sou · H5B3100 · 2017-12-12 00:00:00 — Sådan verksamhet bedrivs både inom Nationellt forensiskt centrum och vid andra enheter inom liksom vid . Personuppgiftshan- teringen inom den forensiska verksamheten regleras numera i 5 kap. PDL. Även vid sådan behandling gäller särskilda regler om längsta tid för bevarande av personuppgifter (5 kap. 6 och 7 §§). Övrig reglering om rättsväsendets personuppgiftsbehandling För åklagarväsendets (och Ekobrottsmyndig- heten) personuppgiftsbehandling gäller åklagardatalagen (2015:433). Lagens syfte är att ge åklagarväsendet möjlighet att behandla per- sonuppgifter på ett ändamålsenligt sätt i sin operativa verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling (1 kap. 1 § lagen). Den gäller vid behandling av personuppgifter i den operativa verksamheten om behandlingen antingen är helt eller delvis automatiserad eller om personuppgif- terna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier (1 kap. 2 §). Vid behandling av per- sonuppgifter i polisiär verksamhet vid gäller i stället polisdatalagen. Liksom i polisdatalagen anges i åklagardatalagen de tillåtna ända- målen för behandling av personuppgifter i åklagarväsendets brotts- bekämpande verksamhet (2 kap. 5–7 §§). De grundläggande princip- erna för bevarande och längsta tid för behandling överensstämmer till stor del med polisdatalagens. Således gäller att personuppgifter inte får bevaras än vad som behövs för något eller några av de ändamål som anges i lagen. Personuppgifter som be- handlas automatiserat i ett ärende får inte behandlas i åklagarväsen- dets operativa verksamhet när det har förflutit från utgången av det kalenderår då ärendet avslutades av åklagaren. Om saken prövats av domstol räknas i stället femårsfristen från utgången av det kalenderår då avgörandet fick laga kraft. Förstörande av kopior och rätten till domstolsprövning Även åklagardatalagen ger möjlighet för regeringen eller en myn- dighet som regeringen bestämmer att meddela föreskrifter om att vissa uppgifter får bevaras längre än femårsfristen medger (2 kap. För personuppgiftsbehandlingen i den brottsbekämpande verk- samhet som bedrivs vid , och Kustbevak- ningen gäller skattebrottsdatalagen (2017:452), tullbrottsdatalagen (2017:447) respektive kustbevakningsdatalagen (2012:145). Även dessa lagar, vilka kompletteras av förordningar, innehåller regler om bevarande och gallring av personuppgifter i respektive verksam- het. Liksom enligt polisdatalagen gäller att gallringsreglerna inte tillämpas på utredning och beivrande av brott och att det då i stället finns regler om längsta tid för bevarande i verksamheten. Bestäm- melserna om längsta tid för bevarande hindrar inte att handlingar arkiveras och gallras enligt arkivlagens bestämmelser. När behand- ling är tillåten för brottsbekämpande ändamål kan be- varande således ske för arkivändamål. Europeiska unionen har enats om en genomgripande dataskydds- reform som ska vara genomförd . Reformen om- fattar dels en allmän dataskyddsförordning7, dels ett dataskydds- direktiv8 som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. Direktivet kallas här dataskydds- direktivet. En konsekvens av reformen är att personuppgiftslagen kommer att upphävas och att all lagstiftning om personuppgifts- behandling behöver ses över och anpassas. Förordningen ska tillämpas på sådan behandling av person- uppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1 i förordningen). 7Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 8Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Förstörande av kopior och rätten till domstolsprövning Förordningen gäller dock inte för bl.a. behandling av personupp- gifter som behöriga myndigheter utför i syfte att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. För sådan person- uppgiftsbehandling gäller i stället det nämnda direktivet (se artikel 2.2 d i förordningen). För de brottsbekämpande myndig- heternas del är det alltså främst direktivet som är av betydelse. Emellertid ska förordningen tillämpas även i förhållande till dessa myndigheter, när de behandlar personuppgifter för ändamål som ligger utanför direktivets tillämpningsområde. Ett exempel på en sådan behandling är när en brottsbekämpande myndighet lämnar ut personuppgifter med stöd av 2 kap. tryckfrihetsförordningen. Direktivet påverkar inte principen om allmänhetens rätt att få del av allmänna handlingar (skäl 16 i direktivet). Enligt artikel 86 i förordningen får personuppgifter i allmänna handlingar som för- varas av en offentlig myndighet eller ett offentligt eller privat organ för utförande av en uppgift av allmänt intresse lämnas ut av myn- digheten eller organet i enlighet med unionsrätten eller medlems- statens nationella lagstiftning som den offentliga myndigheten eller det offentliga organet omfattas av, för att jämka samman allmän- hetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter. Det nya dataskyddsdirektivet måste implementeras i svensk rätt. En särskild utredare har haft i uppdrag att bl.a. lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde och att lämna de förslag till författningsändringar som behövs för att anpassa de centrala för- fattningarna om rättsväsendets behandling av personuppgifter till de nya förutsättningarna. Utredningen, som gick under namnet Ut- redningen om 2016 års dataskyddsdirektiv, har redovisat sitt upp- drag genom ett delbetänkande och ett slutbetänkande (SOU 2017:29 Brottsdatalag respektive 2017:74 Brottsdatalag – kompletterande lag- stiftning). De nya reglerna föreslås träda i kraft . Förstörande av kopior och rätten till domstolsprövning Utredningen föreslår att direktivet i huvudsak genomförs genom införande av en ny ramlag, kallad brottsdatalagen, som avses fylla ungefär samma funktion som personuppgiftslagen gör i verk- samhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet. Syftet med lagen är både att skydda fysiska personers grundläggande fri- och rättigheter och att säkerställa att behöriga myndigheter kan be- handla och utbyta personuppgifter med varandra på ett ändamåls- enligt sätt. Tanken är att brottsdatalagen ska vara subsidiär till annan lagstiftning. Det innebär att om det finns avvikande bestämmelser om behandlingen av personuppgifter t.ex. i en viss myndighets regis- terförfattning, eller i en författning som reglerar ett visst register eller visst samarbete inom direktivets tillämpningsområde, gäller de i stället för bestämmelserna i lagen (SOU 2017:29 s. 672). Förslag till nödvändiga anpassningar av registerförfattningarna har lagts fram i utredningens slutbetänkande (SOU 2017:74, se vidare nedan). Lagen föreslås bara gälla när behöriga myndigheter behandlar per- sonuppgifter för vissa syften, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, att utreda eller lagföra brott, att verk- ställa straffrättsliga påföljder eller att upprätthålla allmän ordning och säkerhet. När en behörig myndighet behandlar personuppgif- ter för något annat syfte gäller alltså inte lagen utan i stället data- skyddsförordningen. Med behörig myndighet avses en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga på- följder, eller upprätthålla allmän ordning och säkerhet, eller en annan aktör som utövar myndighet för något av de angivna syftena. Med personuppgift avses varje upplysning om en identifierad eller identi- fierbar fysisk person som är i livet. Lagen föreslås i huvudsak gälla för sådan behandling av person- uppgifter som är helt eller delvis automatiserad. Den föreslås också gälla för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda Förstörande av kopior och rätten till domstolsprövning Den föreslås inte vara tillämplig på Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet. Undan- tag ska också enligt förslaget gälla för om den övertagit en uppgift som rör nationell säkerhet från Säkerhetspolisen. Principer för behandlingen av personuppgifter I förslaget definieras personuppgiftsbehandling som en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs auto- matiserat eller inte, t.ex. insamling, registrering, organisering, struk- turering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. Lagen bygger på följande principer för behandlingen av personupp- gifter. Det ska alltid finnas en rättslig grund för att personuppgifter ska få behandlas med stöd av lagen. Den huvudsakliga rättsliga grunden är att behandlingen av personuppgifterna ska vara nödvändig för att en behörig myndighet ska kunna utföra en sådan arbetsuppgift som gör lagen tillämplig. Arbetsuppgiften ska framgå av en bindande unionsrättsakt, en lag, en förordning eller ett särskilt beslut av re- geringen. Den andra rättsliga grunden är om behandlingen krävs för diarieföring eller om uppgifterna har lämnats till en behörig myn- dighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Vidare föreslås att personuppgifter bara får behandlas för sär- skilda, uttryckligt angivna, och berättigade ändamål. Det ställs krav på att personuppgifterna ska behandlas författ- ningsenligt och på ett korrekt sätt. De personuppgifter som be- handlas ska vara korrekta och, om det är nödvändigt, uppdaterade. De ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler uppgifter än nödvändigt får inte behandlas och inga uppgifter får behandlas längre än vad som än nödvändigt med hänsyn till ändamålen med behandlingen. Det är tillåtet att behandla personuppgifter för ett nytt ändamål som ligger inom lagens tillämpningsområde, men det måste alltid först prövas om det finns en tillåten rättslig grund för den nya be- Förstörande av kopior och rätten till domstolsprövning handlingen och om den är nödvändig och proportionerlig för det nya ändamålet. Det behöver däremot inte prövas om det nya ända- målet är förenligt med det ursprungliga. Lagen föreskriver att olika typer av personuppgifter ska sär- skiljas – t.ex. uppgifter om misstänkta respektive brottsoffer – och att personuppgifter som grundar sig på fakta ska skiljas från person- uppgifter som grundar sig på personliga bedömningar. Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning betecknas käns- liga personuppgifter. Enligt huvudregeln får sådana uppgifter inte behandlas, men om uppgifter om en person redan behandlas får de, på samma sätt som , kompletteras med känsliga personupp- gifter, under förutsättning att det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter som används i identi- fieringssyfte och genetiska uppgifter är också känsliga personupp- gifter. Sådana uppgifter får enbart behandlas om det är särskilt före- skrivet. Det är förbjudet att utföra sökningar i syfte att få fram ett per- sonurval grundat på känsliga personuppgifter. För att det inte ska vara möjligt att med stöd av offentlighetsprincipen få tillgång till en sådan sammanställning, föreslår utredningen en särskild sekretess- regel som innebär att det gäller absolut sekretess för uppgifter i sådana sammanställningar. Förslaget innehåller regler om längsta tid för behandling av per- sonuppgifter. Dessa hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Ordet ”behandlas” används i stället för ”bevaras” för att tydliggöra att det inte är fråga om bevarande i arkivlagens mening. Detta är en skillnad i förhållande till terminologin i regis- terförfattningarna i deras nuvarande lydelse. Särskilt om radering av uppgifter Alla rimliga åtgärder ska vidtas för att personuppgifter som be- handlas i strid med reglerna utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig för- Förstörande av kopior och rätten till domstolsprövning Om förutsättningarna för att radera personuppgifter är uppfyllda men de behöver finnas kvar som bevisning, t.ex. i en process om otillåten personuppgiftsbehandling, ska den personupp- giftsansvarige i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. Utrymmet för att radera uppgifter i allmänna handlingar begränsas av arkivlagstiftningen genom att det krävs författningsstöd för gall- ring. De skyldigheter som personuppgiftsansvariga har föreslås till stor del att gälla även i fortsättningen. Vissa regler föreslås dock bli mer preciserade och det föreslås också vissa nya skyldigheter. Kraven på säkerhets- och skyddsåtgärder blir mer preciserade, lik- som kravet på att det ska finnas en behandlingshistorik. Det ställs exempelvis krav på inbyggt dataskydd och dataskydd som standard. Det införs också en generell bestämmelse om att tillgången till per- sonuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. När det gäller enskildas rättigheter kommer till stora delar samma reglering som att gälla, men rätten till information föreslås bli tydligare i vissa avseenden. Genom att ramlagen är subsidiär kom- mer reglerna om information i straffrättsliga förfaranden att ha företräde framför ramlagens bestämmelser om information. Lagen innehåller regler om skyldighet att informera en enskild om hans eller hennes personuppgifter behandlas och att rätta eller komplet- tera felaktiga eller ofullständiga uppgifter. En motsvarande skyldig- het gäller i fråga om radering av personuppgifter som behandlas på ett otillåtet sätt eller om radering krävs för att den personuppgifts- ansvarige ska fullgöra en rättslig förpliktelse. Förstörande av kopior och rätten till domstolsprövning Utredningen om 2016 års dataskyddsdirektiv konstaterade i sitt delbetänkande att det, vid sidan av brottsdatalagen, alltjämt kom- mer att behöva finnas bestämmelser som tar hänsyn till de särskilda behov en viss behörig myndighet har av att kunna behandla person- uppgifter för att utföra sina arbetsuppgifter. Sådan särreglering bör enligt utredningen finnas i myndigheternas registerförfattningar (se SOU 2017:29 s. 140 och 141). Utredningens förslag angående myndig- heternas registerförfattningar finns i slutbetänkandet (SOU 2017:74). Där föreslås också två nya lagar, nämligen Säkerhetspolisens data- lag och domstolarnas brottsdatalag. Reglerna föreslås träda i kraft . För en detaljerad beskrivning av förslagen hänvisas till betänk- andet. Några huvuddrag är följande. Registerförfattningarna ska gälla utöver brottsdatalagen. I den finns alla grundläggande bestämmelser om hur personuppgifter får behandlas. Registerförfattningarna ska bara innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestäm- melserna i brottsdatalagen. De bestämmelser som finns i register- författningarna ska läsas tillsammans med regleringen i brottsdata- lagen. Det kan vara fråga om bestämmelser som t.ex. preciserar vilka särskilda krav som gäller vid behandlingen av en viss typ av personuppgifter eller hur länge en viss typ av personuppgifter får behandlas. Det kan även finnas bestämmelser som inskränker möj- ligheten att behandla vissa personuppgifter. utgår tillämpningsområdet i de brottsbekämpande myndig- heternas registerförfattningar från i vilken verksamhet personuppgifts- behandlingen utförs. Det som enligt förslagen kommer att bli avgörande för tillämpningen är i stället dels om myndigheten agerar i egenskap av behörig myndighet enligt brottsdatalagen, dels i vilket syfte personuppgifterna behandlas. Tillämpningsområdet blir därmed smalare än , eftersom inte all personuppgiftsbehand- ling som utförs inom ramen för brottsbekämpning, lagföring, straff- verkställighet eller upprätthållande av allmän ordning och säkerhet omfattas. I registerförfattningarna finns det bestämmelser om bevarande och gallring. De syftar till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. Förstörande av kopior och rätten till domstolsprövning ska därför formuleras om så att det framgår att det är fråga om dataskyddsbestämmelser. Regleringen ska utgå från hur länge person- uppgifter får behandlas. Någon ändring av hur länge olika typer av personuppgifter får behandlas görs i princip inte. 9.3Överväganden om förstörande av kopior medan utredningen eller brottmålet pågår Som konstaterats i kapitel 7 är det vanligt att beslagtaget material kopieras. Vi föreslår i samma kapitel att arbetsmetoden lagregleras genom nya bestämmelser i 27 kap. RB. Detta ger upphov till en annan fråga som tas upp i våra direktiv, nämligen den om hur kopiorna ska hanteras när beslaget hävs. Bör det i vissa situationer finnas en rätt eller rentav en skyldighet för myndigheterna att förstöra kopior av hävda beslag? Frågan aktualiseras såväl under utredning och rättegång, som efter att förundersökningen avslutats eller nedlagts, eller brottmålet slutligen avgjorts. Motsvarande fråga aktualiseras om en kopia framställs med stöd av det nya tvångsmedlet kopi- ering, som vi lämnar förslag om i kapitel 7. Vi diskuterar här han- teringen av kopior under pågående utredning och rättegång och åter- kommer i senare avsnitt till frågan om hanteringen när utredningen eller brottmålet är avslutat. För frågans bedömning har det stor betydelse om kopiorna är att betrakta som allmänna handlingar eller inte. Vi gör i kapitel 11 bedömningen att det normalt är fråga om allmänna handlingar, oavsett om det rör sig om framställningar i skrift eller bild eller om upptagningar som lagrats på en informationsbärare. Detta betyder att arkivlagens (1990:782) bestämmelser om bevarande av allmänna handlingar blir tillämpliga. Dessa bestämmelser går i korthet ut på att allmänna handlingar som utgångspunkt ska bevaras, men att de får gallras under vissa förutsättningar. Vid gallring ska bl.a. behovet av information för rättskipningen beaktas (3 och 10 §§ arkivlagen). Det är möjligt att meddela avvikande bestämmelser om gallring i annan lag än arkivlagen eller förordning. Dessa avvikande bestäm- melser tar då över arkivlagens bestämmelser om gallring. I prak- tiken är det fråga om bestämmelser som innebär att handlingar eller uppgifter ska förstöras eller avlägsnas från verksamheten utan de Förstörande av kopior och rätten till domstolsprövning hänsyn som föreskrivs i arkivlagen. Sådana bestämmelser kan vara betingade av integritetshänsyn och innebär då att handlingar eller uppgifter ska förstöras eller avlägsnas från verksamheten. Bestäm- melser med sådant innehåll finns bl.a. i registerförfattningarna för personuppgiftsbehandlingen i den brottsbekämpande verksamheten. Exempel på sådana författningar är polisdatalagen och åklagardata- lagen (se mer i avsnitt 9.2.4–9.2.7). Om det inte finns särskilda gallringsföreskrifter i lag eller för- ordning, får statliga myndigheter bara gallra allmänna handlingar i enlighet med föreskrifter eller särskilda beslut av (14 § arkivförordningen). Utöver gallring får statliga myndigheter av- hända sig allmänna handlingar endast genom sådant överlämnande eller återlämnande som sker med stöd av lag eller föreskrift eller särskilt beslut av regeringen (10 och 12 §§ arkivlagen). 9.3.2Det krävs författningsstöd för förstörande av kopior som finns kvar när beslaget hävts Bedömning: Det är tillåtet att förstöra kopior av beslag så länge beslaget består och även i samband med att beslaget hävs. Kopior som finns kvar därefter får bara förstöras med ut- tryckligt stöd i författning eller ett gallringsbeslut av . Kopior som framställts med stöd av det nya tvångsmedlet kopi- ering får bara förstöras med uttryckligt författningsstöd eller efter ett gallringsbeslut av . Om kopiering skett inom ramen för ett beslag är det tillåtet att förstöra framställda kopior så länge beslaget består. Detta följer av att kopian bara är en dubblett av den förvarade allmänna hand- lingen. Förbudet mot avhändande av allmänna handlingar hindrar nämligen inte att dubbletter rensas bort från akten (prop. 1989/90:72 s. 78 och 79). Den allmänna handlingen finns ju kvar efter att kopian förstörts. Några regler om hur kopior ska hanteras under beslagets bestånd behövs därför i princip inte. Ett undantag är dock att man från en beslagtagen informationsbärare har framställt en utskrift av något som i pappersform hade omfattats av beslagsförbud enligt 27 kap. 2 § RB. Enligt åklagaretiska regler gäller att en sådan ut- skrift, som närmast kan ses som en kopia, genast ska förstöras. Förstörande av kopior och rätten till domstolsprövning Man kan nog hävda att kravet på förstörande följer av beslags- förbudsreglerna, men någon uttrycklig bestämmelse finns inte. Om det efter att beslaget hävts finns flera kopior av det beslag- tagna materialet, finns det på samma grund inget som hindrar att dubbletter förstörs, i vart fall så länge minst ett exemplar av det tidigare beslagtagna materialet finns kvar. Någon anledning att skapa en reglering för sådana situationer finns därför inte. Detsamma gäller i fråga om dubbletter av handlingar, inklusive upptagningar, som kopierats med stöd av det av oss föreslagna tvångsmedlet kopiering. Frågan är då vad som gäller eller bör gälla i fråga om förstörande av kopior i andra fall. Om beslaget har hävts, eller den handling som kopieras med stöd av det nya tvångsmedlet kopiering återlämnats, finns originalhandlingen kvar. I dess ställe finns en kopia med samma informationsinnehåll. Som vi kommer att utveckla i avsnitt 11.5 menar vi att det då rör sig om ett exemplar av samma allmänna handling.9 Den tidigare beslagtagna eller för kopiering omhänder- tagna handlingen finns alltså fortfarande förvarad hos myndigheten och är därmed en allmän handling. Enligt arkivlagens och arkiv- förordningens bestämmelser får handlingen därmed bara förstöras med stöd av särskilda gallringsföreskrifter eller beslut av , eftersom de brottsbekämpande myndigheterna är statliga myndig- heter. Därutöver får handlingen återlämnas eller överlämnas, om det finns författningsstöd eller beslut av regeringen. Reglerna om hävande av beslag kan enligt vår mening knappast betraktas som rena gallringsföreskrifter. Av hävd menas med gall- ring att en handling förstörs. Genom föreskrifter från har begreppet fått en något vidare innebörd. Med gallring avses enligt föreskrifterna åtgärden att förstöra allmänna handlingar eller uppgifter i allmänna handlingar, eller att vidta andra åtgärder med