Yttrande Sida 1 (5) Rättsenheten Bitr. chefsjuristen Katarina Holmberg Ert Er beteckning Telefon 08-762 00 22 2007-11-28 Ju2007/9805/PO Justitiedepartementet 103 33 STOCKHOLM Remissyttrande över departementspromemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet (Ds 2007:43) Allmänt Information är ett av polisens viktigaste medel för att uppnå statsmakternas mål för brottsbekämpningen. De regler som finns på området bör utgöra en lämplig avvägning mellan polisens behov av information och enskildas rätt till skydd för sin personliga integritet. Jag har tidigare framfört att det är angeläget att en översyn görs av polisdatalagen och instämmer i bedömningen att en reform av bestämmelserna om polisens behandling av personuppgifter är nödvändig. I 1 kap. 1 i den föreslagna lagen om behandling av personuppgifter i polisens brottsbekämpande verksamhet anges att syftet med lagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter i polisens brottsbekämpande verksamhet. Lagen torde dock även ha till syfte att främja en rättssäker och effektiv brottsbekämpning samt att underlätta samverkan och informationsutbyte mellan de brottsbekämpande myndigheterna. Jag är tveksam till om den föreslagna lagen innebär ett så tydligt klargörande av polisens möjligheter att behandla personuppgifter som behövs för en effektiv men också rättssäker brottsbekämpning. Inför avlämnandet av detta yttrande har jag haft underhandskontakter med Åklagarmyndigheten och Rikspolisstyrelsen. I det följande redogör jag för de synpunkter jag har på förslagen med utgångspunkt från de frågor som är av särskilt intresse för Ekobrottsmyndigheten. Frågorna behandlas i den ordning de presenteras i promemorian. Personuppgiftsansvar I promemorian föreslås att Rikspolisstyrelsen och polismyndigheterna ska vara personuppgiftsansvariga för den behandling av personuppgifter som myndigheterna utför eller som det åligger myndigheterna att utföra. I promemorian uttalas att man skulle kunna överväga om Ekobrottsmyndigheten bör ha personuppgiftsansvar för den behandling av personuppgifter som sker i polisverksamheten här. Slutsatsen i promemorian blir dock att personuppgiftsansvaret, liksom i dag, bör utövas av Rikspolisstyrelsen. Jag delar inte den bedömningen. Postadress Gatuadress Telefon Telefax Box 820 Hantverkargatan 15 08-762 00 00 08-613 40 19 101 36 STOCKHOLM
Yttrande Sida 2 (5) Ekobrottsmyndigheten ansvarar enligt förordningen (2007:972) med instruktion för Ekobrottsmyndigheten för frågor om samordning och andra åtgärder mot den ekonomiska brottsligheten i den utsträckning som följer av förordningen, andra författningar eller regeringens beslut. Enligt 7 i förordningen tillkallar Rikspolisstyrelsen polismän från polismyndigheterna för verksamhet som bedrivs vid Ekobrottsmyndigheten. Ekobrottsmyndigheten leder den verksamhet som polismännen ska delta i vid myndigheten, med undantag för åtgärder i verksamheten som enligt lag eller annan författning endast får utföras av anställda inom Polisen. Ekobrottsmyndigheten och Rikspolisstyrelsen ska i samråd bestämma och fortlöpande utveckla formerna för samverkan mellan Ekobrottsmyndigheten och Polisen. I prop. 2002/03:144 s. 13 uttalade regeringen följande. Polisdatalagen gäller vid behandling av personuppgifter i polisens verksamhet. Ekobrottsmyndigheten är en åklagarmyndighet och inte en polismyndighet. Polisdatalagen omfattar därför inte Ekobrottsmyndighetens verksamhet. Den polisverksamhet som bedrivs vid myndigheten är en del av myndighetens samlade verksamhet. Inte heller denna del av verksamheten omfattas därför av polisdatalagen. I propositionen föreslogs således att polisdatalagen skulle gälla även vid behandling av personuppgifter i polisverksamhet vid Ekobrottsmyndigheten. Uttalandena i propositionen måste ses mot bakgrund av att man där framför allt diskuterade Ekobrottsmyndighetens uppgift att bedriva kriminalunderrättelseverksamhet. I det sammanhanget sades att personuppgiftsansvaret för behandlingen av uppgifterna skulle utövas av Rikspolisstyrelsen (prop. 2002/03:144 s. 17). Ändringen i polisdatalagen trädde i kraft den 1 januari 2004. Sedan de nya bestämmelserna trädde i kraft och kriminalunderrättelseverksamheten kommit i gång vid Ekobrottsmyndigheten har myndigheten tillämpat bestämmelserna i polisdatalagen. Rikspolisstyrelsen är personuppgiftsansvarig för personuppgifter som behandlas inom kriminalunderrättelseverksamheten och Ekobrottsmyndigheten har personuppgiftsansvaret för övrig personuppgiftsbehandling som utförs inom polisverksamheten vid Ekobrottsmyndigheten. Enligt min mening är det tveksamt om nuvarande ordning är ändamålsenlig. Ekobrottsmyndigheten leder den verksamhet som polismännen ska delta i vid myndigheten, med undantag för de begränsade åtgärder i verksamheten som enligt lag eller annan författning endast får utföras av anställda inom Polisen. Polisverksamheten, däribland kriminalunderrättelseverksamheten, är en del av Ekobrottsmyndighetens integrerade verksamhet och ingår i myndighetens samlade brottsbekämpning. Vid brottsutredningar som bedrivs inom Ekobrottsmyndigheten kan personuppgifter komma att behandlas av olika personer med olika yrkestillhörigheter. Förutom åklagare och poliser arbetar även ekorevisorer och analytiker, som är anställda vid myndigheten, med utredningarna. Det är viktigt att det nya regelsystemet blir tillämpligt på ett sätt som inte hindrar en effektiv arbetsfördelning. Detta talar för att Ekobrottsmyndigheten ska ha
Yttrande Sida 3 (5) personuppgiftsansvaret för den personuppgiftsbehandling som sker här. Det är knappast rimligt att Rikspolisstyrelsen ska ha personuppgiftsansvaret för en verksamhet som leds och styrs av Ekobrottsmyndigheten och för uppgifter som behandlas i Ekobrottsmyndighetens verksamhet. För skyddet för den enskildes personliga integritet är det viktigt att personuppgiftsansvaret hänger samman med verksamheten i övrigt. Tillgången till personuppgifter I 2 kap. 10 i den föreslagna lagen om behandling av personuppgifter i polisens brottsbekämpande verksamhet anges att tillgången till personuppgifter alltid ska begränsas till vad som var och en behöver för att kunna fullgöra sina arbetsuppgifter. I 4 framgår att en myndighet som har direktåtkomst till uppgifter enligt lagen ansvarar för att åtkomsten begränsas enligt 10. Att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter är en viktig, grundläggande princip. I promemorian anges dock inte hur begränsningen ska ske i praktiken. Det kommer att bli fråga om ett mycket stort antal olika behörigheter. Jag kan inte bedöma de tekniska förutsättningarna för att genomföra förslagen. Helt klart är dock att förslagen kommer att ställa betydande krav på en fungerande teknik för att begränsningarna ska kunna fungera i praktiken. Därtill kommer att behörighetsbegränsningen kommer att ställa stora krav på myndigheternas interna tillsyns- och kontrollverksamhet. Informationsutbyte mellan brottsbekämpande myndigheter Direktåtkomst för åklagare Jag är positiv till förslaget om direktåtkomst mellan de brottsbekämpande myndigheterna. Utbyte av information mellan myndigheterna är av stor betydelse för att brottsbekämpningen ska kunna bedrivas effektivt. När det gäller åklagares behov av direktåtkomst till underrättelseuppgifter delar jag i huvudsak den bedömning som görs i promemorian (s. 206 207 och 222 223). Frågan om åklagares möjlighet att ta del av kriminalunderrättelseinformation har stor principiell betydelse och kommer att aktualiseras även i andra sammanhang, såsom i Insynsutredningens arbete (Dir. 2007:120) och i den utredning som kommer behandla vissa polisiära arbetsmetoder (Dir. 2007:185). Jag kan inte se att de förslag som nu läggs fram utgör något hinder för det fortsatta arbetet i frågan. Direktåtkomst till penningtvättsregistret I promemorian görs bedömningen att det inte bör vara möjligt att medge direktåtkomst till uppgifter i penningtvättsregister. Enligt 9 lagen (1993:768) om åtgärder mot penningtvätt (penningtvättslagen) ska de fysiska och juridiska personer som omfattas av lagen, bl.a. den som driver bankeller finansieringsrörelse, granska alla transaktioner som skäligen kan antas utgöra penningtvätt. De ska därvid lämna uppgifter till Finanspolisen om alla
Yttrande Sida 4 (5) omständigheter som kan tyda på penningtvätt. Sedan sådana uppgifter har lämnats ska den fysiska eller juridiska personen på begäran av Finanspolisen lämna de ytterligare uppgifter som behövs för utredningen om penningtvätt. Den som är anmälningspliktig enligt penningtvättslagen är även skyldig att granska alla transaktioner som skäligen kan antas avse tillgångar som är föremål för brott enligt lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, m.m. (terrorismfinansieringslagen). Även i dessa fall ska uppgifter lämnas till Finanspolisen om alla omständigheter som kan tyda på att en transaktion avser tillgångar som är föremål för brott enligt lagen. När Finanspolisen tar emot en uppgift är det, såsom sägs i promemorian (s. 289), inte klarlagt om den transaktion som uppgiften avser överhuvudtaget utgör brott eller brottslig verksamhet. Av promemorian framgår också att det ibland kan krävas omfattande bearbetning av de anmälda uppgifterna innan transaktionerna kan knytas till brott eller brottslig verksamhet. Det innebär enligt min mening att det arbete som utförs av Finanspolisen motsvarar det arbete som bedrivs inom kriminalunderrättelseverksamheten vid polisen och andra myndigheter. Detta arbete får i stor utsträckning ut på att bearbeta uppgifter som i inledningsskedet inte kan knytas till ett visst brott eller brottslig verksamhet. De uppgifter som lämnas till Finanspolisen och bearbetas där torde därför inte skilja sig nämnvärt från de personuppgifter som behandlas inom ramen för kriminalunderrättelseverksamheten i övrigt. De flesta anmälningar enligt penningtvättslagen som kommer in till Finanspolisen och som leder till en anmälan om brott, handläggs vid Ekobrottsmyndigheten. I många fall krävs ett nära samarbete mellan Finanspolisen och Ekobrottsmyndighetens kriminalunderrättelseverksamhet för att den information som lämnas i en anmälan ska kunna bearbetas och analyseras. Att myndigheterna saknar direktåtkomst till varandras databaser skapar emellertid problem. Vid Ekobrottsmyndigheten har man löst frågan genom att utse en särskild kontaktperson som har regelbundna möten med Finanspolisen. Förutsättningarna för en effektiv brottsbekämpning skulle förbättras betydligt om de myndigheter som bedriver kriminalunderrättelseverksamhet medgavs direktåkomst till Finanspolisens register. Såsom konstateras i promemorian har de brottsbekämpande myndigheterna ofta ett påtagligt behov av att få direktåtkomst till den information som andra brottsbekämpande myndigheter behandlar. För att samverkan mellan myndigheterna ska kunna fungera tillfredsställande bör enligt min mening samtliga myndigheter som bedriver kriminalunderrättelseverksamhet på det sätt som anges i promemorian ha direktåtkomst till varandras register. Lagförslagen innebär att Finanspolisen kan få direktåtkomst till de uppgifter som behandlas vid Ekobrottsmyndigheten och andra polismyndigheter. På motsvarande sätt bör Ekobrottsmyndigheten och övriga polismyndigheter få tillgång till uppgifterna i Finanspolisens penningtvättregister. Avgränsning av direktåtkomsten till polisens uppgifter I promemorian föreslås att en förutsättning för att direktåtkomst ska medges bör vara att den myndighet som beslutar om sådan åtkomst försäkrar sig om att den
Yttrande Sida 5 (5) mottagande myndigheten har en acceptabel säkerhetsnivå, exempelvis vad gäller system för utlämnande av behörighet, tillsyn och för loggning av transaktioner. En sådan ordning skulle innebära att en myndighet åläggs en kontrollskyldighet gentemot en annan som påminner om en tillsynsroll. Myndigheterna har knappast möjlighet eller resurser att göra sådana kontroller hos andra myndigheter. Man kan vidare ifrågasätta vad som skulle hända om en myndighet vägrade en annan direktåtkomst. Ska det finnas möjlighet att överklaga ett sådant beslut? En skyldighet att kontrollera om de myndigheter som det är fråga om uppfyller kraven på en acceptabel säkerhetsnivå bör i stället ligga på en och samma myndighet, t.ex. Datainspektionen. Gallring av uppgifter Bestämmelserna om behandling av uppgifter i brottsanmälningar och avslutade förundersökningar samt om gallring är komplicerade och svårtillgängliga. Jag kan bara konstatera att bestämmelserna kommer att ställa stora krav på den tillsyn som krävs för att kontrollera att bestämmelserna följs och de tekniska system som krävs för att man ska kunna hitta de uppgifter som ska gallras. Ikraftträdande och övergångsbestämmelser Ikraftträdande och övergångsbestämmelserna bör utformas med beaktande av det arbete som pågår inom RIF-samarbetet, som kommer att medföra nya tekniska lösningar. I detta ärende har generaldirektören Gudrun Antemar beslutat. Biträdande chefsjuristen Katarina Holmberg har varit föredragande. Gudrun Antemar Katarina Holmberg Kopia för kännedom till: Justitiedepartementet, åklagarenheten Åklagarmyndigheten Rikspolisstyrelsen