sou · H5B374 · 2017-10-04 00:00:00 — Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 7 § polisdatalagen bör således behål- las, men det ska framgå att det inte är en ändamålsbestämmelse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Polismyn- digheten, och Säkerhetspolisen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2). får behandla personuppgifter om det be- hövs för att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller beivra brott eller fullgöra de förpliktelser som föl- jer av internationella åtaganden. bör givetvis få fortsätta att behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Det bör i tillämpliga delar gälla även för övriga myndigheter som tillämpar polisens brottsdatalag. Som framgår av avsnitt 7.2.1 föreslår utredningen att polisens brottsdatalag ska tillämpas på personuppgifts- behandling vid upprätthållande av allmän ordning och säkerhet. Upprätthållande av allmän ordning och säkerhet bör därför också vara en tillåten rättslig grund. Polisens brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rätts- liga grunder i registerförfattningen bör den senare helt ersätta be- stämmelsen i brottsdatalagen. Det bör därför på samma sätt som i brottsdatalagen i polisens brottsdatalag föreskrivas att den arbets- uppgift som ska utföras ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.). Behandling för nya ändamål regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 8 § polisdatalagen. Utred- ningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekun- dära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdata- lagen säkerställas att behandlingen är nödvändig och proportioner- lig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i polisens brottsdatalag som tydliggör att förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av den lagen, för nya ändamål regleras i brotts- datalagen. 7.3.2Behandling av biometriska och genetiska uppgifter Utredningens förslag: och Säkerhetspolisen ska få behandla biometriska uppgifter enligt de förutsättningar som anges i brottsdatalagen. Utredningens bedömning: Säkerhetspolisen och Ekobrotts- myndigheten bör inte få behandla genetiska uppgifter. Polis- myndigheten bör endast få behandla genetiska uppgifter i den forensiska verksamheten. Skälen för utredningens förslag och bedömning Förutsättningarna för att behandla biometriska och genetiska uppgifter Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen person- uppgifter som rör en persons fysiska, fysiologiska eller beteende- mässiga kännetecken, som tagits fram genom särskild teknisk be- handling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Vanliga fotografier och filmer omfattas inte av definitionen om de inte bearbetas tekniskt på något sätt så att iden- tifiering blir möjlig, t.ex. i ett ansiktsigenkänningsprogram (se SOU 2017:29 s. 148 f.). Genetiska uppgifter är enligt 1 kap. 6 § brottsdatalagen person- uppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår eller ett prov av personen i fråga. Det är framför allt information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram vid andra analyser omfattas (se SOU 2017:29 s. 149 f. och 265. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast be- handlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Det finns därför skäl att överväga myndigheternas behov av att behandla sådana uppgifter. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd iden- titet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras. Fingeravtryck, ansiktsgeometri, ögats iris eller nät- eller regnbågshinna, röst, hand, blodkärl, dna eller rörel- semönster kan användas. Fingeravtryck och dna har använts i den polisiära verk- samheten, men den tekniska utvecklingen har förändrat förutsätt- ningarna för att använda framför allt biometri. Det har utvecklats helt nya möjligheter att använda exempelvis ansikts- och röstigenkänning. Utveckligen går fort och det är svårt att förutse vad som kommer att vara möjligt . Polisen bör även i fortsättningen ha möjlighet att behandla biometriska uppgifter i brottsbekämpningen. Det är viktigt att den rättsliga regleringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person be- handlas bara om det är absolut nödvändigt för ändamålet med be- handlingen. Utredningen bedömer att det inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare. och Säkerhetspolisen har behov av att be- handla biometriska uppgifter medan det är svårt att se att Eko- brottsmyndigheten har ett sådant behov (jfr avsnitt 11.3.2). Det bör därför införas en bestämmelse i polisens brottsdatalag som medger att och Säkerhetspolisen får behandla biometriska uppgifter enligt de förutsättningar som anges i brotts- datalagen. Det bör anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Det kom- mer alltså att vara möjligt att behandla personuppgifter i sådana utlåtanden i samma utsträckning som . Utredningen återkommer till frågan om behandling av biomet- riska uppgifter i den forensiska verksamheten i avsnitt 7.8.4. Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna- profiler eller forensiska uppslag. Själva dna-profilen, som behandlas i dna-register, är endast en sifferkombination och är därmed ingen genetisk uppgift. Den är i stället en biometrisk uppgift, eftersom den tas fram genom en särskild teknisk behand- ling av en persons arvsmassa för att möjliggöra unik identifiering av personen i fråga (se SOU 2017:29 s. 265) Av avsnitt 7.8.4 framgår i vilken utsträckning bör få behandla genetiska uppgifter i den forensiska verksamheten. Det har i övrigt inte framkommit att någon av de andra myndig- heter som tillämpar polisens brottsdatalag har behov av att be- handla genetiska uppgifter och utredningen anser därför att de inte bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i lagen. 7.3.3Sökning på känsliga personuppgifter Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används vid sökning. Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sök- ningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. Skälen för utredningens förslag Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 5 § polis- datalagen att använda känsliga personuppgifter som sökbegrepp ska upphävas, eftersom det i 2 kap. 14 § brottsdatalagen finns ett gene- rellt sökförbud. Det förbudet utgår till skillnad från dagens regle- ring från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.). Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det finns även i fortsättningen behov av att kunna använda sådana upp- gifter vid sökning, även om det leder till att man får fram ett per- sonurval grundat på känsliga personuppgifter. Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökför- bud i polisens brottsdatalag för sådana sökningar. För att möjlig- heterna till sökning ska vara desamma som bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte. Polisen har även behov av att kunna göra sökningar på tillväga- gångssätt vid brott. Sådana sökningar kan i vissa fall leda till ett personurval grundat på känsliga personuppgifter. Som exempel kan nämnas att tillvägagångssätt vid sexualbrott kan avslöja uppgifter om sexualliv eller sexuell läggning. Tillvägagångssätt vid både sexu- albrott och andra brott kan avslöja skador som gärningsmannen ådragit sig, dvs. avslöja uppgifter om hälsa. Undantaget från sök- förbudet bör därför omfatta tillvägagångssätt vid brott. Även sökning på verkställighet av påföljd kan ibland vara nöd- vändiga. Det är framför allt vårdpåföljder som polisen har intresse av att få fram vid sökning och som kan leda till ett personurval grundat på känsliga personuppgifter. Det kan vara fallet exempelvis om det har begåtts brott som bär tydliga tecken av att gärnings- mannen lider av en psykisk störning. Polisen har då intresse av att kartlägga om personer som undergår rättspsykiatrisk vård haft fri- gång eller permission. Att någon är föremål för rättspsykiatrisk vård avslöjar en uppgift om hälsa. Kriminalvården är enligt 46 § förordningen om behandling av personuppgifter inom kriminalvår- den skyldig att underrätta och Säkerhetspolisen bl.a. om permissioner och vårdvistelser inom ramen för fängelse- straff. Även sådan information, t.ex. om att någon vistas på en viss typ av behandlingshem, kan avslöja uppgifter om bl.a. hälsa. Undantaget från sökförbudet i brottsdatalagen bör därför även omfatta sökning på uppgifter om verkställighet av påföljd. Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i polisdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i upp- gifter som har gjorts gemensamt tillgängliga. Det innebär att käns- liga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen är att behandling av känsliga personuppgifter ska vara absolut nödvändig. Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. För att effektivt kunna bekämpa brott kan polisen ha behov av att göra sammanställningar i syfte att få fram ett person- urval grundat på känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdatalagen när det gäller sökning i uppgifter som enbart ett fåtal har tillgång till. Framför allt i underrättelseverksamheten kan det finnas behov av sökningar som innebär att sammanställningar grundade på käns- liga personuppgifter skapas. Organiserad brottslighet av olika slag kräver inte sällan kartläggning av misstänktas kontakter och vanor. Då kan olika typer av känsliga personuppgifter avslöjas. Det kan t.ex. visa sig att en övervakad person regelbundet besöker en lokal där det förekommer religiösa ceremonier (uppgift om religiös över- tygelse) eller politisk eller facklig verksamhet (uppgift om politisk åsikt eller medlemskap i fackförening) eller umgås huvudsakligen med personer som har visst ursprung (uppgift om etniskt ur- sprung). Polisen måste kunna göra sökningar i sådana underrät- telseuppgifter för att förebygga, förhindra eller upptäcka brottslig verksamhet som begås av flera personer som förenas genom sitt etniska ursprung, sin religiösa eller filosofiska övertygelse eller sina politiska åsikter. Likaså måste polisen kunna göra sökningar i syfte förebygga, förhindra och upptäcka brott som riktar sig mot per- soner av visst etniskt ursprung eller med viss religiös övertygelse. I utredningsverksamheten finns motsvarande behov av att kunna söka på känsliga personuppgifter. Polisen har dock inte behov av att kunna ta fram personurval grundade på alla kategorier av känsliga personuppgifter. Det kan aldrig finnas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Behovet av att göra sammanställningar grundade på genetiska och biometriska uppgifter i den forensiska verksamheten vid be- handlas i avsnitt 7.8.4. Av avsnitt 14.7.3 framgår att utredningen inte anser att behandling av biometriska uppgifter i ansiktsigenkän- ningsprogram är att anse som sökning. Det finns därför inte något behov av undantag för sökning när det gäller biometriska uppgifter utanför den forensiska verksamheten. Undantaget från sökförbudet i brottsdatalagen bör därför ut- formas så att sökning möjliggörs när det gäller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemen- samt tillgängliga begränsas i förhållande till vad som gäller . Eftersom det inte finns behov av ett generellt undantag bedömer utredningen att förslaget inte innebär någon försämring. Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen? Som anges i delbetänkandet kan det ifrågasättas om sökförbudet i 2 kap. 14 § brottsdatalagen uppfyller kraven för att omfattas av begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen. För att säkerställa att allmänheten inte med stöd av offent- lighetsprincipen ska kunna få ut sammanställningar grundade på känsliga personuppgifter som myndigheten själv inte får ta fram föreslår utredningen en bestämmelse om absolut sekretess (se SOU 2017:29 s. 274 f. och 643 f.). Sekretessen gäller hos behöriga myn- digheter till skydd för enskild för uppgifter i ett sådant personurval som avses i 2 kap. 14 § brottsdatalagen. Sekretessbestämmelsen är enbart tänkt att träffa sökning som är förbjuden. Syftet är att allmänheten inte ska ha större möjligheter än myndigheterna själva att få fram sammanställningar grundade på känsliga personuppgifter. Allmänheten bör ha samma möjlighet som myndigheterna själva att begära ut sådana sammanställningar. När det nu föreslås undantag från sökförbudet får det prövas om uppgifterna i sammanställningen omfattas av någon annan sekre- tessbestämmelse, t.ex. sekretess som skyddar förundersökning eller sekretess i underrättelseverksamhet enligt 18 kap. 1 eller 2 § offent- lighets- och sekretesslagen. Även sekretess till skydd för enskilds personliga förhållanden enligt 35 kap. offentlighets- och sekretess- lagen skyddar normalt uppgifter av det här slaget. Den föreslagna sekretessbestämmelsen skyddar sammanställ- ningar som tas fram i strid med förbudet i brottsdatalagen. Den behöver enligt utredningens mening inte ändras med anledning av de föreslagna undantagen från sökförbudet. 7.4.1Personuppgiftsbehandlingen bör regleras i polisens brottsdatalag Utredningens förslag: Bestämmelserna om hur Polismyndig- heten och Säkerhetspolisen får behandla personuppgifter som transportföretag på begäran tillhandahåller myndigheterna enligt polislagen ska tas in i polisens brottsdatalag. Sådana personupp- gifter ska få behandlas i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet eller utreda eller lagföra brott. Skälen för utredningens förslag Enligt 25 § polislagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till och Säkerhetspolisen. Det rör sig bl.a. om uppgifter om resenärers namn, medresenärers namn och transportmedel. Uppgifterna får endast begäras om de kan ha betydelse för myndighetens brotts- bekämpande verksamhet. Regleringen har sitt ursprung i de lag- ändringar som krävdes med anledning av att blev medlem i EU (se avsnitt 8.4.1). Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem där polisen endast får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåtkomst tillåts enligt 26 § bara i den omfattning och som be- hövs för att kontrollera aktuella transporter. Uppgifterna får även lämnas på annat sätt om transportföretaget anser att det är bättre. Uppgifterna lämnas ofta elektroniskt, men det förekommer även att de tillhandahålls på papper. Utredningen utgår från att person- uppgifterna, oavsett på vilket sätt de tillhandahålls, normalt är strukturerade på ett sådant sätt att polisens brottsdatalag är till- lämplig på behandlingen. Uppgifter om enskilda som lämnas på annat sätt än genom ter- minalåtkomst ska enligt 26 § tredje stycket polislagen förstöras, om de visar sig sakna betydelse för utredning av eller lag- föring för brott. Syftet med bestämmelsen är att hindra att uppgif- terna sprids, eftersom det till allra största delen är fråga om infor- mation om enskilda personer som inte är misstänkta för vare sig brott eller brottslig verksamhet. Personuppgiftsbehandlingen bör regleras i registerförfattningen I polislagen regleras alltså inte bara transportföretagens uppgifts- skyldighet, utan även på vilket sätt och hur länge polisen får behandla personuppgifterna. har motsvarande tillgång till uppgifter från transportföretag enligt bestämmelser i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen (inregränslagen) och tullagen (2016:253). För polisens del finns det ingen reglering av behandlingen av personuppgifter från transportföretag i polisdatalagen. Tullver- kets behandling av personuppgifter från transportföretag regleras däremot både i inregränslagen och tullagen och i 2 kap. 8 och 9 §§ tullbrottsdatalagen. I avsnitt 8.4.1 behandlas frågan om regleringen av behandling av uppgifter från transportföretag bör samlas i tullbrottsdatalagen. Utredningens utgångspunkt är att myndigheternas personupp- giftsbehandling inom brottsdatalagens tillämpningsområde i så stor utsträckning som möjligt ska regleras i deras registerförfattningar (se avsnitt 4.4.1). Enstaka bestämmelser om personuppgiftsbe- handling i annan lagstiftning än myndigheternas registerförfatt- ningar riskerar därför att komma i skymundan. För enskilda blir regleringen mycket svåröverskådlig. Det är i detta fall särskilt olyckligt med tanke på att de flesta uppgifterna rör personer som inte kan misstänkas för brott. Det är också mindre lämpligt att ha enstaka bestämmelser om personuppgiftsbehandling i lagar som i övrigt reglerar polisens verksamhet och befogenheter. Utredningen anser därför att det finns skäl att föra över bestämmelserna om hur polisen får behandla personuppgifter från transportföretag till poli- sens brottsdatalag. Transportföretagens skyldigheter bör alltjämt regleras i polislagen. Hur får uppgifterna behandlas? Enligt 26 § polislagen får transportföretagen tillhandahålla Polis- myndigheten och Säkerhetspolisen passageraruppgifter genom att göra dem läsbara via terminalåtkomst. Uppgifter som hålls tillgäng- liga på det sättet får inte ändras eller på annat sätt bearbetas eller lagras av myndigheterna. Bestämmelsen kan uppfattas på det sättet att myndigheterna inte får hantera personuppgifterna på annat sätt än att läsa dem på en terminal. Det kan dock inte ha varit avsikten att regleringen ska tolkas så snävt, eftersom tillgången till sådana uppgifter skulle vara helt meningslös om uppgifter av betydelse för brottsbekämpningen inte skulle få tillföras den brottsbekämpande verksamheten. Av förarbetena till motsvarande bestäm- melse framgår att uppgifterna kan behöva bevaras så länge de har betydelse för vidare åtgärder, vilket antogs vara i undantagsfall (se Tullens befogenheter vid den inre gränsen, prop. 1995/96:166, s. 84). Det bör förtydligas att den nu aktuella bestämmelsen endast hindrar ändring eller bearbetning av uppgifterna i transportbola- gens it-system. Om personuppgifter i ett enskilt fall ger upphov till ett underrättelseuppslag eller behövs i en brottsutredning kan de som regel behandlas enligt de generella bestämmelserna i brotts- datalagen och polisens brottsdatalag. har framför allt behov av att kunna behandla bokningsuppgifter för att kontrollera en viss persons resande eller vilka som vid ett visst tillfälle reser till en viss destination. Polis- myndigheten kan ha behov av sådana uppgifter både i sin under- rättelseverksamhet och för brottsutredning. I underrättelseverk- samheten kan det t.ex. vara viktigt att kartlägga hur vissa varor förs in i landet. Vid s.k. kontrollerade leveranser av narkotika kan bok- ningsuppgifter vara av stor betydelse. Vid utredning av brott kan det t.ex. vara av värde att kunna kartlägga möjliga vägar att föra stöldgods ut ur landet eller att följa narkotikans väg till . bör därför i enskilda fall kunna dra nytta av upp- gifter från transportföretagen både i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet och i syfte att utreda eller lag- föra brott. I avsnitt 7.4.4 behandlas frågan om det i polisens brottsdatalag bör finnas en särskild bestämmelse om att personuppgifter från transportföretag ska förstöras om de visar sig sakna betydelse för brottsbekämpningen. antogs och rådets direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Direktivet reglerar skyldigheten för flygbolag att överföra passageraruppgiftssamlingar till särskilda enheter för passagerarinformation i medlemsstaterna, för vilka ändamål personuppgifterna får behandlas, hur länge de får lagras och under vilka förutsättningar de får lämnas ut. PNR-utred- ningen har haft i uppdrag att föreslå hur direktivet ska genomföras. I betänkandet Lag om flygpassageraruppgifter i brottsbekämp- ningen (SOU 2017:57) föreslår en ny lag som reglerar användningen av flygpassageraruppgifter i brottsbekämp- ningen. Lagen föreslås ha företräde framför bestämmelserna i polis- datalagen och polislagen. Förslagen bereds i . Ut- redningen har inte beaktat förslag. 7.4.2Begränsningar i möjligheterna att behandla personuppgifter Utredningens förslag: Vid sökning i personuppgifter från tran- sportföretag får namn, personnummer, samordningsnummer och andra liknande identitetsbegrepp användas som sökbegrepp endast om uppgifterna avser en person som är eller har varit misstänkt för brott eller viss brottslig verksamhet eller som övervakas på visst sätt.