sou · H5B374 · 2017-10-04 00:00:00 — 2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott, 3.i Försvarsmaktens försvarsunderrättelseverksamhet och mili- tära säkerhetstjänst och i Försvarets radioanstalts förvarsun- derrättelseverksamhet, om det finns särskilda skäl att tillhan- dahålla informationen, 4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller förordning ska bistå myndigheten med viss uppgift, 5.i brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, eller 6.i verksamhet hos en utländsk underrättelse- eller säkerhets- tjänst. Personuppgifter ska även få behandlas om det är nödvändigt för att tillhandahålla information till och regeringen och till andra, om skyldighet att lämna uppgifter följer av lag eller förordning. I ett enskilt fall ska personuppgifter få behandlas för att till- handahålla information för något annat ändamål än de ovan uppräknade, om det nya ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag: Som framgår av avsnitt 14.6.2 anser utredningen att den nuvarande regleringen som bygger på en uppräkning av olika situationer där information behöver tillhanda- hållas och som kompletteras med möjligheten att tillämpa finali- tetsprincipen i enskilda fall bör behållas. Utredningen anser att reg- leringen i 6 kap. 2 § polisdatalagen återspeglar Säkerhetspolisens behov av att behandla personuppgifter för att tillgodose andras in- formationsbehov. De skäl som anfördes när regleringen infördes gör sig fortfarande gällande (se prop. 2009/10:85 s. 260 f. och prop. 2014/15:94 s. 83 f.). Den nya lagen bör därför i huvudsak ha samma innehåll. Som framgår av avsnitt 14.11.3 behöver Säkerhetspolisen i vissa fall även lämna ut uppgifter till . Säkerhets- polisen och försvarsunderrättelsemyndigheterna har angränsande uppdrag som förutsätter nära samarbete och kontinuerligt informa- tionsutbyte. Även om Säkerhetspolisen i de flesta fall lämnar in- formation till för den egna verksamhetens behov, kan det inte uteslutas att kan behöva sådan information för sin egen verksamhet. Det bör därför enligt utredningens mening finnas rättsligt stöd även för sådant utläm- nande. Av samma anledning som när det gäller information till För- svarsmakten bör det krävas särskilda skäl för att Säkerhetspolisen ska få lämna ut uppgifterna (se prop. 2009/10:85 s. 262). bör därför läggas till i bestämmelsen som reglerar ut- lämnande till Försvarsmakten. Enligt 16 § instruktionen för Säkerhetspolisen ska myndigheten samarbeta med utländska myndigheter och organ i den utsträck- ning som behövs för myndighetens verksamhet och som rege- ringen närmare bestämmer. Säkerhetspolisen har flera utländska samarbetspartner och utbyter kontinuerligt information med dem. I avsnitt 14.11.4 föreslås att Säkerhetspolisen ska kunna medge underrättelse- och säkerhetstjänster i EU och EES direktåtkomst till vissa uppgifter. Även om Säkerhetspolisen i de flesta fall lämnar informationen till dem för den egna verksamhetens behov, kan det inte uteslutas att Säkerhetspolisen även kan behöva lämna informa- tion för att tillgodose de utländska tjänsternas behov. Det kan t.ex. gälla misstanke om ett förestående attentat som uteslutande berör en annan stat. I 6 kap. 2 § polisdatalagen anges endast brottsbe- kämpande verksamhet hos utländsk myndighet eller mellanfolklig Säkerhetspolisens behandling av personuppgifter organisation som mottagare. Utländska underrättelse- och säker- hetstjänster har inte alltid den arbetsuppgiften. För att det ska vara tydligt att Säkerhetspolisen får lämna information om det behövs för sådana tjänsters behov bör det införas rättsligt stöd för det. 14.7Grundläggande krav på behandlingen 14.7.1Författningsenlig och korrekt behandling Utredningens förslag: Personuppgifter ska behandlas författ- ningsenligt och på ett korrekt sätt. Skälen för utredningens förslag: Enligt 9 § första stycket a och b personuppgiftslagen får personuppgifter behandlas bara om det är lagligt. Personuppgifterna ska vidare behandlas på ett korrekt sätt och i enlighet med god sed. Bestämmelserna gäller genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen för Säkerhetspoli- sen. I 2 kap. 6 § brottsdatalagen föreskrivs att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Skälen bakom bestämmelsen och vad den innebär framgår av delbetänkandet (se SOU 2017:29 s. 256 f.). En motsvarande bestämmelse bör tas in i den nya lagen. 14.7.2Personuppgifter ska vara korrekta, adekvata och relevanta Utredningens förslag: De personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. De personuppgifter som behandlas ska vara adekvata och re- levanta i förhållande till ändamålen med behandlingen. Fler per- sonuppgifter än vad som är nödvändigt med hänsyn till ända- målen med behandlingen ska inte få behandlas. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Personuppgifter ska vara korrekta och uppdaterade Enligt 9 § första stycket g personuppgiftslagen ska personuppgifter som behandlas vara riktiga och, om nödvändigt, aktuella. Bestäm- melsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. I 2 kap. 7 § första stycket brottsdata- lagen föreskrivs att personuppgifter ska vara korrekta och, om det är nödvändigt, uppdaterade. En motsvarande bestämmelse bör tas in i den nya lagen. Vad som avses med korrekta och uppdaterade framgår av delbetänkandet (se SOU 2017:29 s. 258 f.). I 2 kap. 10 § tredje stycket polisdatalagen, som gäller för Säker- hetspolisen, föreskrivs att uppgifter som beskriver en persons ut- seende ska utformas på ett objektivt sätt och med respekt för människovärdet. Samma reglering finns i 2 kap. 7 § andra stycket brottsdatalagen. En motsvarande bestämmelse bör finnas i den nya lagen. Som utredningen konstaterar i delbetänkandet bör den pla- ceras tillsammans med bestämmelserna om personuppgifternas kvalitet (se SOU 2017:29 s. 259). Personuppgifter ska vara adekvata och relevanta Enligt 9 § första stycket e och f personuppgiftslagen ska de person- uppgifter som behandlas vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen. Bestämmelsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. Motsvarande reglering finns i 2 kap. 8 § brottsdatalagen. En likadan bestämmelse bör tas in i den nya lagen. Vilka uppgifter som är adekvata och relevanta ska bedömas i förhållande till ändamålen med behandlingen. Detsamma gäller hur många personuppgifter det finns behov av att behandla. Det kan emellertid vara svårare att bedöma att uppgifterna är adekvata och relevanta i Säkerhetspolisens verksamhet än i annan polisverksam- het, eftersom det som regel inte är lika tydligt vari den brottsliga verksamheten eller säkerhetshotet består. Säkerhetspolisens behandling av personuppgifter Att det krävs att uppgifterna ska vara adekvata och relevanta får betydelse för hur s.k. överskottsinformation ska hanteras, dvs. uppgifter som samlas in och som visar sig inte vara adekvata eller relevanta för det bestämda ändamålet. Om uppgifterna inte behövs för något annat tillåtet ändamål får de inte lagras för framtida be- hov. Det finns särskilda regler om i vilken utsträckning överskotts- information överhuvudtaget får behandlas i vissa sammanhang (se t.ex. 27 kap. 23 a § ). Med hänsyn till Säkerhetspolisens känsliga verksamhet kan det, bl.a. vid bedömningen av hur många personuppgifter som behöver behandlas i förhållande till ändamålet, vara nödvändigt att utöver behoven i det konkreta ärendet ta hänsyn till andra aspekter, fram- för allt kravet på informationssäkerhet. Säkerhetspolisen kan t.ex. i vissa situationer behöva begära uppgifter om fler personer än den som är misstänkt, för att inte avslöja vem eller vilka personer som myndigheten intresserar sig för i underrättelsearbetet eller en brottsutredning. Kravet på att uppgifterna ska vara adekvata och relevanta och inte för många i förhållande till ändamålet med be- handlingen bör då ändå anses vara uppfyllt. Behandlingen av upp- gifter om de personer som myndigheten inte har något intresse av annat än för att avleda uppmärksamheten ska givetvis upphöra så snart det syftet är uppnått. Behovet av att behandla sådana uppgif- ter är alltså kortvarigt. Särskilt om material från användning av hemliga tvångsmedel Säkerhetspolisen behandlar i stor utsträckning material från hem- liga tvångsmedel. Det beror dels på att Säkerhetspolisen biträder andra brottsbekämpande myndigheter med tekniska åtgärder, dels på att sådana tvångsmedel förekommer i Säkerhetspolisens egen verksamhet. För behandling av uppgifter som inhämtas genom hemliga tvångsmedel gäller dels reglerna i eller motsvarande lagstiftning, dels myndighetens registerlagstiftning (se prop. 2009/10:85 s. 78). Material av nu aktuellt slag kan både behöva bearbetas tekniskt eller på annat sätt, och i vissa fall även tolkas eller översättas, innan det kan granskas på det sätt som för- utsätts i och annan motsvarande lagstiftning. Det ligger i sakens natur att kravet på granskning av det materiella inne- Säkerhetspolisens behandling av personuppgifter hållet inte kan uppfyllas innan det har gjorts tillgängligt på sådant sätt att en åklagare eller den utredningspersonal som biträder honom eller henne kan ta del av det. Det innebär att personuppgif- ter måste kunna behandlas för att den granskningen ska kunna komma till stånd. Kravet på att sådant material som härrör från hemliga tvångsmedel och som är ovidkommande ska tas bort så snabbt som möjligt måste därför ses i ljuset av möjligheterna att på ett tidigt stadium kunna bedöma värdet av informationen. Utredningens förslag: Säkerhetspolisen ska inte få behandla personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Om uppgifter om en person behandlas ska de dock få komplet- teras med sådana uppgifter när det är absolut nödvändigt för än- damålet med behandlingen. Säkerhetspolisen ska få behandla biometriska uppgifter en- dast om det är absolut nödvändigt för ändamålet med behand- lingen men ska inte få behandla genetiska uppgifter. Känsliga personuppgifter ska också få behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och be- handlingen är nödvändig för myndighetens handläggning. Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Sökförbu- det ska inte hindra att brottsrubriceringar, uppgifter om tillvä- gagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Det ska inte heller hindra sök- ning i syfte att få fram ett personurval grundat på etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sök- ningen är absolut nödvändig för något av de syften som Säker- hetspolisen får behandla personuppgifter för. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Säkerhetspolisen ska få behandla känsliga personuppgifter i samma utsträckning som Enligt 2 kap. 10 § polisdatalagen, som genom en hänvisning i 6 kap. 4 § gäller för Säkerhetspolisen, får uppgifter om en person inte be- handlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska över- tygelse, medlemskap i fackförening, hälsa eller sexualliv. Om upp- gifter om en person redan behandlas på någon annan grund, får de dock kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen. Innebörden är att det t.ex. inte är tillåtet att föra särskilda register över personer baserat på deras politiska åsikter. Om uppgifter om en person redan be- handlas får dock uppgifter om politiska åsikter behandlas, om det bedöms vara absolut nödvändigt för ändamålet med behandlingen. Det kan t.ex. vara fallet om motivet för ett brott är politiskt. I brottsdatalagen utökas uppräkningen av vad som betecknas som känsliga personuppgifter. Dit hör enligt 2 kap. 11 § även uppgifter som rör sexuell läggning och enligt 2 kap. 12 § biomet- riska uppgifter som används för att identifiera en person och gene- tiska uppgifter. För att den nya regleringen så långt möjligt ska stämma överens med övriga registerförfattningar bör uppräkningen av känsliga per- sonuppgifter i den nya lagen omfatta både uppgifter som rör sexu- alliv och sexuell läggning. Även biometriska och genetiska uppgif- ter bör i den nya lagen betecknas som känsliga personuppgifter. Vad som avses med genetiska och biometriska uppgifter redovisas i delbetänkandet (se SOU 2017:29 s. 265 f.). På samma sätt som bör Säkerhetspolisen bara få behandla känsliga personuppgifter om uppgifter om personen redan behand- las på någon annan grund och behandlingen av känsliga personupp- gifter är absolut nödvändig för ändamålet med behandlingen. Be- stämmelserna i den nya lagen om känsliga personuppgifter bör formuleras på samma sätt som i brottsdatalagen. Det blir då tyd- ligare vilka uppgifter som utgör känsliga personuppgifter och när de får behandlas. Någon förändring av synen på vad som är absolut nödvändigt vid behandling av känsliga personuppgifter är inte av- sedd. Sådana uppgifter ska alltjämt användas restriktivt och behovet Säkerhetspolisens behandling av personuppgifter av att komplettera med sådana uppgifter ska prövas noga i det enskilda ärendet (se prop. 2009/10:85 s. 325). Behandling av biometriska och genetiska uppgifter I avsnitt 7.3.2 redogör utredningen för vad som avses med biomet- riska och genetiska uppgifter. Säkerhetspolisen har som framgår där behov av att kunna behandla biometriska uppgifter. Det gäller även när behandlingen rör nationell säkerhet. En motsvarande be- stämmelse bör därför tas in i den nya lagen. Att behandling av genetiska uppgifter regleras i brottsdatalagen beror på att det är nödvändigt för att genomföra direktivet. Ut- redningen föreslår i avsnitt 7.8.4 att sådana uppgifter enbart ska få behandlas i forensiska verksamhet. Säkerhets- polisen behandlar inte genetiska uppgifter och det kan inte heller förutses något framtida behov av det. Det bör framgå av den nya lagen att Säkerhetspolisen inte får behandla sådana uppgifter. Behandling för diarieföring eller liknande Enligt 2 kap. 10 § andra stycket polisdatalagen får Säkerhetspolisen behandla känsliga personuppgifter om det är nödvändigt för dia- rieföring eller om uppgifterna har lämnats till myndigheten i en anmälan eller liknande och behandlingen är nödvändig för hand- läggningen. Som framgår av avsnitt 14.6.4 måste Säkerhetspolisen alltid ha möjlighet att behandla personuppgifter för att diarieföra och handlägga inkommande anmälningar, ansökningar och andra liknande handlingar. Det bör gälla även i de fall där sådana hand- lingar innehåller känsliga personuppgifter, eftersom det ligger ut- anför Säkerhetspolisens kontroll om sådana uppgifter finns i hand- lingarna. Det bör därför framgå att sådan behandling är tillåten. Ett sökförbud med undantag Enligt 6 kap. 11 § polisdatalagen får Säkerhetspolisen använda käns- liga personuppgifter som sökbegrepp vid sökning i personuppgifter som har gjorts gemensamt tillgängliga endast om det är absolut Säkerhetspolisens behandling av personuppgifter nödvändigt för de ändamål som myndigheten får behandla person- uppgifter för. Brottsrubriceringar och uppgifter som beskriver en persons utseende får dock användas som sökbegrepp utan några begränsningar. Några begränsningar gäller inte heller vid sökning i personuppgifter som endast ett fåtal har tillgång till. I 2 kap. 14 § brottsdatalagen finns ett generellt sökförbud som förbjuder sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Utredningen redogör för innebörden av förbudet i delbetänkandet (se SOU 2017:29 s. 272 f.). Utredningen föreslår att det i övriga registerförfattningar ska föreskrivas undan- tag från sökförbudet som är anpassade till de behov som respektive myndighet har (se avsnitt 7.3.3, 8.3.3, 9.3.3, 10.3.3, 11.3.3 och 13.5.5). Frågan är om samma systematik bör väljas även för Säker- hetspolisen. Vid polisdatalagens tillkomst ansåg regeringen att verksamhets- skäl talade för att Säkerhetspolisen inte borde förbjudas att använda känsliga personuppgifter som sökbegrepp, eftersom uppgifter av det slaget kan ha stor betydelse i myndighetens verksamhet. Rege- ringen framhöll att verksamhetsintresset måste vägas mot intresset av att skydda de personer, vilkas uppgifter behandlas, mot intrång i den personliga integriteten. Vidare framhölls att utform- ningen av bestämmelsen om sökning gör att känsliga personupp- gifter inte rutinmässigt kan användas som sökbegrepp utan först sedan det vid en prövning av behovet i det enskilda fallet konsta- terats att det finns ett påtagligt behov (se prop. 2009/10:85 s. 266). Säkerhetspolisen har alltjämt behov av att kunna använda käns- liga personuppgifter vid sökning. I arbetet med att förebygga och upptäcka terroristbrott kan t.ex. uppgifter om en persons politiska åsikt eller religiösa övertygelse vara viktiga. Vid brott mot rikets säkerhet kan uppgifter av det slaget bidra till att fastställa motivet för gärningen. Säkerhetspolisen bör därför ges i huvudsak samma möjligheter som att använda känsliga personuppgifter vid sökning. Eftersom Säkerhetspolisens reglering i större utsträckning än övriga registerförfattningar tillåter sökning skulle det kunna hävdas att ett generellt sökförbud skulle bli innehållslöst då det skulle be- höva förses med så många undantag. Utredningen anser dock att en reglering som bygger på ett generellt förbud med undantag som är anpassade för verksamheten ger en tydligare signal om att känsliga Säkerhetspolisens behandling av personuppgifter personuppgifter ska användas restriktivt. Det finns också fördelar med att regleringen för alla brottsbekämpande myndigheter över- ensstämmer i den delen. Regleringen i den nya lagen bör därför bygga på ett generellt förbud som utgår från syftet med sökningen. Förbudet bör på samma sätt som för övriga brottsbekämpande myndigheter gälla vid sökning i alla slags uppgifter, dvs. även i upp- gifter som bara behandlas av ett fåtal. Från förbudet bör det göras undantag som tillgodoser Säkerhetspolisens behov av att kunna använda känsliga personuppgifter. Genom att sökförbudet utgår från syftet med sökningen är sök- ning som inte görs i syfte att få fram ett personurval grundat på känsliga personuppgifter tillåten, även om känsliga personuppgifter används vid sökningen (jfr SOU 2017:29 s. 272 f.). Även tillåtna sökningar kan således resultera i ett personurval grundat på käns- liga personuppgifter. I vilken utsträckning det är tillåtet att be- handla personuppgifterna i en sådan sammanställning får prövas mot huvudregeln om behandling av känsliga personuppgifter. Som anges i delbetänkandet kan det ifrågasättas om utform- ningen av sökförbudet i brottsdatalagen uppfyller kraven för att omfattas av begränsningsregeln i tryckfrihetsförordningen. För att allmänheten inte med stöd av offentlighetsprincipen ska kunna få del av sammanställningar grundade på känsliga personuppgifter föreslår utredningen en bestämmelse om absolut sekretess för dem (se SOU 2017:29 s. 274 f. och 643 f.). Samma sekretess bör gälla hos . Ett tillägg bör därför göras i sekretessbe- stämmelsen. Vilka undantag bör göras från sökförbudet? Enligt 6 kap. 11 § andra stycket polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en per- sons utseende som sökbegrepp. Säkerhetspolisen har också i fort- sättningen behov av att kunna använda sådana uppgifter vid sök- ning, även om det leder till att man får fram ett personurval grundat på känsliga personuppgifter. I likhet med be- höver Säkerhetspolisen också kunna söka på tillvägagångssätt vid brott, även om det skulle avslöja känsliga personuppgifter som t.ex. Säkerhetspolisens behandling av personuppgifter politiska åsikter (se avsnitt 7.3.3). Det bör därför göras undantag från sökförbudet för sådana sökningar. Utredningen föreslår att övriga brottsbekämpande myndigheter tillåts göra sökningar i syfte att få fram personurval grundade på vissa känsliga personuppgifter, under förutsättning att sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. För att Säkerhetspolisens sökmöjligheter ska vara desamma som bör myndigheten tillåtas att göra sökningar i syfte att få fram personurval grundade på i princip alla typer av känsliga personupp- gifter. Även om det inte finns någon begränsning när det gäller vilka uppgifter som får användas som sökbegrepp bör det emellertid av de skäl som anges i avsnitt 7.3.3 inte vara tillåtet att ta fram personurval grundat på uppgifter som kan avslöja ras. Säker- hetspolisen har enligt uppgift inte heller något behov av att göra sökningar på medlemskap i fackförening eller på genetiska uppgif- ter. Det bör därför inte vara tillåtet att ta fram personurval grun- dade på sådana uppgifter. Teknik för ansiktsigenkänning används bl.a. för att under- lätta identifiering när endast en del av ett ansikte är synligt på en bild eller en film eller om bildkvaliteten är dålig. Behandlingen i ett ansiktsigenkänningsprogram kan i sådana fall resultera i en träfflista med flera möjliga kandidater. Det skulle kunna hävdas att resultatet blir ett personurval grundat på biometriska uppgifter. Det är dock i dessa fall inte fråga om sökning i syfte att få fram ett visst person- urval, utan om normal behandling av biometriska uppgifter. Sådan behandling föreslås vara tillåten om den är absolut nödvändig för ändamålet med behandlingen. Det finns därför enligt utredningens mening inte något behov av att göra undantag från sökförbudet för att sådan behandling ska vara tillåten. Säkerhetspolisen får använda känsliga personuppgifter som sökbegrepp vid sökning i alla slags uppgifter, dvs. oavsett om de har gjorts gemensamt tillgängliga eller inte. Eftersom Säkerhets- polisen även i fortsättningen bör tillåtas att göra sökningar i alla slags personuppgifter, går det inte att utforma undantaget på samma sätt som i övriga registerförfattningar. För att sökmöjlig- heterna inte ska bli alltför vida bör det på samma sätt som krävas att det är absolut nödvändigt att göra sökningen. Även om regleringen utformas på ett delvis annorlunda sätt och det inte längre blir möjligt att söka på ras och medlemskap i fack- Säkerhetspolisens behandling av personuppgifter förening bedömer utredningen att Säkerhetspolisens möjligheter att använda känsliga personuppgifter vid sökning inte försämras jämfört med . 14.7.4Åtgärder för att säkerställa personuppgifternas kvalitet Utredningens förslag: Säkerhetspolisen ska vidta alla rimliga åtgärder för att personuppgifter som är felaktiga eller ofullstän- diga med hänsyn till ändamålet med behandlingen rättas utan onödigt dröjsmål. Detsamma gäller för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. Alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas på otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgäng- liga. Detsamma ska gälla om radering krävs för att utföra en rättslig förpliktelse.