sou · H9B320 · 2022-01-01 00:00:00 — Vi ska enligt kommittédirektiven bevaka arbetet med eventuella ändringar i förordningen om Ecris-TCN och, om sådana ändringar beslutas eller kan förutses, analysera vilka författningsändringar som kan behöva göras för att tillgodose de ändrade kraven och lämna nödvändiga författningsförslag. Enligt kommittédirektiven har vi möjlighet att ta upp och lämna förslag i näraliggande frågor som aktualiseras under utredningsupp- draget, men som inte direkt rör anpassningen till förordningen om Ecris-TCN eller genomförandet av ändringsdirektivet. Vi påbörjade arbetet . Arbetet har därefter bedrivits i nära samarbete med sakkunnig och experter. har vi haft åtta utredningssammanträden. Utredaren och sekreteraren har haft möten med företrädare för , Kriminalvården och Säkerhets- polisen. Vidare har vi inhämtat uppgifter från Nationellt forensiskt centrum (NFC) inom samt från , , och Myndigheten för digital förvalt- ning. I våra kommittédirektiv anges att utredningen ska bevaka arbetet med eventuella ändringar i förordningen om Ecris-TCN och lämna författningsförslag med anledning av eventuella ändringar. Utredningens uppdrag och arbete tiven lyfter i detta sammanhang särskilt fram pågående förhandlingar inom EU angående s.k. flaggning i Ecris-TCN. Vi har under utred- ningstiden fått upplysning om att det EU-rättsliga arbetet som rör sådan flaggning inte har kommit tillräckligt långt för att utredningen ska kunna behandla dessa frågor. Vi har i uppdrag att lämna förslag som syftar till ett stärkt informa- tionsutbyte mellan EU:s medlemsstater såvitt avser fällande domar mot tredjelandsmedborgare. Det aktualiserar frågeställningar som berör flera rättsområden. I detta kapitel redogör vi därför översiktligt för vissa rättsliga utgångspunkter och ramar för vårt arbete, nämligen den reglering som gäller till skydd för den personliga integriteten (avsnitt 3.2), EU:s dataskyddsreform och gällande dataskyddsregler- ing (avsnitt 3.3), lagen om belastningsregister (avsnitt 3.4) och vissa sekretessbestämmelser (avsnitt 3.5). 3.2Reglering till skydd för personlig integritet I 1 kap. 2 § regeringsformen anges särskilt viktiga principer för sam- hällelig verksamhet. Enligt paragrafens fjärde stycke ska det allmänna värna den enskildes privatliv och familjeliv. Stadgandet är inte rättsligt förpliktande. Bestämmelserna i 2 kap. om de grundläggande fri- och rättig- heterna är däremot rättsligt bindande. I 6 § stadgas att var och en gentemot det allmänna är skyddad mot påtvingat kroppsligt ingrepp (första stycket). Med påtvingat kroppsligt ingrepp avses t.ex. finger- avtryck som tas under en förundersökning av den som är brotts- misstänkt. Dessutom föreskriver 2 kap. 6 § att var och en gentemot det all- männa är skyddad mot betydande intrång i den personliga integri- teten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (andra stycket). Detta stadgande tillkom i samband med grundlagsreform och syftade till att stärka skyddet för den personliga integriteten. Integritetsskyddet i 2 kap. 6 § omfattar information om person- liga förhållanden såsom t.ex. namn, andra personliga identifikations- uppgifter, fotografisk bild eller vandel. Avgörande för bedömningen av om en åtgärd ska anses innebära övervakning eller kartläggning i bestämmelsens mening är inte dess huvudsakliga syfte, utan vilken effekt som åtgärden har. Som exempel innebär en registrering av per- sonuppgifter i belastningsregister en kartlägg- ning av alla som har dömts eller på annat sätt lagförts för brott, även om registrets uttalade ändamål är att ge information åt olika myndig- heter om lagföringar och andra belastningsuppgifter som behövs för att utreda brott och bestämma straff samt göra lämplighets- och till- ståndsprövning av olika slag. På liknande sätt förhåller det sig med flera andra register som används i den brottsbekämpande verksam- heten, bl.a. fingeravtrycksregister. Vad som ut- gör ett betydande intrång i den personliga integriteten får bedömas utifrån åtgärdens intensitet eller omfattning samt uppgifternas integ- ritetskänsliga natur. 2009/10:80 s. 177 ff. och 250.) Av 2 kap. 20 och 21 §§ följer att skyddet mot påtvingat kroppsligt ingrepp och skyddet mot övervakning eller kartläggning av den en- skildes personliga förhållanden får begränsas under vissa förutsätt- ningar. En sådan begränsning får endast göras genom lag och endast för att tillgodose ändamål som är godtagbara i ett demokratiskt sam- hälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Inte heller får begränsningen göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskåd- ning. För andra än svenska medborgare får skyddet begränsas genom lag utan de särskilda krav som följer av 2 kap. 21 § (2 kap. 25 § första stycket 3). 3.2.2FN:s allmänna förklaring om de mänskliga rättigheterna Internationellt arbete för mänskliga rättigheter grundar sig på FN:s allmänna förklaring om de mänskliga rättigheterna . Den anger bl.a. att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och att var och en har rätt till lagens skydd mot sådana ingripanden och angrepp (artikel 12). Inskränkningar i rättigheter och friheter får endast göras genom lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett demokra- tiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd (artikel 29). Rättigheterna i FN:s allmänna förklaring om de mänskliga rättig- heterna har sedan den antogs förts in i och vidareutvecklats i ett antal konventioner som är bindande för de anslutna staterna, däribland . Innehållet i artikel 12 i förklaringen återfinns i artikel 17 om medborgerliga och politiska rättigheter. gäller som svensk lag.1 Enligt arti- kel 8 i konventionen har var och en rätt till sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i denna rättighet får endast göras med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säker- heten, landets ekonomiska välstånd eller till förebyggande av oord- ning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Registrering och behandling av personuppgifter, som t.ex. finger- avtryck eller uppgifter om tidigare brottslighet, kan beröra rätten till respekt för privatlivet. Förslag som innebär sådan registrering och behandling måste därför vara förenliga med artikel 8. skydd för den personliga integriteten har vidareutvecklats i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108). är folkrättsligt bunden av konventionen, vilken 1Lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna. innehåller bestämmelser som ger uttryck för en rad grundläggande principer om dataskydd. Den kompletteras av ett antal rekommen- dationer som har antagits av om hur personuppgifter bör behandlas inom olika områden. Konventionen har genomgått en översyn, men ändringsprotokollet till konventionen (CETS 223) har ännu inte trätt i kraft. Ändringarna har skett med beaktande av EU:s dataskyddsförordning (se vidare avsnitt 3.3.2). Medlemsstaterna i EU är bundna av EU:s stadga om de grundläggande rättigheterna. Inom ramen för fördragens tillämp- ningsområde har stadgan företräde framför föreskrifter i den natio- nella rättsordningen. I stadgan föreskrivs att var och en har rätt till fysisk och mental integritet (artikel 3.1), respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer (artikel 7) samt skydd av de personuppgifter som rör honom eller henne (artikel 8.1). Be- gränsningar i utövandet av de rättigheter som erkänns i stadgan ska vara föreskrivna i lag och förenliga med det väsentliga innehållet i rättigheterna. Med beaktande av proportionalitetsprincipen får be- gränsningar göras endast om de är nödvändiga och svarar mot ett allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. (Artikel 52.1.) gäller som svensk lag.2 Inkorporeringen av innebär att barnets roll som rättssubjekt med egna specifika rättigheter har tydliggjorts. Enligt ska barnets bästa alltid beaktas vid åtgärder som rör barn (artikel 3). Vidare får barn inte utsättas för godtyckliga eller olagliga ingripanden i sitt privatliv (artikel 16). Barn som miss- tänks eller åtalas för eller som befunnits skyldigt att ha begått brott ska behandlas på ett sätt som främjar barnets känsla av värdighet och värde. Barnets privatliv ska respekteras till fullo under alla stadier i förfarandet. (Artikel 40.) 2Lagen (2018:1197) om konvention om barnets rättigheter. Inom EU genomfördes en genomgripande dataskydds- reform. Denna omfattade dels en allmän dataskyddsförordning3, dels ett dataskyddsdirektiv4 vilket gäller dataskyddet vid brottsbe- kämpning, lagföring, straffverkställighet och upprätthållande av all- män ordning och säkerhet. Den svenska lagstiftningen om person- uppgiftsbehandling har gåtts igenom i samband med dataskydds- reformen och anpassats till den EU-rättsliga regleringen. Förord- ningen, vilken är direkt tillämplig, innefattar en ny generell reglering för behandling av personuppgifter inom EU. Den ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av person- uppgifter som ingår i eller kommer att ingå i ett register. I dataskyddsförordningen fastställs principer för behandling av personuppgifter och den registrerades rättigheter. Vidare finns be- stämmelser om bl.a. personuppgiftsansvar, överföring av person- uppgifter till tredjeländer eller internationella organisationer, tillsyn, tillgång till rättsmedel och sanktioner. Förordningen ska inte tillämpas på personuppgiftsbehandling som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, i vilket även ingår att skydda mot samt förebygga och för- hindra hot mot den allmänna säkerheten. Sådan personuppgiftsbe- handling omfattas i stället av dataskyddsdirektivet, se avsnitt 3.3.4. 3Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 4Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Dataskyddsförordningen innehåller ett flertal bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestäm- melser av olika slag. För del finns sådana bestämmelser i lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) med tillhörande förordning (2018:219). Detta inhemska regelverk förtydligar under vilka förut- sättningar som personuppgifter får behandlas med stöd av dataskydds- förordningen. Dataskyddslagen är subsidiär i förhållande till annan lag eller för- ordning som innehåller någon bestämmelse som avviker från data- skyddslagen. Avvikande bestämmelser i de s.k. registerförfattning- arna, dvs. de författningar som reglerar särskilda myndigheters be- handling av personuppgifter, har därför företräde framför dataskydds- lagen. Vad gäller myndighet som direkt berörs av detta betänkande finns sådana bestämmelser i kriminalvårdsdatalagen (2018:1235) med tillhörande förordning (2018:1236). Denna reglering gäller Kriminal- vårdens personuppgiftsbehandling vid verkställighet av frihetsberövan- den och genomförande av transporter i de fall brottsdatalagen (2018:1177) inte är tillämplig, t.ex. vid frihetsberövanden och trans- porter på annan grund än misstanke om brott eller straffverkställighet (1 § kriminalvårdsdatalagen och prop. 2017/18:248 s. 34). Dataskyddsdirektivet antogs som en del i EU:s dataskyddsreform 2016 och skulle vara genomfört . Direktivet lägger huvudsakligen fast särskilda regler om skydd för fysiska per- soners personuppgifter i myndigheters verksamheter för brottsbe- kämpning, lagföring och straffverkställighet. Liksom dataskyddsför- ordningen tillämpas direktivet på behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt på annan be- handling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Syftet med direktivet är såväl att skydda fysiska personers grund- läggande rättigheter och friheter (särskilt rätt till skydd av person- uppgifter) som att säkerställa att nödvändigt utbyte av person- uppgifter inte begränsas eller förbjuds av hänsyn till skyddet för fysiska personer mot behandling av personuppgifter. I detta syfte slår direktivet slår fast principer för behandling av personuppgifter och de registrerades rättigheter. Där finns också bestämmelser om personuppgiftsansvar, överföring av personuppgifter, tillsyn, sam- arbete, rättsmedel och sanktioner. Direktivet är ett s.k. minimidirektiv. Medlemsstaterna kan alltså införa starkare skyddsåtgärder än vad direktivet fastställer i fråga om skyddet av den registrerades rättigheter och friheter. 3.3.5Brottsdatalagen och berörda registerförfattningar Dataskyddsdirektivet har huvudsakligen genomförts i svensk rätt genom brottsdatalagen (2018:1177). Syftet med lagen är att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Brottsdatalagen gäller vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätt- hålla allmän ordning och säkerhet. De myndigheter som har sådana arbetsuppgifter är behöriga myndigheter i brottsdatalagens mening när myndigheten behandlar personuppgifter för dessa angivna syften. Även andra aktörer än myndigheter kan anses som behöriga myn- digheter om de har anförtrotts myndighetsutövning inom dessa områden. Om myndigheterna behandlar personuppgifter för annat än de angivna syftena omfattas förfarandet inte av brottsdatalagen, utan av dataskyddsförordningen. Brottsdatalagen innehåller grundläggande krav på behandling av personuppgifter, liksom bestämmelser om skyldigheter för person- uppgiftsansvariga, enskildas rättigheter, tillsyn, sanktionsavgifter, skadestånd, rättsmedel samt överföring av personuppgifter till tredje- land och internationella organisationer. I brottsdataförordningen (2018:1202) finns kompletterande bestämmelser till brottdatalagen. De myndigheter som ska tillämpa brottsdatalagen har särskilda registerförfattningar som reglerar deras personuppgiftsbehandling. finns sådana bestämmelser i lagen (2018:1693) om polisens behandling av personuppgifter inom brotts- datalagens område med tillhörande förordning (2018:1942), för och i lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brotts- datalagens område med tillhörande förordning (2018:1738), för domstolarna i lagen (2018:1698) om domstolarnas behandling av per- sonuppgifter inom brottsdatalagens område med tillhörande förord- ning (2018:1741) och för Kriminalvården i lagen (2018:1699) om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område med tillhörande förordning (2018:1746). Dessa registerförfatt- ningar gäller utöver brottsdatalagen och innehåller bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen.5 Brotts- datalagen är alltså subsidiär i förhållande till dessa författningar. För Säkerhetspolisen finns särskilda bestämmelser i lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter med tillhörande förordning (2019:1235). Lagen gäller behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Den gäller även vid behandling av personuppgifter när myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen. Till skillnad från de ovan nämnda registerförfattning- arna gäller Säkerhetspolisens registerlag inte utöver brottsdatalagen. 5För , och finns registerförfattningar i lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område med till- hörande förordning (2018:1943), lagen (2018:1696) om behandling av person- uppgifter inom brottsdatalagens område med tillhörande förordning (2018:1877) respektive lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens om- råde med tillhörande förordning (2018:1876). Uppgifter om den som har dömts eller annars lagförts för brott finns i belastningsregistret som förs av . Bestämmelser om belastningsregistret finns i lagen (1998:620) om belastningsregister med tillhörande förordning (1999:1134). De bestämmelser som återfinns i dessa författningar är i allt väsentligt av dataskyddskaraktär och reglerar bl.a. belastningsregistrets innehåll och ändamål. Författningarna tillkom som en del av en större reform av polisens register 1998 och som, förutom annat, innebar att det tidi- gare person- och belastningsregistret ersattes av ett belastnings- register och misstankeregister i syfte att hålla uppgifter om påföljder och uppgifter om misstankar om brott åtskilda (se prop. 1997/98:97). Vid behandling av uppgifter i belastningsregistret inom data- skyddsdirektivets tillämpningsområde gäller lagen om belastnings- register utöver brottsdatalagen. Lagen (2018:1693) om polisens be- handling av personuppgifter inom brottsdatalagens område är i dessa fall inte tillämplig på behandling, se 1 kap. 2 § 2 i denna lag. Uppgifter i belastningsregistret behandlas dock även i syften som inte omfattas av brottsdatalagens tillämpningsområde. Det kan t.ex. avse behandlingar i belastningsregistret i syfte att ge underlag för olika tillstånds- och lämplighetsprövningar. I dessa fall kompletterar lagen om belastningsregister den reglering som finns i dataskyddsför- ordningen och dataskyddslagen, se 1 b § lagen om belastningsregister. Vad gäller sekretess för uppgifter i belastningsregistret, se av- snitt 3.5.1. Enligt 3 § lagen om belastningsregister innehåller registret uppgifter om den som genom dom, beslut, strafföreläggande eller föreläg- gande om ordningsbot har ålagts påföljd för brott (p. 1), ålagts för- vandlingsstraff för böter (p. 2), fått påföljdseftergift vid allvarlig psykisk störning (p. 3), meddelats åtalsunderlåtelse (p. 4) eller med- delats vissa kontaktförbud eller tillträdesförbud (p. Registret innehåller även i vissa fall uppgifter om domar och be- slut som har meddelats i utlandet. Det avser dels uppgifter från en myndighet i en stat som tillhör , från eller från Europol om uppgiften avser en svensk medborgare eller någon som har hemvist i (4 § 1), dels uppgifter som lämnas från en stat enligt en överenskommelse mellan och den staten (4 § 2). En förutsättning för att uppgifter av dessa slag ska föras in i belastnings- registret är att uppgifterna motsvarar domar eller beslut enligt 3 §. Särskilda regler gäller för uppgifter i domar eller beslut som har meddelats i en annan medlemsstat inom EU och som har överförts till i enlighet med rambeslutet om Ecris6. Sådana uppgifter ska enligt lagen om belastningsregister föras in i belastningsregistret (4 a §). Detta innebär att även uppgifter om gärningar som inte mot- svarar brott enligt svensk lag eller som har begåtts av någon ska föras in i registret. Sådana uppgifter ska emellertid inte lämnas ut till svenska myndigheter i andra fall än då det behövs för tillsyn över personuppgiftsbehandling enligt lagen om belastningsregister (6 §). I 2–9 §§ förordningen om belastningsregister finns närmare be- stämmelser om vilka uppgifter som belastningsregistret ska innehålla. får föras endast för vissa specifika ändamål, vilka anges i 2 § lagen om belastningsregister. Ett övergripande ändamål med registret är att olika myndigheter, särskilt brottsbekämpande och rättsvårdande myndigheter, ska kunna få tillgång till sådana uppgifter som behövs i verksamheten. Registret ska därför föras för att ge information om sådana belastningsuppgifter som behövs i verksamhet hos , , , och för att förebygga, för- hindra eller upptäcka brottslig verksamhet och utreda brott (2 § första stycket 1). Registret ska också föras för verksamhet hos åklagar- myndigheter för beslut om förundersökning och åtal samt för ut- färdande av strafföreläggande (2 § första stycket 2) och hos de all- männa domstolarna för straffmätning och val av påföljd (2 § första 6Rådets rambeslut /315/RIF av om organisationen av medlemsstat- ernas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll. stycket 3). Likaså ska registret föras för att ge information åt Polis- myndigheten och andra myndigheter vid sådan lämplighetsprövning, tillståndsprövning eller annan prövning som anges i författning (2 § första stycket 4). Registret får också användas för att till en enskild lämna uppgifter som är av särskild betydelse i hans eller hennes verk- samhet (2 § andra stycket). Även om det inte framgår av ändamålsbestämmelsen får uppgifter i registret användas för historiska, statistiska eller vetenskapliga ända- mål (jfr artikel 5.1 i dataskyddsförordningen och prop. 1997/98:97 s. 159). 3.4.4Utlämnande av uppgifter ur belastningsregistret Lagen om belastningsregister innehåller också bestämmelser om rätten att få uppgifter från registret (6–15 §§). Dessa bestämmelser möjliggör att uppgifter lämnas ut från registret, som annars omfattas av absolut sekretess (se avsnitt 3.5.1). I 6 § lagen om belastningsregister regleras vilka myndigheter som har rätt att få ut uppgifter ur belastningsregistret. Det handlar om myndigheter som behöver uppgifterna för sin tillsynsverksamhet, t.ex. ombudsmän och Justitiekanslern, men också för sin brottsbekämpande, lagförande och dömande verksamhet, t.ex. dom- stolar och åklagarmyndigheter. Det handlar också om förvaltnings- domstolar som behöver uppgifterna för vissa prövningar. Härutöver får uppgifter ur registret även lämnas till andra myndigheter än för vilkas räkning registret främst förs, dock endast i den utsträckning som regeringen föreskriver det för vissa slag av ärenden. Regeringen har meddelat sådana bestämmelser i förordningen om belastningsregister (10–18 §§). För myndigheter som har rätt att få ut uppgifter ur belastnings- registret gäller en behovs- och proportionalitetsprincip (7 § lagen om belastningsregister). Den innebär att myndigheten i varje enskilt fall noga ska pröva behovet av information i förhållande till den olägenhet det innebär den registrerade att uppgifter lämnas ut. Be- stämmelsen infördes av hänsyn till den dömdes möjlighet till rehabi- litering och vikten av att uppgifter om hans eller hennes brottslighet inte kommer fram om det inte är absolut nödvändigt (prop. 1997/98:97 s. 83 och 160). Vissa myndigheter får ha direktåtkomst till registret (6 § andra stycket lagen om belastningsregister samt 19 och 20 §§ förordningen om belastningsregister). I9–10 §§ lagen om belastningsregister finns bestämmelser om ut- lämnande av uppgifter ur belastningsregistret till enskild.