sou · H9B392 · 2021-11-30 00:00:00 — På samma sätt som polisens brottsdatalag innehåller brottsdatalag närmare bestämmelser för längsta tid som personupp- gifter får behandlas i vissa fall. Bestämmelserna är i huvudsak lika- lydande. I 4 kap. 3 § anges dock särskilt att personuppgifter som med stöd av 15 § inregränslagen eller 4 kap. 6 § tullagen tillhandahålls på annat sätt än genom terminalåtkomst, ska förstöras om de visar sig sakna betydelse för att utföra en uppgift som syftar till att förebygga, förhindra eller upptäcka brottslig verksamhet, eller utreda eller lagföra brott. Detta gäller också vid behandling av personupp- gifter som ingår i en strukturerad samling personuppgifter, t.ex. mani- fest från transportföretag som kommer in till i pappers- form, med t.ex. post eller fax.30 Även lagen (2018:1695) om behandling av person- uppgifter inom brottsdatalagens område (brotts- datalag) är uppbyggd på i huvudsak samma sätt som polisens brottdata- lag. Lagen innehåller förutom allmänna och grundläggande bestämmelser om behandling ett kapitel om gemensamt tillgängliga uppgifter, ett kapitel om längsta tid för behandling av personuppgifter och ett kapitel med bestämmelser om sanktionsavgifter, skadestånd och rätten till överklagande. Lagen gäller utöver brottsdatalagen när Kustbevak- ningen i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Enligt lagens 2 kap. 1 § får behandla personupp- gifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: –förebygga, förhindra eller upptäcka brottslig verksamhet, –utreda eller lagföra brott, –upprätthålla allmän ordning och säkerhet, eller –fullgöra förpliktelser som följer av internationella åtaganden. För behandling av uppgifter för nya ändamål gäller samma förutsätt- ningar som enligt polisens brottsdatalag (2 kap. 2 §). Vad gäller behandling av känsliga personuppgifter görs vissa undan- tag från sökförbudet som följer av brottsdatalagen även i denna lag (2 kap. 4–5 §§). På samma sätt som polisens brottsdatalag och brotts- datalag anger lagen under vilka förutsättningar personuppgifter får lämnas ut till , Europol eller utländska staters myndigheter samt vissa organisationer. Lagen innehåller också bestämmelser om utlämnande av uppgifter mellan vissa nationella myndigheter. Bestäm- melserna överensstämmer med motsvarande reglering i de nämnda lagarna. På samma sätt som polisens brottsdatalag innehåller Kustbevak- ningens brottsdatalag närmare bestämmelser för längsta tid som per- sonuppgifter får behandlas i vissa fall. Bestämmelserna är i huvudsak likalydande. 9.9Lagen om Säkerhetspolisens behandling av personuppgifter Till Säkerhetspolisens huvuduppgifter hör att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet och terrorbrott och att utreda och beivra sådana brott. Säker- hetspolisen ansvarar vidare för personskyddet av den centrala stats- ledningen. De uppgifterna avser nationell säkerhet. Säkerhetspolisen har även andra uppgifter som avser nationell säkerhet eller som har mycket nära samband med sådan verksamhet. Viss personuppgiftsbehandling undantas från både dataskydds- förordningens och dataskyddsdirektivets tillämpningsområde. Det gäller bl.a. personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. Således gäller inte heller brottsdatalagen vid behandling av per- sonuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen (1 kap. 4 § brottsdatalagen). Merparten av Säkerhetspolisens behandling av personuppgifter ligger härigenom utanför brottsdatalagens tillämpningsområde. I stället gäller lagen (2019:1182) om Säkerhetspolisens behandling av person- uppgifter (Säkerhetspolisens datalag) vid behandling av personupp- gifter som rör nationell säkerhet i Säkerhetspolisens brottsbekäm- pande och lagförande verksamhet. Lagen är subsidiär till annan lag- stiftning, finns det andra och avvikande regler på annat håll är det alltså dessa regler som gäller i stället (1 kap. 4 §). När Säkerhetspolisen behandlar personuppgifter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott, ska myndigheten däremot tillämpa brotts- datalagen och polisens brottsdatalag. Enligt 2 kap. 1 § i lagen får Säkerhetspolisen behandla person- uppgifter om det är nödvändigt för att –förebygga, förhindra eller upptäcka brottslig verksamhet som inne- fattar brott mot säkerhet, terrorbrott, eller tryckfrihets- brott och yttrandefrihetsbrott med rasistiska eller främlingsfient- liga motiv –utreda eller lagföra nämnda brott, eller, efter särskilt beslut, annat brott, –fullgöra uppgifter i samband med personskydd av den centrala stats- ledningen och andra som regeringen eller Säkerhetspolisen bestäm- mer, enligt säkerhetsskyddslagen (2018:585), eller enligt utlännings- och medborgarskapslagstiftningen, –fullgöra någon annan uppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av regeringen, eller –fullgöra förpliktelser som följer av internationella åtaganden. På samma sätt som de ovan redovisade regelverken innehåller Säker- hetspolisens datalag allmänna och grundläggande bestämmelser om behandling, liksom bestämmelser om gemensamt tillgängliga upp- gifter och om längsta tid för behandling av personuppgifter. Vidare innehåller den bl.a. bestämmelser om skyldigheter för den personupp- giftsansvarige, om enskildas rättigheter, om tillsyn, skadestånd, över- klagande och överföring av personuppgifter till tredjeland. Bestämmel- serna överensstämmer i stora delar med brottsdatalagens bestämmelser och andra brottsbekämpande myndigheters särskilda brottsdatalagar. Säkerhetspolisens verksamhet och arbetsmetoder skiljer sig dock i viss utsträckning från , bl.a. eftersom tyngdpunk- ten för Säkerhetspolisen ligger på att förebygga och förhindra brott. I vissa avseenden är därför regleringen anpassad utifrån detta. Utlänningsdatalagen (2016:27) är en särskild registerförfattning som syftar till att ge , och utlandsmyn- digheterna möjlighet att behandla personuppgifter på ett ändamåls- enligt sätt i sin verksamhet enligt utlännings- och medborgarskaps- lagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen gäller vid behandling av personuppgifter bl.a. i och verksamheter som rör utlänningars in- och utresa i , vistelse här samt andra utlänningsrättsliga frågor (2–3 §§). Lagen gäller endast helt eller delvis automatiserad behandling av personuppgifter eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (4 §). Utan- för lagens tillämpningsområde faller därmed helt behandling av personuppgifter som inte ingår i någon sådan samling.31 Lagen kompletterar dataskyddsförordningen och om inte annat an- ges är även bestämmelserna i dataskyddslagen tillämpliga vid behand- lingen av uppgifterna. I 5 § anges vissa undantag från lagens tillämp- ningsområde, bl.a. gäller den inte när personuppgifter behandlas med stöd av lagen (2006:444) om passagerarregister eller viseringskodexen. Enligt 11 § får personuppgifter behandlas om det behövs för –handläggning av ärenden eller en myndighets biträde i sådana ären- den i verksamhet som avses i 2 och 3 §§, –kontroll av utlänning i samband med inresa och utresa samt kon- troll under vistelsen i , –utförande av arbetsuppgifter som gäller mottagande och bosätt- ning av asylsökande och andra utlänningar, –framställning av statistik, –utförande av testverksamhet, eller –fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. 2015/16:65 Utlänningsdatalag s. 109. får även behandla personuppgifter om det behövs för återsökning i avgöranden, rättsutredningar m.m. samt återsök- ning av information som rör förhållanden i andra länder (12 §). Per- sonuppgifter får också behandlas i vissa fall när det är nödvändigt för att tillhandahålla information till vissa myndigheter (13 §). Utlänningsdatalagen innehåller vidare bestämmelser om under vilka förhållanden känsliga personuppgifter får behandlas (14 §), samt särskilda bestämmelser om register över finger- avtryck och fotografier (15 §, jfr 9 kap. 8 § utlänningslagen, 2005:716). Bestämmelsen i 15 § reglerar uttömmande för vilka ändamål upp- gifter om fingeravtryck och fotografier som har tagits med stöd av 9 kap. 8 § utlänningslagen får behandlas och ändamålen är mer be- gränsade än övrigt enligt lagen. Enligt 16 § ska tillgången till personuppgifterna begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsupp- gifter. Lagen föreskriver vidare vissa begränsningar i rätten att utföra sökningar bland uppgifterna (17 och 18 §§). Slutligen innehåller lagen även vissa bestämmelser om den person- uppgiftsansvariges skyldigheter, om rätten att göra invändningar mot behandlingen av personuppgifter samt om möjligheten för andra myn- digheter och länder att få direktåtkomst eller annan tillgång till upp- gifterna. I kamerabevakningslagen (2018:1200) regleras förutsättningarna för viss kamerabevakning som bedrivs öppet (3–5 §§). Av 2 § framgår att lagens syfte är att tillgodose behovet av kamerabevakning för be- rättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning. Avsikten med lagen är alltså att reglera kamerabevakning på ett sätt som inne- bär en lämplig balans mellan nyttan med kamerabevakning och skyddet av den personliga integriteten.32 Kamerabevakningslagen innehåller endast de bestämmelser som särskilt behövs för kamerabevakning och som utgör undantag från och kompletteringar till annan dataskyddslagstiftning. Lagen är subsi- diär i förhållande till dataskyddsförordningen, dataskyddslagen med 2017/18:231 s. 135. tillhörande och kompletterande föreskrifter samt brottsdatalagen med tillhörande föreskrifter och andra föreskrifter som genomför data- skyddsdirektivet (6 §). Detsamma gäller i förhållande till föreskrifter om behandling av personuppgifter som inte omfattas av förordningen eller brottsdatalagen. Lagens 3 § innehåller en definition av begreppet kamerabevakning. Med kamerabevakning avses enligt 3 § 1 att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen, används på ett sätt som innebär var- aktig eller regelbundet upprepad personbevakning. Med platsen menas den plats där utrustningen finns. Utrustningen kan finnas antingen på en fast plats, t.ex. på en fasad, på en inomhus- vägg, i ett tak eller på en stolpe, eller på en rörlig plats, t.ex. på eller i ett fordon, ett fartyg eller en drönare eller ett annat luftfartyg. Med att utrustningen används utan att manövreras på platsen avses att den fortlöpande hanteringen av utrustningen sker på ett ställe som är klart åtskilt från den plats där utrustningen finns. Endast det för- hållandet att utrustningen sätts igång på stället eller fungerar med inbyggd automatik innebär inte att den manövreras på platsen. Ut- rustning som finns i användarens omedelbara närhet och som fort- löpande styrs av användaren är manövrerad på platsen. Lagen omfat- tar därför inte exempelvis handhållna eller kroppsburna kameror.33 En ytterligare förutsättning för lagens tillämpning är att kamera- bevakningen används på ett sådant sätt som gör det möjligt att iden- tifiera personer som blir föremål för bevakningen, dvs. innebär per- sonbevakning. Det förutsätts också att bevakningen pågår eller med vissa regelbundna intervaller.34 Lagen gäller även i fråga om ljudupptagning som sker i anslutning till kamerabevakningen, liksom vid användning av tekniska anord- ningar som används för att behandla bild- och ljudmaterial, exempel- vis för att lagra inspelad film (3 § 2 och 3). Som huvudregel krävs tillstånd till kamerabevakning om bevak- ningen ska bedrivas av en myndighet eller annan än myndighet vid utförande av en uppgift av allmänt intresse och av en plats dit all- mänheten har tillträde (7 §). Till platser dit allmänheten har tillträde räknas exempelvis gator, torg och parker, men också transportmedel som används för allmänna kommunikationer eller evenemang dit vem som helst kan lösa en biljett.35 Ett särskilt avsnitt i lagen behandlar förutsättningarna för vissa myndigheters kamerabevakning; närmare bestämt , , och (se 14 a–d §§). Något tillstånd till kamerabevakning krävs inte, , vid bevakning som bedrivs av nämnda myndigheter (9 § första stycket 1). Syftet med att ta bort tillståndskravet för dessa myndig- heter var bl.a. lyfta bort hinder för en effektiv brottsbekämpning.36 Att dessa myndigheters kamerabevakning undantas från kravet på tillstånd innebär dock inte att den är oreglerad. En förutsättning för att myndigheterna ska få bedriva kamerabevakning av en plats dit allmänheten har tillträde är enligt 14 a § att intresset av sådan bevak- ning väger tyngre än den enskildes intresse av att inte bli bevakad. Vad som ska beaktas vid bedömningen av dessa intressen framgår av 8 § andra och tredje stycket. Enligt 14 b § ska myndigheterna som huvudregel bedöma om för- utsättningarna i 14 a § är uppfyllda innan de påbörjar bevakningen. Från denna huvudregel görs vissa undantag. Förutsättningarna för tillstånd, när sådant krävs, framgår av 8 §. Enligt första stycket ska tillstånd till kamerabevakning ges om in- tresset av sådan bevakning väger tyngre än den enskildes intresse av att inte bli bevakad (den s.k. överviktsprincipen). För att bevaknings- intresset ska kunna väga tyngre än den enskildes intresse av att inte bli bevakad är en första förutsättning att det finns en rättslig grund för kamerabevakningen i den tillämpliga personuppgiftsregleringen, i första hand dataskyddsförordningen eller brottsdatalagen. Därut- över ska en helhetsbedömning av omständigheterna i det enskilda fallet göras. Det räcker att intresset av kamerabevakning väger över det mot- stående intresset för att tillstånd ska ges.37 Av 8 § andra stycket, som alltså även gäller vid bedömningen av intresset av kamerabevakning när denna utförs av , , Säkerhetspolisen eller , framgår vidare vad som särskilt ska beaktas vid bedömningen. Regleringen rörande intresseavvägningen redovisas närmare i avsnitt 15. 2018/19:147 Kamerabevakning i brottsbekämpningen – ett enklare förfarande s. 1. 2017/18:231 s. 142. Genom regleringen i 8 § har de ändamål som särskilt ska beaktas vid bedömningen av bevakningsintresset utökats och förtydligats jäm- fört med tidigare gällande reglering. Av förarbetena framgår att syftet med förändringarna var att generellt förbättra möjligheterna att få tillstånd till kamerabevakning. Regeringen menade att detta var sär- skilt betydelsefullt för sådan kamerabevakning som används i brotts- bekämpande syfte och för att skapa tryggare offentliga miljöer. Reger- ingen uttalade också principiellt att kameratekniken inte längre ska ses som en åtgärd som kan tas till först om andra tänkbara åtgärder inte gett resultat, utan som ett naturligt hjälpmedel i det brottsbekäm- pande arbetet.38 Kamerabevakningslagen innehåller även bestämmelser om bl.a. upplysning om kamerabevakning, om enskildas rätt till information samt om tillsyn och sanktionsavgifter. är den myndighet som utövar tillsyn över kamerabevakning enligt kamerabevakningslagen.39 9.12Lagen om flygpassageraruppgifter i brottsbekämpningen I syfte att bekämpa terrorism och annan allvarlig brottslighet har myndigheter i flera länder i allt större utsträckning börjat samla in och analysera s.k. PNR-uppgifter. PNR är en förkortning av den eng- elska benämningen och avser uppgifter som passagerare lämnar vid bokning av flygresor och vid incheckning, t.ex. namn, resedatum, resväg, bagageinformation och betalningssätt. Uppgifterna kan t.ex. användas för att sålla ut tidigare okända passa- gerare som skulle kunna vara intressanta för myndigheterna att kon- trollera. PNR-uppgifterna kan även användas i samband med brotts- utredningar eller för att analysera och fastställa misstänkta rese- och beteendemönster. Det s.k. PNR-direktivet40 utgör ett unionsgemensamt regelverk för insamling och användning av PNR-uppgifter i viss brottsbekäm- pande verksamhet. PNR-direktivet har genomförts i svensk rätt ge- 2017/18:231 s. 64 f. 393 § förordning (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförord- ning och 2 § förordning (2007:975) med instruktion för . 40Europaparlamentets och rådets direktiv (EU)2016/681 om användning av passageraruppgifts- samlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brott och annan allvarlig brottslighet. nom lagen (2018:1180) om flygpassageraruppgifter i brottsbekämp- ningen. Lagen har företräde framför polisens brottsdatalag när det gäller behandlingen av uppgifterna (1 kap. 3 § brottsdatalagen). Lagen innehåller bestämmelser om lufttrafikföretags skyldigheter att över- föra PNR-uppgifter till enheten för passagerarinformation vid Polis- myndigheten, samt om behandling av PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller annan allvarlig brottslighet. Lagen är avsedd att både tillgodose behovet av tillgång till PNR-uppgifter i sådan verksamhet och skydda människor mot att deras personliga integritet kränks vid behandlingen av uppgifterna. Lagen föreskriver att det vid ska finnas en enhet för passagerarinformation som ska ansvara för att samla in, bevara och i övrigt behandla PNR-uppgifter. Enheten ska också ansvara för att överföra PNR-information till behöriga mottagare och tredje- länder (1 kap. 4 §). PNR-information får endast behandlas i syfte att förebygga, för- hindra, upptäcka, utreda eller lagföra terroristbrott eller annan all- varlig brottslighet. Undantag gäller i verksamhet som rör nationell säkerhet och i vissa fall för behandling av PNR-information för att förhindra, utreda eller lagföra annan brottslighet hos behöriga myn- digheter (1 kap. 5 §). Lagen förbjuder vidare behandling av PNR- uppgifter som utgör känsliga personuppgifter. I lagens 2 kap. finns bestämmelser om lufttrafikföretagens skyl- digheter. Där stadgas att lufttrafikföretagen, inför varje flygning som ankommer till eller avgår från , ska elektroniskt överföra så- dana PNR-uppgifter som lagen gäller till enheten för passagerarinfor- mation. Till skillnad från passagerarinformation som kan inhämtas med stöd av 25 § polislagens bestämmelser behövs alltså inte någon begäran. Alla flygningar mellan och ett annat land omfattas, oav- sett om det är fråga om ett annat EU-land eller ett land utanför EU, och även för det fall att det endast är fråga om en mellanlandning på svensk mark. Inrikesflygningar omfattas däremot inte. Lagens 3 kap. innehåller detaljerade bestämmelser om behandlingen av PNR-uppgifter, tillåtna ändamål för sådan behandling, tillgång till uppgifterna och om bevaring. PNR-uppgifter som har överförts ska bevaras i en databas vid enheten för passagerarinformation som an- svarar för behandlingen av informationen i . heten är personuppgiftsansvarig för den behandling av personupp- gifter som utförs vid enheten för passagerarinformation. får enligt regleringen behandla PNR-uppgifter bl.a. för att göra en förhandsbedömning av passage- rare före deras beräknade ankomst till eller avresa från i syfte att välja ut personer som behöver utredas ytterligare av behöriga myn- digheter eller Europol, på grund av att dessa personer kan vara in- blandade i terroristbrottslighet eller annan allvarlig brottslighet (3 kap. 4 §). Uppgifterna får också behandlas för att göra analyser för att uppdatera eller skapa nya kriterier som ska användas vid förhands- bedömningar. Vid en förhandsbedömning får PNR-uppgifter, enligt 3 kap. 5 §, jämföras med register; exempelvis spanings- eller misstankeregister, belastningsregister, (Schengens informationssystem) eller databas över kända internationella brottslingar. Det ska vara fråga om register eller andra uppgiftssamlingar som är relevanta för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller annan allvarlig brottslighet. Vidare får PNR-upp- gifter behandlas enligt på förhand utformade och fastställda kriterier, s.k. profilering. Uppgifterna får alltså jämföras med sådana i förväg bestämda profiler som kan ge anledning att kontrollera en viss person. En profil är i detta sammanhang en icke personanknuten företeelse och kan omfatta uppgifter om exempelvis avreseort, resrutt, betal- ningssätt, bokningsrutin, bagage m.m. Kriterierna kan användas för att leta efter mönster som kan indikera att en person är av intresse för vidare kontroller. Sådana kriterier ska vara riktade, proportionella och avgränsade och får inte grundas på känsliga personuppgifter.41 PNR-uppgifter ska bevaras från det att de kommit in och därefter förstöras. ska uppgifterna dock behörig- hetsbegränsas om de kan användas för att identifiera en person. Detta innebär att uppgifterna fortfarande finns kvar i databasen men är otillgängliga för en användare som saknar särskild behörighet till dem. Lagen innehåller också bestämmelser om när överföring av PNR- information ska ske från enheten för passagerarinformation till andra behöriga myndigheter, andra medlemsstater, Europol och tredjeland, samt bestämmelser om behöriga myndigheters behandling av mot- 2017/18:234 s. 145. tagen PNR-information, sanktionsavgifter, enskildas rättigheter och om tillsyn. Behöriga svenska myndigheter är , Säkerhets- polisen, , och Försvarsmakten.42 Lagen kompletteras med en förordning, förordning (2018:1181) om flygpassageraruppgifter i brottsbekämpningen. 423 § förordningen (2018:1181) om flygpassageraruppgifter i brottsbekämpningen. 10Förhållanden i vissa andra Schengenländer Enligt utredningens direktiv ingår i uppdraget att redogöra för rele- vanta förhållanden i ett urval av andra Schengenstater. Det anges vara av intresse både vilka åtgärder som myndigheterna i dessa stater för- fogar över och hur verksamheten bedrivs operativt. Utredningen har valt ut ett mindre antal länder att rikta sig mot i denna del. Dessa länder är , , , , och . Uppgifter har i första hand inhämtats genom att ett frågeunderlag har skickats via de svenska ambassaderna till ansvariga myndigheter i de utvalda länderna. Frågorna har främst varit inriktade på •vilka polisiära befogenheter myndigheterna i respektive land för- fogar över i sina gränsområden inom ramen för den brottsbekäm- pande verksamheten och för att kontrollera utlänningars vistelse- rätt, •om någon särskild reglering införts i gränsområden och hur denna i sådana fall ser ut och tillämpas, samt •om någon särskild teknik, t.ex. kamerabevakning, används i verk- samheterna. De svar utredningen har fått har varierat i omfattning. I ett fall () har några svar på frågeunderlaget inte gått att få alls med hänvisning till det pressade läget med anledning av covid-19-pandemin . Informationen i de svar som har kommit in har i vissa fall kompletterats med information från berörda myndig- heters hemsidor och information från ländernas rättsdatabaser m.m. Förhållanden i vissa andra Schengenländer Eftersom uppdraget även omfattade att redogöra för hur verksam- heten bedrivs operativt hade utredningen inledningsvis också som ambition att göra studiebesök i vissa av de utvalda länderna. Med an- ledning av den ovan nämnda pandemin införde dock flera länder, där- ibland , reserestriktioner och rekommendationer som inneburit att sådana besök inte har kunnat genomföras. Detta har medfört att viinte kunnat få någon närmare kunskap om hur verksamheten i de andra länderna i praktiken bedrivs operativt.