prop · H603163 · 2019-09-09 00:00:00 — Enligt 9 § första stycket h personuppgiftslagen ska alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Bestämmelsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 3 och 6 kap. 4 § 1 polisdatalagen. Bestämmelserna i brottsdatalagen, som reglerar den personuppgiftsan- svariges skyldighet att på eget initiativ rätta, radera eller begränsa be- handlingen av personuppgifter, är mer detaljerade och anger på ett tyd- ligare sätt när de olika åtgärderna ska vidtas. Enligt 2 kap. 15 § första stycket brottsdatalagen ska alla rimliga åtgärder vidtas för att person- uppgifter som med hänsyn till ändamålet med behandlingen är felaktiga eller ofullständiga utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är Prop. 2018/19:163 inaktuella ska uppdateras om det är nödvändigt. lämnas ut till en behörig myndighet, ska mottagaren så långt det är möjligt ges information som gör det möjligt att bedöma i vilken utsträckning uppgifterna är korrekta, fullständiga, uppdaterade och tillförlitliga. 2 kap. 16 § ska alla rimliga åtgärder vidtas för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. I stället för att radera personuppgifterna ska den personuppgiftsansvarige utan onödigt dröjsmål begränsa behandlingen av dem, om de behöver finnas kvar av bevisskäl. Regleringen i brottsdatalagen utgår alltså från att felaktiga personuppgifter ska rättas och att personuppgifter som behandlas på ett otillåtet sätt ska raderas. Regleringen ska i huvudsak motsvara regleringen i brottsdatalagen När det gäller skyldigheten att på eget initiativ rätta, radera eller begränsa behandlingen av felaktiga eller ofullständiga personuppgifter eller per- sonuppgifter som behandlats på ett otillåtet sätt anser regeringen, i likhet med utredningen, att i princip samma krav bör ställas på Säkerhetspolisen som på övriga brottsbekämpande myndigheter. Det gäller även ansvaret att se till att felaktiga eller ofullständiga uppgifter inte lämnas ut eller görs tillgängliga. Det bör därför i den nya lagen tas in bestämmelser med samma innebörd som 2 kap. 15 och 16 §§ brottsdatalagen. Kravet på information i samband med utlämnande eller tillgängliggö- rande av personuppgifter som regleras i 2 kap. 15 § andra stycket brotts- datalagen har sin grund i dataskyddsdirektivet. Något sådant krav ställs inte på Säkerhetspolisen . Det ligger i sakens natur att Säkerhetspo- lisen inte i samma utsträckning som andra brottsbekämpande myndigheter kan avslöja vilken information som ligger till grund för t.ex. en misstanke om någons delaktighet i brottslig verksamhet. Någon motsvarande bestämmelse bör därför inte tas in i den nya lagen. Om det upptäcks att felaktiga personuppgifter eller personuppgifter som behandlas på ett otillåtet sätt har lämnats ut är det naturligt att den som har fått uppgifterna underrättas, så att uppgifterna kan rättas eller raderas eller behandlingen av dem begränsas (prop. 2017/18:232 s. 162). Under- rättelseskyldigheten kan regleras i förordning. Regeringens förslag: Bestämmelserna om behandling av personupp- gifter som tillhandahålls av transportföretag enligt polislagen ska tas in i den nya lagen. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår dock att personuppgifter från transportföre- tag endast ska få behandlas för vissa syften. 2018/19:163 Remissinstanserna: Endast Säkerhetspolisen yttrar sig i denna del och avstyrker bestämmelsen om att uppgifter från transportföretag endast får behandlas för vissa syften eftersom det innebär en begränsning i förhål- lande till vad som gäller . Skäl för regeringens förslag Enligt 25 § polislagen (1984:387) är transportföretag skyldiga att på be- gäran skyndsamt lämna vissa personuppgifter till och Säkerhetspolisen. Det rör sig bl.a. om uppgifter om resenärers namn, medresenärers namn och transportmedel. Personuppgifterna får tillhandahållas genom terminalåtkomst till tran- sportföretagens bokningssystem där polisen får läsa uppgifterna. Terminalåtkomst tillåts enligt 26 § polislagen bara i den omfattning och som behövs för att kontrollera aktuella transporter. Uppgifterna får även lämnas på annat sätt om transportföretaget anser att det är bättre. Uppgifterna lämnas ofta elektroniskt, men det förekommer även att de tillhandahålls på papper. Personuppgiftsbehandlingen bör regleras i den nya lagen I polislagen reglerades tidigare inte bara transportföretagens uppgifts- skyldighet utan även på vilket sätt och hur länge polisen fick behandla personuppgifterna. Regeringen föreslog i propositionen Brottsdatalag – kompletterande lagstiftning att bestämmelserna om hur personuppgifter från transportföretag får behandlas skulle föras över till polisens brottsdatalag. Bakgrunden till det var att det inte fanns någon reglering av behandling av personuppgifter från transportföretag i polisdatalagen. Inom brottsdatalagens tillämpningsområde är dock utgångspunkten att myndigheternas personuppgiftsbehandling i så stor utsträckning som möjligt ska regleras i respektive myndighets registerförfattning. En annan ordning, med enstaka bestämmelser om personuppgiftsbehandling i andra lagar, skulle innebära att regleringen blir mer svåröverskådlig för enskilda (prop. 2017/18:232 s. 158). Dessa skäl har även giltighet för Säkerhetspolisen. Regleringen av hur Säkerhetspolisen får behandla personuppgifter som transportföretag på begäran tillhandahåller myndigheten enligt polislagen bör därför tas in i den nya lagen. Transportföretagens skyldigheter bör dock, på samma sätt som för del, fortfarande regleras i polislagen. Hur får uppgifterna behandlas? Utredningen föreslår att Säkerhetspolisen på samma sätt som Polis- myndigheten ska få behandla personuppgifter från transportföretag endast för vissa syften. Säkerhetspolisen har invänt att det innebär en begränsning i förhållande till vad som gäller och att behovet av uppgifter från transportföretag kan förekomma i hela myndighetens verksamhet. Enligt 25 § andra stycket polislagen är möjligheter att begära uppgifter från transportföretag begränsade till uppgifter som kan antas ha betydelse för den brottsbekämpande verksamheten. Av förarbetena till den ändring av bestämmelsen som gjordes i samband med polis- omorganisationen framgår att Säkerhetspolisen inte behöver anges i bestämmelsen eftersom myndigheten enbart bedriver brottsbekämpande verksamhet (En ny organisation för polisen, del 1, prop. 2013/14:110, s. 581). Som framgår av avsnitt 7.3 anses all Säkerhetspolisens verksamhet vara brottsbekämpande och lagförande. Det är inte någon förändring i sak jämfört med tidigare ställningstaganden utan hänger samman med att uttrycket brottsbekämpande verksamhet har fått en snävare innebörd genom brottsdatalagens införande. Den begränsning som utredningen föreslår finns alltså inte i dagens reglering. Mot den bakgrunden och eftersom behovet av uppgifter från transportföretag kan förekomma i Säkerhetspolisens hela verksamhet anser regeringen att myndighetens möjligheter att begära uppgifter från transportföretag inte bör begränsas till om uppgifterna behövs för vissa syften. Transportföretagen får, som framgår av 26 § polislagen, tillhandahålla och Säkerhetspolisen passageraruppgifter genom att göra dem läsbara via terminalåtkomst. föreskrevs också att uppgifter som hålls tillgängliga på det sättet inte fick ändras eller på annat sätt bearbetas eller lagras av myndigheterna. Bestämmelsen kunde uppfattas på det sättet att myndigheterna inte fick hantera personuppgifterna på annat sätt än att läsa dem på en terminal. Det kunde dock inte ha varit avsikten att regleringen skulle tolkas så snävt, eftersom tillgången till sådana uppgifter skulle vara meningslös om uppgifter av betydelse för brottsbekämpningen inte skulle få tillföras den brottsbekämpande verksamheten. I förarbetena till polisens brottsdatalag ansåg regeringen därför att det borde förtydligas att bestämmelsen endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it- system (prop. 2017/18:269 s. 158 f.). Ett motsvarande förtydligande bör tas in i den nya lagen. Uppgifterna från transportföretagen är till allra största delen information om personer som inte är intressanta ur ett brottsbekämpningsperspektiv. Utgångspunkten är därför att uppgifterna ska ges så liten spridning som möjligt. Säkerhetspolisen bör liksom och få göra uppgifter från transportföretag gemensamt tillgängliga vid behov (jfr prop. 2017/18:269 s. 161). Det kan vara uppgifter om någon eller några personer eller transporter som är av betydelse i underrättelseverksamheten eller i en brottsutredning som görs gemensamt tillgängliga. Säkerhetspolisen får göra personuppgifter gemensamt tillgängliga om det behövs för några av de uppgifter för vilka Säkerhetspolisen får behandla personuppgifter (avsnitt 8.3.1). Någon särskild reglering behövs därför inte. angavs i 26 § tredje stycket polislagen att uppgifter om enskilda personer som ett transportföretag lämnat på annat sätt än genom terminalåtkomst skulle förstöras om de visade sig sakna betydelse för utredning av eller lagföring för brott. Bestämmelsen upphävdes i samband med införandet av polisens brottsdatalag, eftersom uppgifterna får tillräckligt skydd genom bestämmelsen i 2 kap. 17 § första stycket brottsdatalagen om att personuppgifter inte får behandlas än som är nödvändigt med hänsyn till ändamålet med behandlingen (prop. 2017/18:269 s. 161 f.). En motsvarande bestämmelse föreslås tas in i den nya lagen (avsnitt 12.2.1), och någon särskild reglering 2018/19:163 om hur länge personuppgifter från transportföretag får behandlas behövs därför inte. Behandling för nya ändamål finns det ingen bestämmelse om vidarebehandling av personupp- gifter som transportföretag tillhandahåller. Regeringen konstaterar i för- arbetena till polisens brottsdatalag att har ställt sig bakom att ska få behandla personuppgifter av nu aktuellt slag för nya ändamål endast om det behövs i enskilda fall. Mot den bakgrunden ansåg regeringen att polisens rätt att behandla personuppgifter som tillhandahålls av transportföretag för nya ändamål bör begränsas på mot- svarande sätt (prop. 2017/18:269 s. 160 f.). Det bör gälla även för Säkerhetspolisen. Det bör inte regleras vilka sökbegrepp som får användas gäller inga begränsningar i polisens möjligheter att söka i uppgifter från transportföretag. Utredningen föreslog att sådana begränsningar skulle införas för men inte för Säkerhetspolisen. I för- arbetena till polisens brottsdatalag konstaterade regeringen att den före- slagna sökbegränsningen kunde riskera att försämra möjligheter att bekämpa den organiserade gränsöverskridande brottslig- heten och någon sökbegränsning infördes därför inte (prop. 2017/18:269 s. 159 f.). Säkerhetspolisens användning av direkta personuppgifter vid sökning i uppgifter från transportföretag bör därför inte heller begränsas. Lagen om flygpassageraruppgifter i brottsbekämpningen har företräde Lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen innehåller bl.a. bestämmelser om personuppgiftsbehandling i enlighet med kraven i det s.k. PNR-direktivet. Där regleras skyldigheten för flygbolag att överföra passageraruppgiftssamlingar till särskilda enheter för passagerarinformation i medlemsstaterna, för vilka ändamål personupp- gifterna får behandlas, hur länge de får lagras och under vilka förutsätt- ningar de får lämnas ut. Lagen om flygpassageraruppgifter i brottsbe- kämpningen kommer att ha företräde framför bestämmelserna i den nya lagen (avsnitt 7.6). 10 Gemensamt tillgängliga uppgifter 10.1Samma reglering av vad som får göras gemensamt tillgängligt Regeringens förslag: Särskilda bestämmelser ska gälla för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Personuppgifter ska få göras gemensamt tillgängliga om det behövs för någon av de uppgifter som Säkerhetspolisen får behandla person- uppgifter för. Bestämmelserna om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestämmelsen om behand- ling av personuppgifter för diarieföring eller för att utföra andra nöd- Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 6 kap. polisdatalagen (2010:361) finns särskilda bestämmelser som gäller vid behandling av person- uppgifter som görs eller har gjorts gemensamt tillgängliga. gemensamt tillgängliga uppgifter avses uppgifter som inte enbart ett fåtal har tillgång till. För behandling av sådana uppgifter ställs det t.ex. krav på särskilda upplysningar och vidare begränsas möjligheten till sökning. Sådana bestämmelser bör finnas även i den nya lagen. För att få en enhetlig systematik bör regleringen om gemensamt tillgängliga uppgifter finnas i ett särskilt kapitel. Av 6 kap. 8 § polisdatalagen framgår att personuppgifter får göras gemensamt tillgängliga i Säkerhetspolisens verksamhet om det behövs för något av de ändamål för vilka personuppgifter får behandlas. till polisdatalagen konstaterar regeringen att de intressen som Säkerhetspolisen har till uppgift att skydda motiverar att myndigheten ges större handlingsfrihet i fråga om vilka uppgifter som får göras gemensamt Skälet till det är bl.a. att Säkerhetspolisens verksamhet är inriktad mot brottslighet som till sin natur är svår att upptäcka och att tyngdpunkten i dess brottsbekämpande arbete ligger på underrättelsearbete och renodlat förebyggande arbete. Det konstateras vidare att det är svårt att förutse och i lag uttrycka de olika kategorier av personuppgifter som bör få göras gemensamt tillgängliga hos och att myndighetens verksamhet till sin natur är sådan att informationen sprids i mindre utsträckning än inom polisen i övrigt (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 264). Enligt regeringens mening är de skäl som anges i förarbetena till polis- datalagen fortfarande aktuella. Regleringen av när personuppgifter får göras gemensamt tillgängliga bör därför i princip tas in oförändrad i den Den bör dock knytas till bestämmelsen om rättslig grund och de uppgifter för vilka Säkerhetspolisen får behandla personuppgifter, i stället för till ändamålen med behandlingen. I 6 kap. 8 § andra stycket polisdatalagen föreskrivs att bestämmelserna om gemensamt tillgängliga uppgifter inte gäller när personuppgifter be- handlas med stöd av den särskilda bestämmelsen om behandling av per- sonuppgifter för diarieföring eller för att utföra andra nödvändiga hand- En motsvarande bestämmelse bör tas in i den nya Regeringens förslag: Om det ändamål som gemensamt tillgängliga personuppgifter behandlas för inte framgår av sammanhanget eller på något annat sätt, ska det tydliggöras genom en särskild upplysning. 2018/19:163 Om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet som omfattas av lagens tillämpningsområde, ska det genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt. Uppgifter om en person som kan antas ha direkt samband med brottslig verksamhet ska som regel förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, om det inte på grund av omständigheterna är onödigt. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen avstyrker utredningens förslag att kravet på särskilda upplysningar enbart ska gälla om personuppgifterna har gjorts gemensamt tillgängliga. Behoven av undantag kan regleras på motsvarande sätt som i 2 kap. 9 § brottsdatalagen genom att det anges att kravet gäller ”så långt det är möjligt”. Inspektionen anser vidare att det i stället för en upplysning om att någon inte är misstänkt bör föreskrivas att olika kategorier av registrerade, t.ex. misstänkta, brottsoffer och vittnen, ska särskiljas. Datainspektionen anser också att kravet på särskilda upplysningar ska gälla när uppgifter såväl ”direkt som indirekt kan hänföras till en person som inte är misstänkt”. Säkerhets- och integritets- skyddsnämnden föreslår att bestämmelsen om särskilda upplysningar om misstanke ska formuleras på ett annat sätt för att det ska bli tydligare när kravet gäller. Skälen för regeringens förslag Särskild upplysning om ändamålet med behandlingen Enligt 6 kap. 9 § polisdatalagen ska det genom en särskild upplysning eller på något annat sätt framgå för vilket närmare ändamål personuppgifter som har gjorts gemensamt tillgängliga behandlas. Både av hänsyn till verksamheten och till den personliga integriteten är det viktigt att det framgår för vilket ändamål en personuppgift behandlas. Från integritets- synpunkt har det betydelse bl.a. för möjligheterna att genom tekniska för- faranden eller administrativa bestämmelser kunna styra åtkomsten till vissa uppgifter. Att ändamålet med behandlingen framgår kan vidare vara en förutsättning för att en tillsynsmyndighet ska kunna kontrollera om viss behandling är berättigad och utförs i enlighet med lagens bestämmelser. Information om ändamålet med behandlingen behövs också för att de tjänstemän som får tillgång till personuppgifter ska kunna värdera uppgifterna korrekt och använda sig av dem på ett effektivt och lagenligt sätt. Informationen behövs bl.a. för att kunna ta ställning till om uppgiften får och bör behandlas för ett nytt ändamål. En bestämmelse som föreskriver att det ska framgå för vilket ändamål personuppgifter be- handlas bör därför tas in i den nya lagen. På samma sätt som bör dock särskilda upplysningar krävas endast om ändamålet inte framgår av sammanhanget eller på något annat sätt. Bestämmelsen bör formuleras på samma sätt som 2 kap. 3 § andra stycket brottsdatalagen. Upplysning om att den registrerade inte är misstänkt Om uppgifter direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det enligt 6 kap. 10 § första stycket polisdatalagen genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt. Det är av stor betydelse för skyddet av den personliga integriteten vid brottsbekämpning att personuppgifter behandlas på ett sådant sätt att det framgår om en person är misstänkt eller inte. Ofta framgår det av om- ständigheterna eller sammanhanget i vilket personuppgifterna behandlas att en uppgift avser en person som inte är misstänkt. Det är främst i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och det är framför allt när uppgifter behandlas utanför sitt ursprungliga sammanhang som sär- skilda upplysningar kan behövas. Det bör därför tas in en bestämmelse i den nya lagen om att det ska framgå om personuppgifter direkt hänför sig till en person som inte är misstänkt för att ha utövat brottslig verksamhet. Det bör tydliggöras att upplysningen ska avse brott eller brottslig verksamhet som Säkerhetspolisen har till uppgift att bekämpa. Bestämmelsen bör formuleras på det sätt Säkerhets- och integritets- skyddsnämnden föreslår för att det ska bli tydligt när kravet på särskild upplysning gäller. I 2 kap. 9 § brottsdatalagen (2018:1177) föreskrivs att så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på något annat sätt vilken kategori personen tillhör, ska det tydlig- göras genom en särskild upplysning. Datainspektionen anser att den modellen bör användas även i den nya lagen i stället för att det bara ska framgå att någon inte är misstänkt. Kravet på att olika kategorier av regi- strerade ska särskiljas har sin grund i dataskyddsdirektivet. Med hänsyn till att Säkerhetspolisen ofta behandlar personuppgifter i ett tidigt skede i sin underrättelseverksamhet, då det normalt inte går att urskilja lika tydliga kopplingar till konkreta brott eller brottslig verksamhet som inom , och det då är svårt att veta vilken roll olika personer har, är det inte rimligt att fler kategorier av personer ska särskiljas. Det bör därför inte krävas mer än att det framgår om en person inte är misstänkt. Datainspektionen har vidare ansett att kravet på särskilda upplysningar ska gälla när uppgifter såväl ”direkt som indirekt kan hänföras till en per- son som inte är misstänkt”. Uttrycket ”uppgifter som direkt kan hänföras till en person” finns i 6 kap. 10 § första stycket polisdatalagen. Motsvarande skrivning finns också i 3 kap. 4 § polisens brottsdatalag. Utredningen föreslår inte någon ändring. Regeringen anser inte heller att det finns skäl att ändra lagtexten i denna del utifrån vad Datainspektionen anfört. Upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak I 6 kap. 10 § andra stycket polisdatalagen ställs det krav på att uppgifter om en person som kan antas ha samband med misstänkt brottslig verk- samhet ska förses med en upplysning om uppgiftslämnarens trovärdighet 2018/19:163 och uppgifternas riktighet i sak. Någon upplysning krävs dock inte om det på grund av särskilda omständigheter är onödigt eller om uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analysen befinner sig i ett inledande skede. På samma sätt som det är viktigt att det framgår om en uppgift rör en icke misstänkt person, är det viktigt att det framgår hur tillförlitlig en underrättelseuppgift bedöms vara. Syftet med en sådan bestämmelse är dels att stärka skyddet för den enskildes integritet, dels att förhindra att uppgifter, vilkas tillförlitlighet och trovärdighet är begränsad, läggs till grund för bedömningar och åtgärder som inte är sakligt motiverade (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 265). En motsvarande bestämmelse bör därför tas in i den nya lagen. Kravet på upplysning om uppgiftslämnarens trovärdighet och uppgif- ternas riktighet i sak bör endast avse uppgifter om den som kan antas utöva eller komma att utöva den brottsliga verksamheten. Eftersom det krav som gäller för anknytningen till den brottsliga verksamheten således är mycket lågt ställt träffar regleringen en relativt vid personkrets. Så snart det finns något som stöder ett antagande om att en person har direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga bör således uppgifterna om personen förses med särskild upplysning. Det är vidare endast sådana uppgifter som belyser på vilket sätt personen är knuten till brottsligheten som bör förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det kan, förutom anknytningen till den brottsliga verksamheten, t.ex. röra sig om uppgifter om brottslighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas (jfr Brottsdatalag – kompletterande lagstiftning, prop. 2017/18:269, s. 111). På samma sätt som bör det göras undantag från kravet på särskild upplysning om det inte finns något behov av en sådan därför att det framgår av sammanhanget vem som är uppgiftslämnare och hur trovärdig uppgiften är eller det av annat skäl är onödigt med en sådan upplysning.