Prop. 2014/15:94
78
övervägas om det även finns behov av en ny sekretessbrytande bestäm-melse för internationella förhållanden som motsvarar 2 kap. 15 § polis-datalagen.
En utgångspunkt i offentlighets- och sekretesslagen är att en uppgift som omfattas av sekretess inte får röjas för en utländsk myndighet. Enligt 8 kap. 3 § offentlighets- och sekretesslagen får en sekretesskyddad upp-gift röjas för en utländsk myndighet eller en mellanfolklig organisation i två situationer. Den ena är när utlämnandet grundar sig på en särskild föreskrift i lag eller förordning. Den andra är när uppgiften i motsvarande fall skulle få lämnas till en svensk myndighet och det enligt den utläm-nande myndigheten står klart att det är förenligt med svenska intressen att uppgiften lämnas.
I 10 kap. 2 § offentlighets- och sekretesslagen föreskrivs att sekretess inte hindrar att en uppgift lämnas ut om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin egen verksamhet. Enligt förarbetena är denna bestämmelse avsedd att tillämpas restriktivt, men inom polisens brottsbekämpande verksamhet är det i ganska stor ut-sträckning nödvändigt att lämna ut sekretessbelagda uppgifter med stöd av den bestämmelsen, exempelvis i det internationella samarbetet (se prop. 2009/10:85 s. 199). Det gäller i lika stor utsträckning den foren-siska verksamheten i myndigheten. En prövning får alltid göras i det enskilda fallet om det skulle komma i fråga att i den forensiska verksam-heten lämna sekretessbelagda uppgifter till utlandet för att möta behov hos en utländsk aktör. Regeringen kan i dag inte se något behov av att införa en sekretessbrytande bestämmelse för uppgiftsutbyte i internatio-nella förhållanden.
4.13 Behandling av uppgifter vid externa uppdrag
Regeringens bedömning: Behandlingen av personuppgifter i foren-sisk uppdragsverksamhet bör regleras, men det behöver inte göras i lag.
Departementspromemorians bedömning överensstämmer med rege-ringens.
Remissinstanserna: De flesta av remissinstanserna har inte någon in-vändning mot departementspromemorians bedömning. Datainspektionen delar promemorians bedömning att behandlingen av personuppgifter i den forensiska uppdragsverksamheten bör regleras särskilt, men fram-håller att om avsikten är att behandla personuppgifter från olika verk-samheter i samma databas bör det krävas en märkning i syfte att tydlig-göra vilka uppgifter som hör till respektive verksamhetsområde. Sveriges advokatsamfund är negativt till departementspromemorians bedömning och framför att avvikelser från personuppgiftslagens regler inte får göras genom myndighetsföreskrifter utan måste finnas i lag.
79 Prop. 2014/15:94 Skälen för regeringens bedömning
En särskild reglering behövs
Som tidigare nämnts åtar sig Nationellt forensiskt centrum vissa externa uppdrag (se avsnitt 4.2.8). Centrumet kan, i mån av tid, utföra undersök-ningar på uppdrag av myndigheter utanför rättsväsendet eller enskilda företag eller personer. Det framgår av 11 § tredje stycket förordningen (2014:1102) med instruktion för Polismyndigheten. Dessa uppdrag omfattas inte av den nu föreslagna regleringen, eftersom uppdragsgivaren anlitar centrumet på civilrättslig grund. Stödet för att behandla person-uppgifter bygger i stället på ett avtal eller en överenskommelse mellan uppdragsgivaren och Nationellt forensiskt centrum. I dag regleras be-handlingen av personuppgifter i uppdragsverksamheten i personuppgifts-lagen (1998:204).
En generell utgångspunkt i personuppgiftslagen är att det krävs an-tingen samtycke för behandling av personuppgifter eller att behandlingen är nödvändig för vissa andra ändamål som räknas upp uttömmande i 10 § lagen. Dit hör bl.a. att behandlingen är nödvändig för att fullgöra ett avtal med den registrerade. Ska personnummer behandlas krävs dessutom att kraven i 22 § är uppfyllda. Eftersom den som begär undersökningen och är avtalspart inte alltid är den som personuppgifterna rör, är det dock tveksamt om det författningsstöd som finns i personuppgiftslagen är tillräckligt för behandlingen av sådana personuppgifter. I vissa av dessa uppdrag utförs behandlingen manuellt och den faller därmed utanför personuppgiftslagens tillämpningsområde. Vid vissa uppdrag behandlas dock personuppgifter helt och eller delvis automatiserat.
Uppdragen kommer från dels myndigheter som inte är brottsbekäm-pande, dels enskilda. Uppdragen från enskilda kan t.ex. röra att någon vill ha ett testamente eller någon annan handling undersökt för att even-tuellt kunna använda utlåtandet i en rättslig process. Det kan även vara fråga om ett försäkringsbolag som vill ha ett utlåtande med anledning av en försäkringstvist eller en advokat som vill ha ett dokument granskat i syfte att klarlägga om det skulle gynna hans klient att åberopa det. För att Nationellt forensiskt centrum ska kunna fullgöra sin uppdragsverksamhet måste man ha möjlighet att behandla både de personuppgifter som upp-dragsgivaren förmedlar och de uppgifter i övrigt som krävs för att full-göra uppdraget, t.ex. uppgifter om handläggande personal.
Centrumet bör således ges rätt att i uppdragsverksamheten behandla uppgifter om även andra personer än uppdragsgivaren, vilket innebär att personuppgiftslagens reglering inte är ändamålsenlig. Det krävs därför en särskild reglering. Regeringen föreslår, som framgått tidigare, att be-handlingen av personuppgifter i den forensiska verksamheten för rättsvä-sendets behov ska regleras i polisdatalagen. Därmed kommer den del av den nuvarande uppdragsverksamheten som är mest integritetskänslig – uppdragen för Tullverket, Kustbevakningen och Skatteverket – att lag-regleras. Det gäller även uppdrag som utförs i brottsbekämpande syfte åt utländska myndigheter, mellanfolkliga organisationer eller EU-organ.
Behandlingen av personuppgifter i uppdragsverksamhet för andra upp-dragsgivare – eller för andra syften än brottsbekämpning – bör emellertid inte regleras i polisdatalagen, eftersom den är inriktad på brottsbekäm-pande verksamhet.
Prop. 2014/15:94
80
Eftersom uppdragsverksamheten är mycket begränsad, rör få personer och i liten utsträckning sköts automatiserat, behöver behandlingen av personuppgifter inte regleras i lag utan kan meddelas på lägre föreskrifts-nivå (se 2 § personuppgiftslagen). Lagreglering är alltså inte nödvändig, vilket Sveriges advokatsamfund utgår från.
Med hänsyn till att uppdragsverksamheten även i framtiden sannolikt kommer att vara begränsad och att uppdragen kan variera både till inne-håll och över tid anser regeringen att en reglering i förordning är den bästa lösningen. Skulle det senare visa sig att det krävs en mer omfat-tande reglering kan man då överväga vilken författningsform som är den mest ändamålsenliga.
Vad behöver regleras?
Det som är viktigt att reglera när det gäller behandlingen av personupp-gifter i Nationellt forensiskt centrums uppdragsverksamhet är i vilken utsträckning uppgifterna får behandlas och hur uppgifterna får användas.
Sådan behandling som krävs enligt lag eller förordning måste exempelvis vara möjlig. Det kan också behövas regler som av integritetsskäl begrän-sar behandlingen, t.ex. regler om tillgången till personuppgifter.
En annan viktig fråga är sekretessen. Enligt 31 kap. 12 § offentlighets- och sekretesslagen (2009:400) gäller sekretess för uppgift som avser bl.a.
provning, bestämning av egenskaper eller myckenhet eller vetenskaplig eller teknisk undersökning eller annat sådant uppdrag som en myndighet utför för en enskilds räkning, om det måste antas att uppdraget har läm-nats under förutsättning att uppgiften inte röjs. För uppgift i en allmän handling gäller sekretessen i högst 20 år. Denna sekretessbestämmelse är tillämplig i Nationellt forensiskt centrums uppdragsverksamhet. Något behov av någon ytterligare sekretessbestämmelse finns inte.
Den särskilda sekretess som gäller i uppdragsverksamheten innebär att denna verksamhet är att anse som en särskild verksamhetsgren i sekre-tesshänseende och att det därför råder sekretess mellan uppdragsverk-samheten och övrig verksamhet i Polismyndigheten, under förutsättning att verksamheterna också hålls organisatoriskt åtskilda (se prop.
2008/09:150 s. 356 f.). Regeringen återkommer till det.
För att undvika sammanblandning mellan uppgifter som behandlas i olika syften kan det också vara lämpligt, som Datainspektionen fram-håller, att de uppgifter som behandlas i uppdragsverksamheten kan sär-skiljas genom märkning eller på annat sätt, t.ex. kodning i ärendehan-teringssystem.
Rapporteringsskyldighet
En särskild fråga i sammanhanget är vilka förpliktelser den som arbetar med forensiska uppgifter i Polismyndigheten har att rapportera eller an-mäla brott som han eller hon får kännedom om. Som exempel kan näm-nas att ett företag som ägnar sig åt valutaväxling ber Nationellt forensiskt centrum undersöka om vissa sedlar är äkta eller att en privat uppdragsgi-vare lämnar in ett dokument för undersökning och det visar sig vara en förfalskning. När det gäller uppdragsverksamheten vid Nationellt foren-siskt centrum kan alltså frågan om hur man ska hantera kunskap om att
81 Prop. 2014/15:94 ett brott kan ha begåtts uppstå. Frågan har inte tagits upp i
departements-promemorian och inte heller av remissinstanserna.
Enligt 9 § polislagen (1984:387) ska varje polisman som får kännedom om ett brott rapportera brottet till närmaste förman, utom i de fall där brottet med hänsyn till omständigheterna i det särskilda fallet är obetyd-ligt och det är uppenbart att brottet inte skulle föranleda någon annan påföljd än böter. Någon motsvarande rapporteringsskyldighet har inte andra anställda vid Polismyndigheten. Eftersom även polismän arbetar vid Nationellt forensiskt centrum efter omorganisationen genom att flera av polisregionernas laboratorier ingår i centrumet aktualiseras frågan om rapporteringsskyldigheten.
En möjlig lösning skulle kunna vara att i 9 § polislagen uttryckligen ange att rapporteringsskyldigheten inte omfattar uppgifter från Nationellt forensiskt centrums uppdragsverksamhet, dvs. att undanta polismän som tillhör Nationellt forensiskt centrum från rapporteringsskyldigheten när de utför uppdragsverksamhet. Något sådant förslag har dock inte pre-senterats och det finns därför inget beredningsunderlag. Eftersom upp-dragsverksamheten är mycket begränsad ser regeringen inte heller något direkt behov av en sådan ändring.
För att inte riskera att några intressekonflikter ska uppkomma kan upp-dragsverksamheten vid Nationellt forensiskt centrum organiseras så att undersökningar och analyser inte utförs av polismän. Med en särskild organisation för den verksamheten uppnås också kriterierna för att upp-dragsverksamheten ska betraktas som en särskild verksamhetsgren i sekretesshänseende.