sou · H5B374 · 2017-10-04 00:00:00 — I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 5 § tull- brottsdatalagen att använda känsliga personuppgifter som sökbe- grepp ska upphävas, eftersom det i 2 kap. 14 § brottsdatalagen finns ett generellt förbud. Det förbudet utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.). Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket tullbrottsdatalagen är det tillåtet att använda uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i upp- gifter som har gjorts gemensamt tillgängliga. På samma sätt som har även i fortsättningen behov av att kunna använda sådana uppgifter som sökbegrepp, även om syftet är att få fram ett personurval grundat på känsliga personuppgifter (se avsnitt 7.3.3). Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökförbud i brottsdata- lag. För att möjligheterna till sökning ska vara samma som bör undantaget omfatta sökning i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte. har i likhet med behov av att kunna göra sökningar på tillvägagångssätt vid brott och brottsrub- riceringar. Sådana sökningar kan i vissa fall leda till ett personurval grundat på känsliga personuppgifter. Som exempel kan nämnas att smugglingsmetoder eller föremål som smugglas kan avslöja religiös övertygelse eller politiska åsikter. Ett annat exempel är att Tullver- ket vid kontroll av förbudet mot införsel och utförsel av barnpor- nografi kan behöva söka på brottsrubriceringar som kan avslöja en persons sexualliv eller sexuella läggning. Undantaget från sökförbu- det i brottsdatalagen bör därför även omfatta sökning på uppgifter om tillvägagångssätt vid brott och brottsrubriceringar. I samband med att beslag hävs behöver få kännedom om huruvida ägaren verkställer en straffrättslig påföljd och var han eller hon i så fall befinner sig. Om personen verkställer påföljden genom vårdvistelse kan en sådan sökning avslöja uppgifter om hälsa. Behovet av sådan sökning kan enligt utredningens mening tillgodoses på annat sätt än genom ett undantag från sökförbudet. Det kan lämpligen göras genom att Kriminalvården ges skyldighet att på begäran underrätta om var en häktad eller intagen är placerad (se avsnitt 13.7.3). behöver därför i motsats till inget undantag från sökförbudet när det gäller uppgifter om verkställighet av påföljd. Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i tullbrottsdatalagen mot att använda käns- liga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen är att behandling av känsliga personuppgifter ska vara absolut nödvändig. Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. För att effektivt kunna bekämpa brott kan ha behov av att kunna göra sammanställningar i syfte att få fram ett personurval grundat på känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdata- lagen när det gäller sökning i uppgifter som inte har gjorts gemen- samt tillgängliga. Framför allt i underrättelseverksamheten kan behöva göra sökningar som innebär att sammanställningar grundade på etniskt ursprung, religiös övertygelse eller politiska åsikter skapas. Det kan t.ex. vara fallet om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös över- tygelse. Smuggling av drogen kat, som endast odlas utomlands, hör hit. Vid hanteringen av frihetsberövade behöver även kunna sammanställa uppgifter om personer som är självmordsbe- nägna eller s.k. sväljare, vilket innebär att uppgifter om hälsa kan avslöjas. Det är vidare känt att det finns politiska eller andra ideologiskt motiverade grupperingar i utlandet som finansie- rar sin verksamhet genom organiserad brottslighet, t.ex. smuggling av cigarretter eller narkotika. De kan vara aktiva även i (se Lägesbild organiserad brottslighet 2011, ). Organiserad brottslighet av olika slag kräver inte sällan kartläggning av miss- tänktas kontakter och vanor som innebär att olika typer av känsliga personuppgifter kan avslöjas (jfr avsnitt 7.3.3). I kampen mot smuggling av barnpornografiska bilder kan även ha be- hov av att söka på uppgifter som kan avslöja en persons sexualliv eller sexuella läggning, t.ex på ordet pedofil eller vissa typer av sex- leksaker. I utredningsverksamheten finns motsvarande behov av att kunna söka på känsliga personuppgifter vid brott med okänd gär- ningsman. har dock inte behov av att kunna ta fram personurval grundade på alla kategorier av personuppgifter. Det kan aldrig fin- nas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Det finns inte heller behov av kunna göra sammanställningar grundade på medlemskap i fack- förening eller på genetiska uppgifter. Av avsnitt 14.7.3 framgår att utredningen inte anser att behandling av biometriska uppgifter i ansiktsigenkänningsprogram är att anse som sökning. Det finns därför inte heller något behov av undantag för sökning när det gäl- ler biometriska uppgifter. Undantaget bör därför utformas så att sökning möjliggörs när det gäller uppgifter som kan avslöja etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse och uppgifter om hälsa, sexualliv eller sexuell läggning. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga begränsas i förhållande till vad som gäller . Eftersom inte har behov av ett generellt undantag innebär undantaget ingen försämring. Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen? I avsnitt 7.3.3 redogörs för hur bestämmelserna om sökning på känsliga personuppgifter förhåller sig till bestämmelser om sekre- tess. Som framgår där kommer utredningens tidigare förslag om att absolut sekretess ska gälla för sökningar som utförs i strid med det generella sökförbudet i 2 kap. 14 § brottdatalagen inte att gälla för sökningar som görs med stöd av de nu föreslagna undantagen. Ut- lämnande av känsliga personuppgifter i en sådan sammanställning får i stället prövas mot andra bestämmelser om sekretess. 8.4.1Reglerna om personuppgiftsbehandling samlas Utredningens förslag: Bestämmelserna om hur personuppgifter som transportföretag tillhandahåller enligt bestäm- melser i inregränslagen och tullagen får behandlas ska samlas i brottsdatalag. Skälen för utredningens förslag Enligt 15 § lagen om befogenheter vid gräns mot ett annat land inom Europeiska unionen (inregränslagen) och 4 kap. 6 och 7 §§ tullagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till . Det rör sig bl.a. om resenärers namn, medresenärers namn och tran- sportmedel. Av bestämmelserna framgår att endast får begära sådana uppgifter om de kan antas ha betydelse för Tullver- kets brottsbekämpande verksamhet. Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem, där endast får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåt- komst tillåts enligt 16 § inregränslagen och 4 kap. 8 § tullagen bara i den omfattning och som behövs för att kontrollera aktuella transporter. Uppgifterna kan även lämnas på annat sätt, om transportföretaget anser att det är bättre. De lämnas ofta elek- troniskt, men det förekommer även att de tillhandahålls på papper. Utredningen utgår från att personuppgifterna, oavsett på vilket sätt de tillhandahålls, normalt är strukturerade på ett sådant sätt att tullbrottsdatalagen är tillämplig på behandlingen. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst ska enligt 16 § inregränslagen och 4 kap. 8 § tullagen förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott. Syftet med bestämmel- serna är att hindra att uppgifterna sprids, eftersom det till allra största delen är fråga om information om enskilda personer som inte är misstänkta för brott eller har samband med brottslig verk- I inregränslagen och tullagen regleras således inte bara transportföretagens uppgiftsskyldighet utan även på vilket sätt och hur länge personuppgifterna får behandlas. Uppgifter från transportföretag behandlas och analyseras i Tull- verkets underrättelseverksamhet av ett fåtal särskilt utpekade tjäns- temän. Eftersom möjlighet att utföra fysiska kontroller i princip är knuten till gränspassage är intresset av bokningsupp- gifter bara kortvarigt. När en transport har anlänt har myndigheten normalt inte längre något behov av samtliga uppgifter. Bestämmel- serna om tillgång till uppgifter är utformade med särskild hänsyn till det (se prop. 1995/96:166 s. 83 f.). Bestämmelserna om transportföretagens skyldighet tillkom i samband med anslutning till EU, som en kompensatorisk åtgärd för att minska risken för negativa konsekvenser av den fria rörligheten för personer och varor. För att skapa bättre förutsätt- ningar för kontroller vid den inre gränsen i kampen mot narkotika- brottslighet och annan internationell brottslighet gavs möjlighet att i den brottsbekämpande verksamheten inhämta vissa uppgifter om varor, passagerare och fordon. Avsikten var att upp- gifterna från transportföretagen skulle användas för att med ökad träffsäkerhet rikta kontroller mot varusändningar och mot perso- ner som skulle kunna misstänkas för brottslighet inom verksamhetsområde (se prop. 1995/96:166 s. 72 f.). Metoden att med hjälp av uppgifter från transportföretag göra profilsökningar och kunna identifiera riskbeteenden redan innan en transport har nått ansågs dock vara lika viktig vid den yttre som den inre gränsen. Uppgiftsskyldigheten reglerades därför i både inregräns- lagen och tullagen (se prop. 1995/96:166 s. 80 f.). Enligt 2 kap. 8 § tullbrottsdatalagen får personuppgifter, som har lämnats av transportföretag enligt nyssnämnda bestämmelser i inregränslagen och tullagen, behandlas av om det är tillåtet enligt dessa lagar, men enbart i den utsträckning det behövs för planering av kontrollverksamheten och urval av kontrollobjekt. Om det behövs i ett enskilt fall får sådana personuppgifter behand- las även för något annat ändamål enligt 2 kap. 5 § tullbrottsdatala- gen och göras gemensamt tillgängliga. Enligt 2 kap. 9 § är det endast tillåtet att söka på namn, personnummer eller annan identi- tetsbeteckning om uppgifterna avser en person som är eller har varit misstänkt för brott, är misstänkt för att ha utövat eller komma att utöva viss brottslig verksamhet eller är föremål för övervakning enligt lagen. Kan den nuvarande regleringen behållas? EU:s dataskyddsreform innebär att det behövs en tydligare gräns- dragning mellan sådan behandling av personuppgifter som regleras i brottsdatalagen respektive dataskyddsförordningen med kom- pletterande lagstiftning, eftersom antingen det ena eller det andra regelverket gäller (se SOU 2017:29 s. 159 f.). Regleringen i 2 kap. 8 § tullbrottsdatalagen aktualiserar frågor dels om regleringen hör hemma där, dels om regleringen av vilken personuppgiftsbehand- ling som är tillåten bör delas upp på det sätt som görs . I delbetänkandet framhåller utredningen att kontrollverksamhet normalt ligger utanför brottsdatalagens tillämpningsområde. Ut- gångspunkten är att verksamheten övergår till att vara brottsbe- kämpande först när det i kontrollverksamheten finns anledning att anta att ett visst konkret brott begåtts, eller viss brottslig verksam- het utövas, (se SOU 2017:29 s. 198 f.). Det kan konstateras att de syften som anges i 2 kap. 8 § tullbrottsdatalagen – planering av kontrollverksamheten och urval av kontrollobjekt – åtminstone vid första påseendet inte verkar vara förenliga med brottsdatalagens tillämpningsområde. tillåter regleringen i inregränslagen och tullagen bara att uppgifterna hämtas in i den brottsbekämpande verksamheten. underrättelseverksamhet går i stor utsträckning ut på att förebygga, förhindra och upptäcka smuggling av framför allt narkotika och andra farliga föremål genom att studera resmönster, betalningssätt, vilka som reser i sällskap och liknande. Det framgår också tydligt av förarbetena att syftet med att ge tillgång till personuppgifter i transportföretagens bokningssystem var att förhindra olaglig införsel av varor till och att därigenom förhindra narkotikabrottslighet och annan allvarlig brottslighet (se prop. 1995/96:166 s. 72 f.). I inregränslagen och tullagen föreskrivs som nämnts att uppgifter från transportföretag enbart får inhämtas om de kan ha betydelse för brottsbekäm- pande verksamhet. I förarbetena till tullbrottsdatalagen under- stryks att det endast är kontroller som utförs i brottsbekämpande syfte som åsyftas i 2 kap. 8 § (se prop. 2016/17:91 s. 108). Till- gången till uppgifter från transportföretag är av stor betydelse för möjligheter att förebygga och förhindra brottslig verk- samhet och att upptäcka brott i samband med gränspassage. Ut- redningen anser därför att regleringen bör finnas i brottsdatalag, men att den behöver renodlas och anpassas till de nya förutsättningar som gäller för behandling av personuppgifter till följd av EU:s dataskyddsreform. Som framgått innehåller inregränslagen och tullagen inte bara be- stämmelser om transportföretagens uppgiftsskyldighet utan även regler som dels begränsar tillgången till personuppgifter i trans- portföretagens bokningssystem, dels anger hur uppgifterna får behandlas av . Där finns bestämmelser om vilken sök- ning som är tillåten och hur länge uppgifter som härrör från transportföretag får behandlas i den brottsbekämpande verksam- heten. finns stödet för att behandla personuppgifterna automatiserat i tullbrottsdatalagen. Bestämmelserna om transportföretags uppgiftsskyldighet inför- des som nämnts i samband med att blev medlem i EU. I förarbetena till registerförfattningar har frågan om de delar av bestämmelserna som avser behandling av per- sonuppgifter borde samlas i en författning inte tagits upp. Av de skäl som anges i avsnitt 7.4.1 bör bestämmelserna om hur personuppgifter från transportföretag får behandlas och hur länge de får behandlas flyttas från inregränslagen och tullagen till Tull- verkets brottsdatalag. Med en sådan lösning blir regleringen mer överskådlig och lättillämpad. Transportföretagens uppgiftsskyldig- het bör däremot alltjämt regleras i inregränslagen och tullagen. 8.4.2En i huvudsak oförändrad reglering Utredningens förslag: ska få behandla personupp- gifter som transportföretag på begäran tillhandahål- ler enligt bestämmelser i inregränslagen och tullagen för att pla- nera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål. Skälen för utredningens förslag Av förarbetena till tullbrottsdatalagen framgår att den enda remiss- instans som yttrade sig över 2 kap. 8 § ifrågasatte om användning för planering av kontrollverksamheten och urval av kontrollobjekt stämde överens med lagens övergripande syften. Regeringen be- mötte det bl.a. genom att peka på att lagens tillämpningsområde är brottsbekämpande verksamhet (se prop. 2016/17:91 s. 108). Utredningen anser att det med den nya regleringen i brottsdatalagen är nödvändigt att klargöra att syftet med bestäm- melsen inte är att planera allmänna kontrollverksamhet. Vid inre gräns är det inte tillåtet att göra slumpmässiga kontrol- ler, t.ex. att ta ut var tionde eller tjugonde person som passerar gränsen för kontroll. Däremot är det tillåtet att göra selektiva kon- troller. Med det avses kontroller som bygger på att den som passe- rar gränsen uppfyller särskilda kriterier som pekar på förhöjd risk för att personen begår brott genom att t.ex. medföra otillåtna varor. Arbetet med att ta fram sådana kriterier som kan motivera att en viss person tas ut för kontroll och att identifiera riskprofiler görs av underrättelseverksamhet. Genom att med hjälp av transportföretagens uppgifter kartlägga bl.a. resmönster, betal- ningssätt, ålder och vilka som reser i sällskap ökar möjligheterna att kunna avslöja brott och att upptäcka nya smugglingsmetoder (se avsnitt 8.4.1). Utredningen anser att det inte råder någon tvekan om att den kontrollverksamhet som avses i 2 kap. 8 § tullbrottsdatalagen är sådan som avser att förebygga, förhindra eller upptäcka brottslig verksamhet. Bestämmelserna ska i huvudsak vara desamma Enligt utredningens mening bör de bestämmelser som flyttas över från inregränslagen och tullagen till brottsdatalag i huvudsak ha samma innehåll som . De behöver dock anpassas till den lagens tillämpningsområde. Att personuppgifterna endast får behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet bör framgå av bestämmelsen. I avsnitt 7.4.1 föreslår utredningen att polisen ska få behandla uppgifter från transportföretag inte bara i syfte att förebygga, för- hindra och upptäcka brottslig verksamhet utan även för att utreda eller lagföra brott. Även om främst har intresse av att behandla uppgif- ter från transportföretag för att effektivt kunna förebygga brott och för att bygga upp kunskap om smugglingsvägar och smugg- lingsmetoder, har myndigheten i likhet med polisen även behov av sådana uppgifter i sin utredningsverksamhet. Vid s.k. kontrollerade leveranser av narkotika kan bokningsuppgifter vara av stor praktisk betydelse. Vid utredning av smugglingsbrott är det viktigt att kunna kontrollera uppgifter om om resväg, ressällskap och lik- nande. bör därför kunna dra nytta av uppgifter från transportföretagen både i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet och i syfte att utreda eller lagföra brott. I 2 kap. 8 § tullbrottsdatalagen anges att sådana uppgifter bara får behandlas i den utsträckning det är tillåtet enligt inregränslagen respektive tullagen. Någon motsvarande bestämmelse behövs inte i brottsdatalag, eftersom det alltid ska finnas en rättslig grund för behandlingen. På samma sätt som i polisens brottsdatalag bör det förtydligas att bestämmelserna om terminalåtkomst endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it-system (se avsnitt 7.4.2). Finner att personuppgifter i ett enskilt fall föranleder ett underrättelseuppslag eller behövs för en brottsutred- ning kan de som regel behandlas enligt de generella bestämmel- serna i brottsdatalagen och brottsdatalag. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst bör förstöras, om de saknar betydelse för brottsbekämpning eller lagföring. Regleringen om förstörande i inregränslagen och tullagen gäller inte bara person- uppgifter som behandlas automatiserat utan även annan behand- ling. Den nya regleringen bör därför täcka all behandling som om- fattas av brottsdatalags tillämpningsområde. Kravet på förstörande bör dock inte omfatta de personuppgifter som myn- digheten i ett enskilt fall behandlar i syfte att bekämpa eller lagföra brott. Utredningen återkommer i avsnitt 8.5.2 till frågan om uppgifter från transportföretag får göras gemensamt tillgängliga. Behandling för nya ändamål I 2 kap. 8 § tullbrottsdatalagen föreskrivs att personuppgifter från transportföretag också får behandlas för något annat ändamål som anges i 2 kap. 5 § om det behövs i ett enskilt fall. Det innebär att sådana uppgifter t.ex. får användas för att utreda brott. Behandling för nya ändamål inom brottsdatalagens tillämp- ningsområde regleras i 2 kap. 4 § brottsdatalagen. För att sådan be- handling ska vara tillåten krävs det dels att det finns en tillåten rättslig grund för behandling för det nya ändamålet, dels att be- handlingen är nödvändig och proportionerlig för det nya ändamå- let. Utredningen föreslår i avsnitt 6.4.3 att samma prövning ska göras när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde. har ställt sig bakom att i ett en- skilt fall får behandla personuppgifter av nu aktuellt slag för något annat ändamål som anges i 2 kap. 5 § tullbrottsdatalagen. Enligt direktivet är det inte möjligt att göra undantag från den prövning som kommer till uttryck i 2 kap. 4 § brottsdatalagen. Det innebär att en sådan prövning alltid krävs när uppgifter från transportföre- tag i ett enskilt fall ska behandlas för ett nytt ändamål. Även om uppgifter från transportföretag bara får hämtas in och behandlas för ändamål inom lagens tillämpningsområde kan det inte uteslutas att det därefter uppkommer en situation där frågan om behandling för ändamål utanför tillämpningsområdet aktualiseras, t.ex. genom en begäran om att få del av en allmän handling. Det bör därför vara tillåtet att behandla uppgifterna för ändamål utanför tillämpnings- området, men prövningen av nödvändighet och proportionalitet måste då göras (se avsnitt 6.4.3). Som redovisas i avsnitt 7.4.1 har lämnat förslag till en ny lag om flygpassageraruppgifter i brottsbekämpningen som gäller för uppgifter som samlas in från flygbolag. Lagen före- slås ha företräde framför inregränslagen, tullagen och tullbrotts- datalagen. Utredningen har inte beaktat förslag. 8.5.1Sökning i gemensamt tillgängliga uppgifter Utredningens förslag: Bestämmelsen som begränsar resultatet vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller liknande iden- titetsbeteckningar ska enbart gälla i automatiserade behandlings- system. Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän 1.när de utför beredningsuppgifter i underrättelseverksamhet, om arbetet befinner sig i ett inledande skede, 2.i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har till- gång till, 3.i syfte att utreda brott för vilket det är föreskrivet fängelse eller däröver, eller 4.i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse eller däröver. Det ska också göras undantag för sökning som en tjänsteman vid någon av ledningscentraler utför på begäran av en tjänsteman som verkställer ett ingripande eller vidtar en åt- gärd som rör en enskild. Skälen för utredningens förslag Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samord- ningsnummer är ett viktigt inslag i verksamhet och så- dana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (jfr avsnitt 7.5.2). I 3 kap. 6 § tullbrottsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2016/17:91 s. 138 f.). Paragraferna är utformade efter mönster av polisdatalagen. Tullbrottsdatalagen har trätt i kraft och de aktuella be- stämmelserna behöver inte tillämpas .