8.5.1 utvecklas närmare vad de innebär. Även har vissa ordningshållande arbetsupp- gifter. De rör främst sådant uppträdande i trafiken till sjöss som stör ordningen eller utgör en omedelbar fara för ordningsstörning. En kustbevakningstjänsteman har också rätt att ingripa för att avvärja brott som avser trafikregler och säkerhetsanordningar för sjötrafiken, vattenförorening från fartyg och dumpning av avfall i vatten. Vid ett ingripande i någon av dessa situationer har en kust- bevakningstjänsteman enligt 3 § lagen (1982:395) om Kustbevak- ningens medverkan vid polisiär övervakning rätt att avvisa, avlägsna eller omhänderta den som stör ordningen eller utgör en omedelbar fara för den enligt reglerna i 13 § polislagen. har också särskilda ordningshållande uppgifter enligt lagstiftningen om sjöfartsskydd respektive hamnskydd. I förarbetena till polisdatalagen framhålls att det är svårt att dra en tydlig gräns mellan polisens ordningshållning och brottsbe- kämpning. Det beror på att övervakning och ordningshållande verksamhet även kan syfta till att förebygga och ingripa mot brott. Sådan verksamhet kan ofta också övergå i brottsbekämpning. Det ansågs dock föra för långt att betrakta mer renodlad övervakning och ordningshållande verksamhet som brottsbekämpande. Den verksamheten skulle därmed inte omfattas av polisdatalagens till- lämpningsområde (se prop. 2009/10:85, s. 75). I artikel 1.1 anges att direktivet omfattar personuppgiftsbe- handling i syfte att förebygga, förhindra, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Det väcker frågan om det bara är ordningshållande verksamhet som är en del av brottsbekämpningen som omfattas av direktivets tillämpningsområde. Enligt utredningens mening bör direktivet inte tolkas på det sättet. Om bara ordningshållande verk- samhet som utgör en del av brottsbekämpningen skulle omfattas av direktivet, skulle det inte ha funnits något skäl att nämna den verk- samheten särskilt. Personuppgiftsbehandling i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten räknas upp i artikeln och i skäl 12 tydliggörs att det handlar om ingripanden mot sådant som inte i sig är brott som exempelvis tvångsåtgärder vid demonstrationer. Det är därmed enligt utred- ningens mening tydligt att direktivet omfattar mer än det som kan sägas höra till den traditionella brottsbekämpande verksamheten. Ramlagen bör ha ett tillämpningsområde som motsvarar direkti- vets. Det innebär att lagen bör gälla även för personuppgiftsbe- handling som utförs för ordningshållande syften. Åtgärder för att skydda allmän säkerhet är som framgått något annat än att skydda den nationella säkerheten. Det sistnämnda är Säkerhetspolisens arbetsuppgift och behandlas i avsnitt 7.2.1. Vilket uttryckssätt bör användas? I svensk rätt har uttrycket allmän ordning och säkerhet använts i olika polisrättsliga författningar. Uttrycket, som inte har någon legaldefinition, är vittomfattande och svårdefinierat. Det används bl.a. i ordningslagen (1993:1617) och polislagen. I polislagen används uttrycket i 1 § som anger polisverksamhe- tens ändamål. Där sägs att polisens arbete syftar till att upprätthålla allmän ordning och säkerhet och att i övrigt tillförsäkra allmän- heten skydd och hjälp. I kommentaren till polislagen framhålls att det i polisens uppgift att upprätthålla allmän ordning och säkerhet inte bara ligger att motverka och beivra straffsanktionerade hand- lingar. Även i övrigt har polisen viss skyldighet att söka säkerställa förutsättningarna för en i möjligaste mån trygg och friktionsfri samlevnad medborgarna emellan (m.fl. s. 35). I 1 § polislagen används alltså uttrycket allmän ordning och säkerhet som ett överordnat begrepp som både omfattar brottsut- redning och annan brottsbekämpande verksamhet och olika former av övervakning. Det återspeglar den helhetssyn på polisens alla olika funktioner som eftersträvas. I de enskilda bestämmelserna i lagen, särskilt när det gäller polismans befogenheter, används ut- trycket i en snävare mening som ligger mera i linje med regleringen i ordningslagen. Den lagen tar sikte på regler som riktar sig till all- mänheten och som rör användningen av allmänna utrymmen och samfärdseln samt sammankomster och tillställningar av olika slag. Uttrycket allmän ordning och säkerhet används inte helt konse- kvent ens i polislagen. I vissa av bestämmelserna används uttrycket ”den allmänna ordningen” medan ”ordningen och säkerheten” an- vänds i någon bestämmelse. Av förarbetena till 13–13 c §§ kan inte utläsas att lagstiftaren har avsett någon egentlig skillnad mellan uttryckssätten eller att de skulle avse olika situationer. Både 13 a och 13 c §§ polislagen infördes för att komma till rätta med de pro- blem som polisen ställs inför i samband med större evenemang (se Ändringar i polislagen m.m., prop. 1996/97:175, s. 23 f.). också sådana situationer som skäl 12 i direktivet förefaller ta sikte på, eftersom myndighetsutövning vid demonstrationer, större idrottsevenemang och upplopp nämns uttryckligen. I ramlagen bör uttrycket allmän ordning och säkerhet användas för att säkerställa att lagens tillämpningsområde täcker den verksamhet som är av- sedd. Det stämmer också överens med hur uppgifter anges i bl.a. polislagen. anges att polisen ska upprätthålla allmän ordning och säkerhet och ibland att polisen ska övervaka allmän ordning och säkerhet. I 2 § polislagen anges att en av polisens huvuduppgifter är att övervaka den allmänna ordningen och säkerheten. Övervakning kan ha många olika former, t.ex. att någon i en ledningscentral följer trafikflödet eller allmänhetens rörelser på en viss plats via övervakningskameror. Det kan även vara fråga om automatisk has- tighetsövervakning med övervakningskameror och allmän trafik- övervakning på vägar eller fasta kontrollplatser. Övervakning kan också innebära att polisen rutinmässigt med bil passerar vissa lokaler eller områden eller att polismän eller bevakningspersonal tillfälligt eller stadigvarande bevakar en viss plats eller byggnad. För att upprätthålla allmän ordning och säkerhet krävs normalt fysisk närvaro på platsen där oordning förekommer eller riskerar att göra det. Uttrycket övervaka den allmänna ordningen och säkerheten är således mera vittomfattande än uttrycket upprätthålla allmän ord- ning och säkerhet. Enligt utredningens mening återspeglar ut- trycket upprätthålla allmän ordning och säkerhet bäst vad som enligt skäl 12 avses med direktivets uttryck skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Det bör därför användas för att avgränsa tillämpningsområdet för ramlagen. I begreppet allmän ordning och säkerhet har ansetts ligga att det ska vara något som berör allmänheten, dvs. samhällsmedlemmarna i gemen, vem som helst eller en obestämd krets av enskilda (se och , Polislagen, En kommentar, 11 uppl. 2015, i fortsättningen m.fl., s. 35 f. och där an- märkt litteratur). Frågan har bl.a. diskuterats i anslutning till poli- sens agerande vid arbetsmarknadskonflikter, demonstrationer och andra liknande situationer där samhällsmedborgare kan komma att stå mot varandra. I NJA 1989 s. 308 hade drygt 200 personer tagit sig in på en byggarbetsplats, i syfte att hindra byggandet av en motorväg. Vägran att på polisens uppmaning lämna platsen ansågs i det rättsfallet utgöra en sådan kränkning av den allmänna ord- ningen att de medverkande kunde dömas för ohörsamhet mot ord- ningsmakten. Genom att ramlagen föreslås omfatta personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet kommer den att ha ett vidare tillämpningsområde än polisdatalagen. Frågan om det bör föranleda att polisdatalagens tillämpningsområde anpassas till ram- lagens kommer att behandlas i slutbetänkandet. Kustbevakningsdatalagen gäller enligt 1 kap. 2 § behandling av personuppgifter i operativa verksamhet som rör både brottsbekämpning och annan operativ verksamhet som sjö- övervakning och räddningstjänst. I 5 kap. regleras personuppgifts- behandling i den verksamhet som inte är brottsbekämpande. Där regleras personuppgiftsbehandling i verksamhet som gäller både upprätthållande och övervakning av allmän ordning och säkerhet. Utredningen återkommer i slutbetänkandet till frågan hur person- uppgiftsbehandlingen i den ordningshållande verksamheten bör regleras. Samhällets beroende av informationsteknik har enligt regeringen utvecklats till att bli en fråga om nationell och internationell säker- het (Förebygga, förhindra och försvåra – den svenska strategin mot terrorism, skr. 2014/15:146, s. 26). I bl.a. 31 § personuppgiftslagen och 7 och 9 §§ säkerhetsskyddslagen (1996:627) finns bestämmel- ser om informationssäkerhet. Den som är ansvarig för en verksam- het ska se till att informationssäkerheten håller tillräckligt hög nivå. Alla myndigheter och organ som hanterar känslig information för- utsätts arbeta aktivt med att skydda sin information. Försvarsmak- ten, , Myndigheten för samhällsskydd och beredskap, , , Säker- hetspolisen och har emellertid ett särskilt utpe- kat ansvar för informationssäkerhet. I likhet med det nu gällande dataskyddsdirektivet innehåller direktivet bestämmelser om informationssäkerhet. Direktivet inne- bär skärpningar i olika avseenden, bl.a. ställs det krav på att person- uppgiftsincidenter ska rapporteras till tillsynsmyndigheten. Direk- tivets bestämmelser om informationssäkerhet tar – på samma sätt som det nu gällande dataskyddsdirektivet – enbart sikte på att per- sonuppgiftsansvariga bär ett särskilt ansvar för informationssäker- heten när det gäller de personuppgifter de behandlar. Det finns däremot inget som tyder på att det nya direktivet är avsett att om- fatta förebyggande arbete som rör informationssäkerhet i allmän- het eller verksamhet för att förebygga och förhindra de hot som samhället kan ställas inför på informationssäkerhetens område. Tvärtom tyder skrivningarna i skäl 12 på att det som åsyftas är hot mot fysisk säkerhet. När begreppet allmän ordning och säkerhet används i ramlagen för att ange tillämpningsområdet bör det såle- des inte omfatta informationssäkerhet. 7.1.4Vad är en behörig myndighet? Utredningens förslag: Behörig myndighet ska definieras som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verk- ställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet eller en annan aktör som utövar myndighet för något av dessa syften. Skälen för utredningens förslag: Ramlagen ska gälla för person- uppgiftsbehandling som behöriga myndigheter utför för vissa syf- ten. Det bör därför definieras vad som avses med behörig myndig- het i ramlagen. Utredningen delar den bedömning som gjordes i förarbetena till lag att det är en bättre lagteknisk lösning att knyta an till uppräkningen av verksamhetsuppgifter i direktivet än att i lag räkna upp de myndigheter som ska tillämpa lagen (se prop. 2012/13:73 s. 62). Genom att direktivet har ett så brett till- lämpningsområde, vilket illustreras i kapitel 8, är det svårt att i författningstext peka ut alla myndigheter som har sådana arbets- uppgifter att de ska betraktas som behöriga myndigheter i ram- lagens mening. Det är också svårt att i lagtext ange de kategorier som enligt viss lagstiftning har behörighet att utöva myndighet inom ramlagens tillämpningsområde. En uppräkning baserad på myndigheter och andra aktörer riskerar därför att bli ofullständig. Dessutom skulle en sådan uppräkning behöva förses med åtskilliga undantag, eftersom inte all deras personuppgiftsbehandling regleras i ramlagen. Definitionen bör därför utgå från myndigheternas arbetsuppgifter och de andra aktörernas rätt att utöva myndighet. I artikel 3.7 definieras behörig myndighet som en offentlig myn- dighet som har behörighet att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säkerheten eller ett annat organ eller annan enhet som har anförtrotts myndighets- utövning för något av detta. Som framgår av avsnitt 7.1.2 och 7.1.3 bör en delvis annan formulering väljas för avgränsningen av ramla- gens tillämpningsområde. Samma formulering bör användas i de- finitionen av behörig myndighet. Behörig myndighet bör således definieras som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet eller en annan aktör som utövar myndighet för något av dessa syften. Begreppet utöva myndighet – som också används i bl.a. 17 kap. 15 § – bör enligt utredningens mening användas. Det är enbart för aktörer som inte är myndighe- ter som det har betydelse om personuppgifter behandlas som ett led i myndighetsutövning eller inte. Personuppgifter som andra aktörer behandlar när de inte utövar myndighet ligger utanför ram- lagens tillämpningsområde. När det gäller myndigheter omfattas däremot all personuppgiftsbehandling inom ramlagens tillämp- ningsområde, oavsett om den har samband med myndighetsutöv- ning eller inte. Hur man kan resonera vid bedömningen av om kraven för att vara en behörig myndighet är uppfyllda och vilka andra aktörer som kan anses utöva myndighet behandlas i kapitel 8. 7.1.5Arbetsuppgifterna är avgörande för när en myndighet är behörig Behörig eller inte behörig myndighet? Det är självklart att vissa myndigheter på grund av sina arbetsupp- gifter ska betraktas som behöriga myndigheter enligt ramlagen. Det är , , , , , , de allmänna dom- stolarna och Kriminalvården som främst kommer att behandla per- sonuppgifter som omfattas av ramlagens tillämpningsområde. Dessa myndigheter har emellertid även arbetsuppgifter som lig- ger utanför ramlagens tillämpningsområde. Det gäller i hög grad och de allmänna domstolarna men också Tull- verket, och , där den brottsbekäm- pande verksamheten bara utgör en del av den totala verksamheten. Även åklagare har vissa operativa uppgifter som inte omfattas av ramlagens tillämpningsområde. Den omständigheten att en myn- dighet har vissa arbetsuppgifter inom ramlagens tillämpningsom- råde gör inte att myndigheten i all sin verksamhet är behörig myn- dighet i ramlagens mening. Som exempel kan nämnas , där myndighetens brottsbekämpande enheter omfattas av defini- tionen av behörig myndighet, medan de enheter som arbetar med folkbokföring eller fastställande av skatt inte gör det. En myndig- het kan således vara både behörig och icke behörig i ramlagens mening beroende på vilka arbetsuppgifter som utförs (se skäl 11). När det har konstaterats att den som ska behandla personupp- gifter är behörig myndighet i ramlagens mening måste det också fastställas att personuppgifterna ska behandlas för ett syfte som omfattas av lagen för att den ska vara tillämplig. Genom att regler- ingen i direktivet är utformad som ett undantag från dataskydds- förordningens tillämpningsområde kommer det att krävas av de behöriga myndigheterna och de enskilda tjänstemännen att de i större utsträckning än överväger syftet med behandlingen av personuppgifter och om behandlingen ligger inom ramlagens till- lämpningsområde. Om personuppgifter behandlas för något annat syfte än brottsbekämpning, lagföring, straffverkställighet eller upp- rätthållande av allmän och säkerhet ska ramlagen inte tillämpas. Det är framför allt de myndigheter som arbetar med brottsbekämp- ning som kommer att möta gränsdragningsproblem. Det beror bl.a. på att deras verksamhet är sådan att det inte alltid från början är tydligt om syftet med behandlingen är brottsbekämpande eller inte. Även på andra områden kan gränsdragningen ibland vara svår. Det är omöjligt att inom ramen för denna utredning uttöm- mande ange när de behöriga myndigheterna ska tillämpa ramlagen. I kapitel 8 redovisas dels vissa principer som utredningen anser bör vara vägledande, dels exempel på när ramlagen bör eller inte bör tillämpas. I det enskilda fallet blir det dock den handläggande tjänstemannen som får avgöra vilken lagstiftning som är tillämplig. Svårigheterna med att avgöra vilket regelverk som ska tillämpas bör dock inte överdrivas. tillämpar myndigheterna olika regelverk – personuppgiftslagen och myndighetsanknutna registerförfattningar – beroende på i vilken verksamhet personupp- gifterna behandlas. Problematiken med dubbla regleringar när det gäller personuppgiftsbehandling finns således . Så som tillämpningsområdet för direktivet är utformat kommer fler myndigheter och andra aktörer än enbart myndigheterna i rättskedjan att i viss del av sin verksamhet behöva tillämpa ram- lagen. Det gäller exempelvis den som bedriver sluten ungdomsvård eller rättspsykiatrisk vård. Vidare kommer andra aktörer som ut- övar myndighet inom ramlagens tillämpningsområde att behöva tillämpa den när de behandlar personuppgifter för sådana syften som lagen reglerar. De ska då betraktas som behöriga myndigheter i ramlagens mening och tillämpa den. En del av aktörerna har hit- tills enbart tillämpat personuppgiftslagen och kommer att i fort- sättningen tillämpa dataskyddsförordningen i huvuddelen av sin verksamhet. Det ställs alltså krav på att de, när personuppgiftslagen upphör att gälla, noga överväger för vilka syften personuppgifter behandlas och vilket regelverk som ska tillämpas på behandlingen. Behandling av personuppgifter i verksamhet som omfattas av unionsrätten omfattas således antingen av ramlagens eller data- skyddsförordningens tillämpningsområde. Ramlagen och förord- ningen kan inte vara tillämpliga på samma behandling för samma syfte. Har behandlingen däremot flera olika syften kan de vara till- lämpliga parallellt. Som exempel kan nämnas behandling av personuppgifter vid gränskontroll. Den behandling som görs med stöd av utlännings- och medborgarskapslagstift- ningen ligger under förordningens tillämpningsområde, medan ramlagen ska tillämpas på den behandling som har ett brottsbekäm- pande syfte (jfr 3 § utlänningsdatalagen [2016:27] och Utlännings- datalag, prop. 2015/16:65, s. 108). Det innebär att det är fråga om två olika behandlingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk. Hur gränsen ska dras diskuteras i avsnitt 8.2.10. 7.1.6Helt eller delvis automatiserad behandling Utredningens förslag: Ramlagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad.