prop · H503269 · 2018-06-19 00:00:00 — Enligt 30 § förordningen (2014:1102) med instruktion för Polismyn- digheten får chefen för operativa avdelningen i samråd med biträdande säkerhetspolischefen i ett enskilt fall bestämma att en för- undersökning eller annan liknande uppgift i den brottsbekämpande verk- samheten ska lämnas över till Säkerhetspolisen för fortsatt handläggning. Syftet med bestämmelsen är bl.a. att jävssituationer ska kunna undvikas (se prop. 2013/14:110 s. 400). När Säkerhetspolisen med stöd av ett beslut enligt den paragrafen genomför en förundersökning eller utför någon annan uppgift som normalt skulle utföras av och som omfattas av brottsdatalagens tillämpningsområde bör Säkerhets- polisen tillämpa den lagen. För del kompletteras brottsdatalagen av polisens brottsdatalag. När Säkerhetspolisen biträder eller övertar en arbetsuppgift från bör Säkerhetspolisen tillämpa samma reglering. Säkerhetspolisen bör således tillämpa polisens brottsdatalag i frågor som inte rör nationell säkerhet, om personuppgifter behandlas i syfte att bekämpa eller lagföra brott. Lagen ska inte gälla vid behandling i vissa register Enligt 1 kap. 3 § polisdatalagen gäller lagen inte vid behandling enligt vapenlagen, lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister, lagen om polisens allmänna spaningsregister (numera upphävd) och lagen om register över tillträdesförbud vid idrottsarrangemang. 2017/18:269 Det är inte möjligt att reglera all personuppgifts- behandling inom brottsdatalagens tillämpningsområde i polisens brottsdatalag. Lagen bör därför inte gälla vid behandling av personupp- gifter som regleras särskilt i vissa andra uppräknade författningar. Till skillnad från utredningen anser regeringen att vapenlagen uttryckligen bör undantas från tillämpningsområdet. I vilken utsträckning vapenlagen omfattas av brottsdatalagens tillämpningsområde övervägs i ett annat lagstiftningsärende. Eftersom lagen (2010:362) om polisens allmänna spaningsregister har upphört att gälla bör hänvisningen till den lagen inte införas i polisens brottsdatalag. Regeringen anser vidare, i likhet med utredningen, att behandling av personuppgifter i tillträdesförbuds- registret bör regleras i polisens brottsdatalag (se avsnitt 14.2) och hänvisningen till den lagen bör därför inte heller införas i den nya lagen. Enligt lagen om elimineringsdatabas får Polismyn- digheten föra ett register över dna-profiler i syfte att stärka kvaliteten i den forensiska verksamheten med dna-analyser. Både dna-profiler som inte kan hänföras till en identifierbar person och dna-profiler från prov som har tagits med stöd av 28 kap. från en misstänkt jämförs med dna-profilerna i elimineringsdatabasen innan de läggs in i spårregistret respektive utredningsregistret eller dna-registret. Syftet med det är att säkerställa att sökningar i registren inte ger felaktiga resultat på grund av att kontaminerade dna-profiler har registrerats. Regeringen instämmer i utredningens bedömning att behandling av dna-profiler i elimineringsdatabasen är en verksamhet som är oupplösligt förbunden med hantering av de övriga dna-registren och därför bör omfattas av brottsdatalagens tillämpningsområde. Med hänsyn till att elimineringsdatabasen inte får användas för att utreda brott ansåg rege- ringen dock tidigare att regleringen av den inte passade in i polisdata- lagen, eftersom den lagen gäller i den brottsbekämpande verksamheten (se prop. 2013/14:110 s. 456). Det finns fortfarande goda skäl att reglera databasen särskilt. Behandling som utförs enligt lagen om Polismyndig- hetens elimineringsdatabas bör därför undantas från tillämpnings- området. Lagen om flygpassageraruppgifter i brottsbekämpningen En ny lag om flygpassageraruppgifter i brottsbekämpningen föreslås träda i kraft , dvs. före polisens brottsdatalag (se prop. 2017/18:234). Lagen genomför och rådets direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR- uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet). Lagen kommer bl.a. att innehålla regler om behandling av personuppgifter. I samma proposition föreslås ändringar i polisdatalagen som innebär att om det i den nya lagen finns bestämmelser som avviker från polisdatalagen, ska dessa bestämmelser tillämpas i stället för polisdatalagens reglering. Polisdatalagen kommer alltså att vara subsidiär i förhållande till lagen om flygpassageraruppgifter i brottsbekämpningen. En motsvarande bestämmelse bör införas i den nya lagen. Polisdatalagen är subsidiär även i förhållande till lagen (2017:496) om internationellt polisiärt samarbete (1 kap. 4 § polisdatalagen). Även en sådan Prop. 2017/18:269 motsvarande bestämmelse bör finnas i den nya lagen. Regeringens förslag: ska vara personuppgiftsan- svarig för den behandling av personuppgifter som utförs vid myndig- heten och för den behandling som myndigheten utför vid Ekobrotts- myndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. ska vara personuppgiftsansvarig för den be- handling av personuppgifter som myndigheten utför i syfte att utreda brott. Säkerhetspolisen ska vara personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget men anför att det kommer att uppstå gränsdragningsproblem i den operativa verk- samheten. tillstyrker förslaget som tydliggör myn- dighetens personuppgiftsansvar. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: är enligt 2 kap. 4 § polisdatalagen personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför och den behandling som utförs i polisiär verksamhet vid . Att även fortsättningsvis bör vara personuppgifts- ansvarig för den behandling av personuppgifter som utförs vid den egna myndigheten är självklart, liksom att Säkerhetspolisen bör vara person- uppgiftsansvarig för den behandling som myndigheten utför enligt lagen. Vem som bör vara personuppgiftsansvarig för den behandling som utförs vid är däremot inte lika givet. Frågan har länge varit föremål för diskussion. har i olika lagstiftningsärenden framfört att myndigheten bör vara per- sonuppgiftsansvarig för all den behandling av personuppgifter som utförs vid myndigheten, eftersom det inte är möjligt att dela upp personupp- giftsansvaret beroende på vem som hanterar personuppgifterna eller vilket it-system som används (se prop. 2009/10:85 s. 92 f. och prop. 2013/14:110 s. 447 f.). är enligt 2 kap. 3 § åklagardatalagen personupp- giftsansvarig för den personuppgiftsbehandling som utförs vid myndig- heten enligt åklagardatalagen. När inrättades var myndigheten även personuppgiftsansvarig för personuppgiftsbehand- lingen i den polisverksamhet som bedrevs vid myndigheten. Myndig- heten omfattades däremot inte av den tidigare gällande polisdatalagens (1998:622) tillämpningsområde, eftersom den är en åklagarmyndighet. Myndighetens personuppgiftsbehandling reglerades, förutom i förord- ningen (2006:937) om behandling av personuppgifter inom åklagar- väsendet, i personuppgiftslagen. kunna bedriva kriminalunderrättelseverksamhet ändrades den tidigare 2017/18:269 gällande polisdatalagen (1998:622) och gjordes från tillämplig på polisverksamheten i myndigheten (prop. 2002/03:144 s. 15 f.). Dåvarande blev personuppgiftsansvarig för den personuppgiftsbehandling vid som utfördes med stöd av polisdatalagen. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt förarbetena till den nu gällande polisdatalagen bör huvudregeln vara att den myndighet som utför själva behandlingen också ska ha personupp- giftsansvaret för den. Regeringen ansåg dock att någon förändring av personuppgiftsansvaret vid inte var motiverad när polisdatalagen infördes (se prop. 2009/10:85 s. 93). Inte heller när åkla- gardatalagen infördes gjordes någon ändring (se prop. 2014/15:63 s. 45). leder underrättelse- och spaningsverksamheten vid de polisoperativa enheterna vid . Även om per- sonuppgiftsbehandlingen utförs vid är det Polis- myndigheten som leder den verksamheten och som därigenom bestäm- mer ändamålen med och medlen för behandlingen. bör därför även i fortsättningen vara personuppgiftsansvarig för den person- uppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet vid . Däremot är det som genomför brottsutredningarna och som där- igenom bestämmer ändamålen med och medlen för behandlingen i den delen av verksamheten. har ingen praktisk möjlighet att fullgöra personuppgiftsansvaret i den verksamheten. Ekobrottsmyn- digheten bör därför pekas ut som personuppgiftsansvarig för den behand- ling som myndigheten utför i syfte att utreda brott enligt lagen. Det är oundvikligt att, så som Datainspektionen påpekar, gränsdragningspro- blem kan komma att uppstå i enskilda fall. Sådana gränsdragningspro- blem förekommer även , och får lösas med ledning av brottsdata- lagens definition av personuppgiftsansvarig enligt 1 kap. 6 §. 7.2.3En bestämmelse om hur lagen är uppbyggd Regeringens förslag: Lagen ska innehålla en bestämmelse om hur den är uppbyggd. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Samtliga kapitel i polisdatalagen gäl- ler inte för all personuppgiftsbehandling inom tillämpningsområdet. Personuppgiftsbehandling i vissa register och i den forensiska verksam- heten kommer även i den nya lagen att regleras i särskilda kapitel på grund av att bara delar av lagen ska vara tillämpliga vid den behand- lingen. Vidare är det bara vissa kapitel som gäller för Ekobrottsmyndig- heten och Säkerhetspolisen. Det behöver därför tydliggöras vad som gäller för dem och hur lagens kapitel förhåller sig till varandra. Bestäm- melsen om lagens uppbyggnad bör således finnas även i den nya lagen. 7.3Grundläggande bestämmelser om behandling 7.3.1Rättsliga grunder och behandling för nya ändamål Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att , och Säkerhetspolisen ska kunna utföra följande uppgifter: 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller lagföra brott, 3.upprätthålla allmän ordning och säkerhet, eller 4.fullgöra förpliktelser som följer av internationella åtaganden. Det ska framgå genom en hänvisning att personuppgifter som be- handlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår att regleringen i brottsdatalagen om att en arbetsuppgift ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften ska upprepas i den nu föreslagna lagen. Remissinstanserna: Datainspektionen framför att utredningen inte, för respektive myndighet, har analyserat om brottsdatalagen, de aktuella registerförfattningarna och de regelverk som styr myndighetens verk- samhet sammantaget ger en tydlig, precis och förutsägbar rättslig grund för behandlingen av personuppgifter. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag En bestämmelse som ersätter brottsdatalagens bestämmelse om rättsliga grunder för behandling Registerförfattningarna bör innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. En reglering som motsvarar 2 kap. 7 § polisdatalagen bör således införas, men det bör framgå att det inte är fråga om ändamålsbestämmelser i egentlig mening. Bestämmelserna är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger , Ekobrotts- myndigheten och Säkerhetspolisen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. får behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internatio- nella åtaganden. ska få fortsätta att behandla person- uppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör följa brottsdatalagens terminologi. Det bör i tillämpliga delar gälla även för övriga myndigheter som tillämpar polisens brottsdatalag. Som en följd av direktivets tillämpningsområde bör lagen tillämpas på personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet. Upprätthållande av allmän ordning och säkerhet bör därför också anges som en tillåten rättslig grund i lagen. 2017/18:269 Polisens brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § första stycket brottsdatalagen förhåller sig till bestämmelsen om tillåtna rätts- liga grunder i polisens brottsdatalag bör den senare helt ersätta be- stämmelsen i brottsdatalagen. Det behöver inte, som utredningen föreslår, föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Detta framgår nämligen redan av brottsdatalagen. Med lag jämställs bl.a. EU-förordningar. Datainspektionen efterfrågar en ytterligare analys av om direktivets krav på en tydlig, precis och förutsägbar rättslig grund är uppfyllt för respektive myndighets behandling av personuppgifter. I propositionen Brottsdatalag finns ett utvecklat resonemang kring vad som avses med kravet på rättslig grund (se avsnitt 7.2). Det konstateras där att genom de författningar och regeringsbeslut som reglerar den verksamhet i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerför- fattningarna, är kravet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. För del nämns bl.a. 2 § polisla- gen, där det anges att en av huvuduppgifter är att utreda och beivra brott. Den bestämmelsen, tillsammans med den före- slagna regleringen i 2 kap. 1 § polisens brottsdatalag, uppfyller enligt regeringens mening direktivets krav på att den rättsliga grunden ska vara tydlig, precis och förutsägbar. Behandling för nya ändamål regleras behandling för nya ändamål till viss del i den sekundära ändamålsbestämmelsen i 2 kap. 8 § polisdatalagen. Regeringen anser i likhet med utredningen att de sekundära ändamålsbestämmelserna inte bör finnas kvar i den nya regleringen. Förutsättningarna för behandling för nya ändamål regleras i stället i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Motsvarande prövning ska enligt 2 kap. 22 § brottsdatalagen göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör infö- ras en bestämmelse i polisens brottsdatalag som tydliggör att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdatalagen. 7.3.2Behandling av biometriska och genetiska uppgifter Regeringens förslag: och Säkerhetspolisen ska få behandla biometriska uppgifter om det är absolut nödvändigt för ända- målet med behandlingen. Regeringens bedömning: Säkerhetspolisen och Ekobrottsmyndig- heten bör inte få behandla genetiska uppgifter. bör endast få behandla genetiska uppgifter i den forensiska verksamheten. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. Polismyn- digheten välkomnar att möjligheterna i respektive verksamhet inte be- gränsas mer än att behandling av sådana uppgifter endast får ske när det är absolut nödvändigt för ändamålet med behandlingen. Övriga remiss- instanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag och bedömning Förutsättningarna för att behandla biometriska och genetiska uppgifter Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen personupp- gifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Van- liga fotografier och filmer omfattas inte av definitionen om de inte bear- betas tekniskt på något sätt så att identifiering blir möjlig, t.ex. i ett ansiktsigenkänningsprogram (se prop. 2017/18:232 s. 85 f.). Genetiska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår eller ett prov av personen i fråga. Det är framför allt fråga om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram vid andra analyser omfattas (se prop. 2017/18:232 s. 86 f.). Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter käns- liga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Det finns därför skäl att överväga myndigheternas behov av att behandla sådana uppgifter. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identi- fieras. Fingeravtryck, ansiktsgeometri, ögats iris eller nät- eller regn- bågshinna, röst, hand, blodkärl, dna eller rörelsemönster kan användas. Fingeravtryck och dna har använts i den polisiära verksamheten, men den tekniska utvecklingen har förändrat förutsättningarna för att använda framför allt biometri. Det har utvecklats helt nya möjligheter att använda exempelvis ansikts- och röstigenkän- 2017/18:269 ning. Som utredningen konstaterar går utvecklingen fort och det är svårt att förutse vad som kommer att vara möjligt . Polisen bör även i fortsättningen ha möjlighet att behandla biometriska uppgifter i brottsbekämpningen. Det är viktigt att den rättsliga regle- ringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person behandlas bara om det är absolut nödvändigt för ändamålet med behandlingen. Regeringen instämmer i utredningens bedömning att det inte finns skäl att be- gränsa möjligheterna att använda biometriska uppgifter ytterligare. och Säkerhetspolisen har behov av att behandla bio- metriska uppgifter medan det är svårt att se att har ett sådant behov. Det bör därför införas en bestämmelse i lagen som medger att och Säkerhetspolisen får behandla biomet- riska uppgifter om det är absolut nödvändigt för ändamålet med behand- lingen. Det bör anmärkas att de personuppgifter som förekommer i ett utlå- tande som baseras på en teknisk bearbetning av biometriska eller gene- tiska uppgifter inte i sig utgör sådana uppgifter. Det kommer alltså att vara möjligt att behandla personuppgifter i sådana utlåtanden i samma utsträckning som . Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna- profiler eller forensiska uppslag. Själva dna-profilen, som behandlas i dna-register, är endast en sifferkombination och är därmed ingen genetisk uppgift (se prop. 2017/18:232 s. 150). Vid sidan av den forensiska verksamheten hos har det inte framkommit något behov hos de behöriga myndigheterna att få behandla genetiska uppgifter. Någon allmän bestämmelse som medger sådan behandling bör följaktligen inte finnas i lagen. 7.3.3Sökning på känsliga personuppgifter Regeringens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet ska inte heller hindra sökning i syfte att få fram ett ur- val av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller upp- gifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte omfattas av de särskilda bestämmel- serna om gemensamt tillgängliga uppgifter i polisens brottsdatalag. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: tillstyrker förslaget men fram- håller att den nya författningstekniska lösningen innebär att undantagsbe- stämmelser måste införas för penningtvättsregistret och det internatio- nella registret för att sökmöjligheterna inte ska försämras i förhållande Prop. 2017/18:269 till vad som gäller . Skälen för regeringens förslag Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter I 2 kap. 14 § brottsdatalagen finns ett generellt sökförbud, vilket utgår från syftet med sökningen. Om syftet inte är att få fram ett urval av personer grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se prop. 2017/18:232 s. 155 f.). Detta skiljer sig från dagens reglering. Eftersom sökförbudet får en ny utformning är det nödvändigt att se över bestämmelserna om sökning. En utgångspunkt är att en effektiv underrättelse- och utredningsverksamhet kräver att vissa avsteg från förbudet tillåts, trots att detta i någon mån innebär en försvagning av integritetsskyddet. Enligt 3 kap. 5 § andra stycket i polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemen- samt tillgängliga. Det finns även i fortsättningen behov av att kunna använda sådana uppgifter vid sökning, trots att det kan leda till att man får fram ett urval av personer grundat på känsliga personuppgifter. Det bör därför göras undantag från brottsdatalagens sökförbud för sådana sökningar. För att möjligheterna till sökning ska vara desamma som bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. obe- roende av om uppgifterna har gjorts gemensamt tillgängliga eller inte. Polisen har även behov av att kunna göra sökningar på tillväga- gångssätt vid brott. Sådana sökningar kan i vissa fall leda till ett urval av personer grundat på känsliga personuppgifter. Som exempel kan nämnas att tillvägagångssätt vid sexualbrott kan avslöja uppgifter om sexualliv eller sexuell läggning. Tillvägagångssätt vid både sexualbrott och andra brott kan avslöja skador som gärningsmannen ådragit sig, dvs. avslöja uppgifter om hälsa. Undantaget från sökförbudet bör därför omfatta till- vägagångssätt vid brott. Även sökningar på verkställighet av påföljd kan ibland vara nöd- vändiga. Polisen kan exempelvis vid vissa typer av brott ha intresse av att kartlägga om personer som genomgår rättspsykiatrisk vård haft frigång eller permission. Att någon är föremål för rättspsykiatrisk vård avslöjar en uppgift om hälsa. Även information om permissioner eller vårdvistel- ser inom ramen för fängelsestraff, t.ex. att någon vistas på en viss typ av behandlingshem, kan avslöja uppgifter om hälsa. Undantaget från sök- förbudet i brottsdatalagen bör därför även omfatta sökning på uppgifter om verkställighet av påföljd. Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga Det nuvarande förbudet i polisdatalagen mot att använda känsliga per- sonuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgif-