sou · H5B374 · 2017-10-04 00:00:00 — I stället för att radera personuppgifterna ska Säkerhetspolisen utan onödigt dröjsmål begränsa behandlingen av dem, om de be- höver finnas kvar som bevisning. Skyldigheten att underrätta mottagare av personuppgifterna om att de är felaktiga eller behandlas på otillåtet sätt ska regleras i förordning. Skälen för utredningens förslag Nuvarande reglering och bestämmelserna i brottsdatalagen Enligt 9 § första stycket h personuppgiftslagen ska alla rimliga åt- gärder vidtas för att rätta, blockera eller utplåna sådana personupp- gifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det gäller för Säkerhetspolisen genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. Bestämmelserna i brottsdatalagen, som reglerar den personupp- giftsansvariges skyldighet att på eget initiativ rätta, radera eller be- gränsa behandlingen av personuppgifter, är mer detaljerade och anger på ett tydligare sätt vilken åtgärd som ska vidtas. Enligt 2 kap. 15 § första stycket brottsdatalagen ska alla rimliga åtgärder Säkerhetspolisens behandling av personuppgifter vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjs- mål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behö- rig myndighet, ska mottagaren så långt det är möjligt ges informa- tion som gör det möjligt att bedöma i vilken utsträckning uppgif- terna är korrekta, fullständiga, uppdaterade och tillförlitliga. Enligt 2 kap. 16 § ska alla rimliga åtgärder vidtas för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs till- gängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. I stället för att radera personuppgifterna ska den personuppgiftsansvarige utan onödigt dröjsmål begränsa be- handlingen av dem, om de behöver finnas kvar som bevisning. Regleringen i brottsdatalagen utgår alltså från att felaktiga person- uppgifter ska rättas och att personuppgifter som behandlas på otill- låtet sätt ska raderas. Regleringen ska i huvudsak motsvara regleringen i brottsdatalagen När det gäller skyldigheten att på eget initiativ rätta, radera eller begränsa behandlingen av felaktiga eller ofullständiga personupp- gifter eller personuppgifter som behandlats på otillåtet sätt, anser utredningen att i princip samma krav bör ställas på Säkerhetspoli- sen som på övriga brottsbekämpande myndigheter. Det gäller även ansvaret att se till att felaktiga eller ofullständiga uppgifter inte lämnas ut eller görs tillgängliga. Det bör därför i den nya lagen tas in bestämmelser med samma innebörd som 2 kap. 15 och 16 §§ brottsdatalagen. Kravet på information i samband med utlämnande eller tillgäng- liggörande av personuppgifter som regleras i 2 kap. 15 § andra stycket brottsdatalagen har sin grund i direktivet. Något sådant krav ställs inte på Säkerhetspolisen . Det ligger i sakens natur att Säkerhetspolisen inte i samma utsträckning som andra brotts- bekämpande myndigheter kan avslöja vilken information som lig- ger till grund för t.ex. en misstanke om någons delaktighet i brotts- Säkerhetspolisens behandling av personuppgifter Någon motsvarande bestämmelse bör därför inte tas in i den nya lagen. Som utredningen konstaterar i delbetänkandet är det naturligt att, om det upptäcks att felaktiga personuppgifter eller personupp- gifter som behandlas på otillåtet sätt har lämnats ut, den som har fått uppgifterna underrättas så att uppgifterna kan rättas eller rade- ras eller behandlingen av dem begränsas (se SOU 2017:29 s. 281). Underrättelseskyldigheten kan regleras i förordning. Utredningens förslag: I den nya lagen ska det regleras hur Säkerhetspolisen får behandla personuppgifter som transportfö- retag på begäran tillhandahåller myndigheten enligt polislagen. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål. Skälen för utredningens förslag: I avsnitt 7.4.1 redovisas bestäm- melserna i polislagen om transportföretags skyldighet att på begä- ran lämna vissa personuppgifter till polisen. Utredningen föreslår där att bestämmelserna om personuppgiftsbehandling ska föras över till polisens brottsdatalag. Det skäl som anges där för att per- sonuppgiftsbehandlingen bör regleras i myndighetens registerför- fattning har giltighet även för Säkerhetspolisen. Regleringen av hur sådana personuppgifter får behandlas bör därför tas in i den nya lagen och utformas i huvudsak på samma sätt som i polisens brotts- datalag. Det innebär att samma begränsningar bör gälla vid termi- nalåtkomst. Vidare bör sådana personuppgifter endast i enskilda fall få behandlas för nya ändamål. I avsnitt 7.4.2 föreslås att samma sökbegränsningar som gäller för ska gälla vid behandling enligt polisens brotts- datalag av personuppgifter som tillhandahålls av transportföretag. I förarbetena till polisdatalagen konstaterar regeringen att det var- ken är möjligt eller lämpligt att ha samma sökbegränsningar för Säkerhetspolisen som för (se prop. 2009/10:85 s. 267). Mot den bakgrunden anser utredningen att Säkerhetspoli- sens användning av direkta personuppgifter vid sökning i uppgifter från transportföretag inte bör begränsas i större utsträckning än Säkerhetspolisens behandling av personuppgifter Regeringen bör dock ha möjlighet att meddela föreskrifter om begränsning av möjligheterna att göra sökning. Utredningens förslag: Särskilda bestämmelser ska gälla för be- handling av personuppgifter som görs eller har gjorts gemen- samt tillgängliga. Personuppgifter ska få göras gemensamt tillgängliga om det behövs för något av de syften för vilka Säkerhetspolisen får be- handla personuppgifter. Bestämmelserna om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestäm- melsen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter. Skälen för utredningens förslag: I 6 kap. polisdatalagen finns sär- skilda bestämmelser som gäller vid behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Med gemensamt tillgängliga uppgifter avses uppgifter som inte enbart ett fåtal har tillgång till. För behandling av sådana uppgifter ställs det t.ex. krav på särskilda upplysningar och vidare begränsas möjligheten till sökning. Sådana bestämmelser bör finnas även i den nya lagen. För att få en enhetlig systematik bör regleringen om gemensamt till- gängliga uppgifter finnas i ett särskilt kapitel. Av 6 kap. 8 § polisdatalagen framgår att personuppgifter får göras gemensamt tillgängliga i Säkerhetspolisens verksamhet om det behövs för något av de ändamål för vilka personuppgifter får behandlas. Bestämmelsen är inte lika preciserad och begränsande som motsvarande bestämmelse för . I förarbetena till polisdatalagen konstaterar regeringen att de intressen som Säkerhetspolisen har till uppgift att skydda motiverar att myndig- heten ges större handlingsfrihet i fråga om vilka uppgifter som får göras gemensamt tillgängliga. Skälet till det är bl.a. att Säkerhets- polisens verksamhet är inriktad mot brottslighet som till sin natur är svår att upptäcka och att tyngdpunkten i dess brottsbekämpande Säkerhetspolisens behandling av personuppgifter arbete ligger på underrättelsearbete och renodlat förebyggande arbete. Det konstateras vidare att det är svårt att förutse och i lag uttrycka de olika kategorier av personuppgifter som bör få göras gemensamt tillgängliga hos och att myndighetens verksamhet till sin natur är sådan att informationen sprids i mindre utsträckning än inom polisen i övrigt (se prop. 2009/10:85 s. 264). Enligt utredningens mening är de skäl som anges i förarbetena fortfarande aktuella. Regleringen av när personuppgifter får göras gemensamt tillgängliga bör därför i princip tas in oförändrad i den nya lagen. Den bör dock knytas till de syften för vilka Säkerhets- polisen får behandla personuppgifter, i stället för till ändamålen med behandlingen. I 6 kap. 8 § andra stycket polisdatalagen föreskrivs att bestäm- melserna om gemensamt tillgängliga uppgifter inte gäller när per- sonuppgifter behandlas med stöd av den särskilda bestämmelsen om behandling av personuppgifter för diarieföring eller för att ut- föra andra nödvändiga handläggningsuppgifter. En motsvarande bestämmelse bör tas in i den nya lagen. Utredningens förslag: Om det ändamål som gemensamt till- gängliga personuppgifter behandlas för inte framgår av samman- hanget eller på något annat sätt, ska det tydliggöras genom en särskild upplysning. Om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det framgå genom en särskild upplysning eller på något annat sätt att personen inte är misstänkt för brott eller brottslig verk- samhet som omfattas av lagens tillämpningsområde. Uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet ska som regel förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Någon sådan upplysning behöver dock inte läm- nas om det på grund av omständigheterna är onödigt. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Särskild upplysning om ändamålet med behandlingen Enligt 6 kap. 9 § polisdatalagen ska det genom en särskild upplys- ning eller på något annat sätt framgå för vilket närmare ändamål personuppgifter som har gjorts gemensamt tillgängliga behandlas. Både av hänsyn till verksamheten och till den personliga integrite- ten är det viktigt att det framgår för vilket ändamål en personupp- gift behandlas. Från integritetssynpunkt har det betydelse bl.a. för möjligheterna att genom tekniska förfaranden eller administrativa bestämmelser kunna styra åtkomsten till vissa uppgifter. Att ända- målet med behandlingen framgår kan vara en förutsättning för att en tillsynsmyndighet ska kunna kontrollera om viss behandling är berättigad och utförs i enlighet med lagens bestämmelser. Informa- tion om ändamålet med behandlingen behövs för att de tjänstemän som får tillgång till personuppgifter ska kunna värdera uppgifterna korrekt och använda sig av dem på ett effektivt och lagenligt sätt. Informationen behövs bl.a. för att kunna ta ställning till om uppgif- ten får och bör behandlas för ett nytt ändamål. En bestämmelse som föreskriver att det ska framgå för vilket ändamål personuppgif- ter behandlas bör därför tas in i den nya lagen. På samma sätt som bör dock särskilda upplysningar krävas endast om ändamålet inte framgår av sammanhanget eller på något annat sätt. Bestäm- melsen bör formuleras på samma sätt som 2 kap. 3 § andra stycket brottsdatalagen. Kravet på att ändamålet med behandlingen ska framgå omfattar bara uppgifter som har gjorts gemensamt tillgängliga. Om uppgifter behandlas av en liten, klart avgränsad grupp vet de inblan- dade personerna som regel varifrån uppgifterna kommer och varför de behandlas. I de fallen framgår det normalt av sammanhanget för vilket ändamål personuppgifter behandlas. Som utredningen kon- staterar i delbetänkandet vore det orimligt att kräva att uppgifterna då ska förses med en särskild upplysning (se SOU 2017:29 s. 245). Kravet på att ändamålet med behandlingen ska framgå bör därför även i den nya lagen gälla endast för uppgifter som har gjorts gemensamt tillgängliga (jfr avsnitt 5.3.10). Säkerhetspolisens behandling av personuppgifter Upplysning om att den registrerade inte är misstänkt Om uppgifter direkt kan hänföras till en person som inte är miss- tänkt för brott eller för att ha utövat eller komma att utöva brotts- lig verksamhet, ska det enligt 6 kap. 10 § första stycket polisdata- lagen genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt. En liknande bestämmelse finns i 2 kap. 9 § brottsdatalagen. Där föreskrivs att så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på något annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. I av- snitt 5.3.10 föreslår utredningen att bestämmelserna om särskilda upplysningar ska finnas kvar i övriga registerförfattningar vid per- sonuppgiftsbehandling i underrättelseverksamhet. Det är av stor betydelse för skyddet av den personliga integri- teten vid brottsbekämpning att personuppgifter behandlas på ett sådant sätt att det framgår om personen är misstänkt eller inte. En bestämmelse motsvarande den som finns i polisdatalagen bör där- för tas in i den nya lagen. Det bör tydliggöras att upplysningen ska avse om personen i fråga är misstänkt för sådant brott eller sådan brottslig verksamhet som Säkerhetspolisen har till uppgift att be- kämpa. Ofta framgår det av omständigheterna eller sammanhanget i vilket personuppgifterna behandlas att en uppgift avser en person som inte är misstänkt. Som utredningen konstaterar i delbetänkan- det är det främst i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och det är framför allt när uppgifter behandlas utanför sitt ursprungliga sammanhang som särskilda upplysningar kan be- hövas (se SOU 2017:29 s. 261 f.). På samma sätt som när det gäller upplysning om ändamålet bör upplysning om att en registrerad inte är misstänkt endast krävas för uppgifter som har gjorts gemensamt tillgängliga. Om uppgifterna bara är tillgängliga för ett fåtal framgår det normalt av samman- hanget till vilken kategori personen hör och det vore då orimligt att ställa upp ett krav på särskild upplysning (se SOU 2017:29 s. 262). Säkerhetspolisens behandling av personuppgifter Upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak I 6 kap. 10 § andra stycket polisdatalagen ställs det krav på att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgifts- lämnarens trovärdighet och uppgifternas riktighet i sak. Någon upplysning krävs dock inte om det på grund av särskilda omstän- digheter är onödigt eller om uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analysen befinner sig i ett inledande skede. På samma sätt som det är viktigt att det framgår om en uppgift rör en icke misstänkt person, är det viktigt att det framgår hur till- förlitlig en underrättelseuppgift bedöms vara. Syftet med en sådan bestämmelse är dels att stärka skyddet för den enskildes integritet, dels att förhindra att uppgifter, vilkas tillförlitlighet och trovärdig- het är begränsad, läggs till grund för bedömningar och åtgärder som inte är sakligt motiverade (se prop. 2009/10:85 s. 265). En motsvarande bestämmelse bör därför tas in i den nya lagen. Av de skäl som anges i avsnitt 5.3.10 bör bestämmelsen dock formuleras något annorlunda än . Kravet på särskild upplysning bör på samma sätt som endast gälla för uppgifter som har gjorts gemensamt tillgängliga. Utredningen återkommer till undantaget för ostrukturerad underrättelseinformation. 14.10Behandling av personuppgifter i ostrukturerad information 14.10.1 Behovet av reglering Säkerhetspolisen tar emot stora mängder information i olika former och från olika källor. Informationsflödet påverkas av vad som händer i omvärlden och är av naturliga skäl som mest in- tensivt i samband med särskilda händelser. Som exempel kan näm- nas när Säkerhetspolisen valde att lämna information till media om en person som vistades i och som man befarade skulle utföra ett terroristattentat. Det resulterade i en oerhört stor Säkerhetspolisens behandling av personuppgifter mängd tips från allmänheten. var informationsutbytet intensivt både nationellt och internationellt. Motsvarande kraftiga informationsflöde uppkom vid terroristattentatet på Drottning- gatan i . Även händelser utomlands kan generera stora mängder information. Säkerhetspolisen kan också förväntas få ta emot allt större informationsmängder generellt. Bearbetning och analys av underrättelseinformation Alla handlingar som kommer in till eller upprättas vid Säkerhets- polisen diarieförs i myndighetens dokument- och ärendehante- ringssystem. Den första bedömningen av uppgifterna görs av ansvarig handläggare i det systemet. Om uppgif- terna behöver behandlas i Säkerhetspolisens underrättelseverksam- het förs de därefter som regel över till it-systemet för bearbetning och analys. Det systemet innehåller två delar. Den ena delen är en uppgiftssamling med uppgifter för bearbetning och analys och den andra en uppgiftssamling med bedömd information. När en handling har tillförts uppgiftssamlingen för bearbetning och analys bedöms den även av en särskild granskningsfunktion. Granskningen syftar bl.a. till att säkerställa att Säkerhetspolisen överhuvudtaget får behandla uppgifterna. Behovet av att behandla känsliga personuppgifter prövas särskilt. Känsliga personuppgifter som inte får behandlas tas bort genom maskning. Därefter bearbe- tas informationen genom att uppgifterna bryts ut och kopplas samman med annan information, tematiseras och tillförs särskilda upplysningar om det krävs. När bearbetningen är klar kan uppgifterna föras över till upp- giftssamlingen med bedömd information eller tas bort. Det före- kommer dock att uppgifterna ligger kvar i uppgiftssamlingen med uppgifter under bearbetning och analys även efter det att bearbetningen är färdig. Säkerhetspolisens behandling av personuppgifter 14.10.2 Undantag från kravet på särskilda upplysningar Utredningens förslag: Gemensamt tillgängliga personuppgifter behöver inte förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak om 1.uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart sär- skilt angivna tjänstemän har åtkomst till och 2.bearbetningen av uppgifterna inte har genomförts. Skälen för utredningens förslag Särskilda bestämmelser för gemensamt tillgängliga uppgifter I 6 kap. polisdatalagen finns det särskilda bestämmelser om gemen- samt tillgängliga uppgifter, bl.a. att de vid behov ska förses med särskilda upplysningar. I avsnitt 14.9.1 föreslår utredningen att så- dana bestämmelser ska finnas även i den nya lagen. När det gäller ostrukturerad information kan det vara svårt för Säkerhetspolisen att uppfylla vissa av de krav som ställs på gemen- samt tillgängliga uppgifter. Svårigheten gäller främst kravet i 6 kap. 10 § andra stycket polisdatalagen på upplysningar om uppgifts- lämnarens trovärdighet och uppgifternas riktighet i sak (se av- snitt 14.9.2). Uppgifterna kan normalt inte förses med sådana upp- lysningar förrän de har bearbetats. Därför görs det i 6 kap. 10 § andra stycket undantag från kravet på sådan upplysning, om per- sonuppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analy- sen befinner sig i ett inledande skede. Enligt förarbetena ska det vara fråga om (se prop. 2009/10:85 s. 370 f.). Bör undantaget justeras? Som framgår av förarbetena till polisdatalagen är det inte meningen att ostrukturerad underrättelseinformation ska behandlas i en upp- giftssamling för bearbetning och analys utan att den bearbetas. Utgångspunkten är att Säkerhetspolisen ska genom- Säkerhetspolisens behandling av personuppgifter föra analysen av den ostrukturerade informationen så snabbt som möjligt. På grund av den omfattande mängd information som kan komma in till Säkerhetspolisen har myndigheten dock inte alltid möjlighet att strukturera de uppgifter som förs in i uppgiftssamlingen för bearbetning och analys så snabbt som för- utsätts i 6 kap. 10 § andra stycket polisdatalagen. Konsekvensen blir att uppgifterna inte kan göras gemensamt tillgängliga, eftersom de inte helt uppfyller de krav som ställs på sådana uppgifter. Säkerhetspolisen behöver emellertid kunna tillgängliggöra sådan ostrukturerad information till fler än ett fåtal tjänstemän som arbetar med bearbetning och analys och i vissa fall än under ett inledande skede. Det finns risk för att relevant information inte kommer den operativa verksamheten till del om den inte kan göras gemensamt tillgänglig. En konsekvens kan bli att viktig information om t.ex. nära förestående attentat inte upp- täcks . Om sådan information inte tillgängliggörs förrän den är färdigbearbetad kan det också leda till att Säkerhetspolisens för- måga att identifiera, bedöma och reducera hot och sårbarheter min- skar. Tillgång till ostrukturerad information är enligt uppgift sär- skilt viktig för att kunna identifiera aktörer som agerar ensamma. Säkerhetspolisen har till uppgift att skydda grundläggande sam- hällsfunktioner och att bekämpa terrorism. Vid en intresseavväg- ning mellan verksamhetens behov och enskildas integritet väger därför verksamhetsintresset tyngre än annars. Att tillåta att infor- mation tillgängliggörs i något större utsträckning än trots att den inte hunnit struktureras och, där det krävs, förses med sär- skilda upplysningar får enligt utredningens mening mot den bak- grunden accepteras. Det befintliga undantaget från kravet på upplysning om upp- giftslämnarens trovärdighet och uppgifternas riktighet i sak behö- ver därför enligt utredningens mening justeras. I Säkerhetspolisens underrättelsearbete är utgångspunkten att upp- gifter som inte har bedömts och tillförts en upplysning om upp- giftslämnarens trovärdighet och uppgifternas riktighet i sak varken kan läggas till grund för beslut, bedömningar eller åtgärder. Säkerhetspolisens behandling av personuppgifter sonalen är således van vid att hantera svårbedömd information och det finns, enligt myndigheten, tydliga rutiner för hur ostrukturerad information ska behandlas. Risken för att sådan information leder till felbedömningar och åtgärder som inte är sakligt motiverade anses mot den bakgrunden vara liten. De skäl som Säkerhetspolisen har fört fram för att undantaget bör tillåta att ostrukturerad information får tillgängliggöras i större utsträckning än gör att undantaget bör omformuleras. Det är först när bearbetningen är genomförd som det är möjligt att påföra de särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak som krävs i vissa fall. Undantaget bör därför gälla fram till dess att bearbetningen av uppgifterna är genomförd. En sådan lösning tillgodoser Säkerhetspolisens behov på ett bättre sätt. Genom den formuleringen blir det också tyd- ligare hur länge undantaget gäller. Viktig underrättelseinformation kan då vid behov göras gemensamt tillgänglig på ett sätt som bättre svarar mot Säkerhetspolisens behov. Utgångspunkten är dock fort- farande att Säkerhetspolisen ska genomföra bearbetningen och ana- lysen av den ostrukturerade informationen . Det är viktigt att understryka att hela uppgiftssamlingen för bearbetning och analys inte undantas från kravet på särskilda upp- lysningar. Undantaget omfattar endast sådana uppgifter i uppgifts- samlingen som inte har hunnit bearbetas. Så snart bearbetningen är genomförd och informationen strukturerad är undantaget inte längre tillämpligt. Personuppgifterna ska då förses med särskilda upplysningar om det behövs. När ska behandlingen senast upphöra? Enligt 6 kap. 12 § andra stycket polisdatalagen ska personuppgifter i en uppgiftssamling för bearbetning och analys gallras senast efter utgången av det kalenderår då den senaste registreringen av- seende personen gjordes.