Motivering

Allmänt

Utskottet tog ställning till såväl lagen om behandling av personuppgifter i polisens verksamhet (GrUU 51/2002 rd) som till lagen om behandling av personuppgifter vid gränsbevakningsväsendet (GrUU 19/2005 rd) innan de trädde i kraft. Nu föreslår regeringen preciseringar i dessa lagar särskilt när det gäller uppgifternas användningsändamål och informationsinnehåll. Samtidigt föreslås att lagarna kompletteras så att vissa nya typer av information får lagras, såsom observationer och överskottsinformation som inhämtats med någon av de hemliga informationsinhämtningsmetoderna. Dessutom föreslås en del ändringar i bestämmelserna om utplåning av uppgifter.

Bestämmelserna är relevanta med avseende på 10 § i grundlagen som reglerar skyddet för privatliv och personuppgifter. Enligt pargrafens 1 mom. utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Grundlagsutskottets tolkningspraxis har varit att lagstiftarens handlingsutrymme begränsas både av den här bestämmelsen och av att skyddet för personuppgifter delvis ingår i skyddet för privatlivet som tryggas i samma moment. På det hela taget handlar det om att lagstiftaren måste tillgodose denna rätt på ett sätt som är godtagbart med avseende på de grundläggande fri- och rättigheterna över lag. Om man ser till skyddet för personuppgifter har grundlagsutskottet ansett det viktigt att reglera åtminstone syftet med registrering av sådana uppgifter, innehållet i uppgifterna, det tillåtna användningsändamålet inklusive rätten att överlåta registrerade uppgifter, den tid uppgifterna finns kvar i registret och den registrerades rättsskydd. Regleringen på lagnivå ska dessutom vara täckande och detaljerad. Dessa synpunkter är överlag tillämpliga på regleringen av hur personuppgifter används (se exempelvis GrUU 14/2009 rd, s. 2, GrUU 11/2008 rd, s. 3 och GrUU 51/2002 rd, s. 1).

Skyddet för personuppgifter behandlas också i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna och i Europarådets konvention från 1981 om skydd för personuppgifter vid automatisk databehandling. Människorättsdomstolen har i sin rättspraxis ansett att registrering av personuppgifter som kan hänföras till privatlivet faller under tillämpningsområdet för artikel 8 i den europeiska konventionen om de mänskliga rättigheterna. Domstolen har fastställt att artikel 8 åsidosatts bland annat när nationell lagstiftning har saknat bestämmelser om innehållet i registrerade uppgifter, den tid under vilken uppgifterna bevaras och om vilka befolkningsgrupper uppgifter får insamlas (se t.ex. människorättsdomstolens dom i fallet Rotaru v. Rumänien den 4 maj 2000, punkterna 45—63 i domen.)

Innehållet i personuppgifterna

I 2 kap. 2 § 2 mom. i lagförslag 1 föreskrivs om uppgifter om identitet i informationssystemet för polisärenden. Det föreslås att de kategorier av personer som bestämmelsen omfattar utökas till vissa delar. Utskottet har ingenting direkt att anmärka på i fråga om kompletteringarna. Däremot påpekar utskottet att den föreslagna formuleringen ("Av de uppgifter... får man registrera sådana uppgifter i informationssystemet som behövs med tanke på ändamålet med informationssystemet, såsom...") förefaller innebära att förteckningen över tillåtna identitetsrelaterade uppgifter åtminstone i någon utsträckning lämnas öppen. Av motiveringen framgår dessutom att det handlar om en exempelförteckning över uppgifter som behövs med tanke på ändamålet med informationssystemet. Den föreslagna formuleringen innebär att det i sista hand är myndigheten som i hög grad själv definierar innehållet i de personuppgifter som registreras. Då utskottet behandlade den gällande bestämmelsen ansåg det uttryckligen att någon sådan fara inte föreligger eftersom de uppgifter som registreras i informationssystemen är tillräckligt väl individualiserade (GrUU 51/2002 rd., s. 2). Utskottet framhåller vikten av att bestämmelserna om innehållet i registrerbara identitetsrelaterade uppgifter måste vara tillräckligt detaljerade och föreslår därför att 2 kap. 2 § 2 mom. i lagförslag 1 utformas så att förteckningen är uttömmande. Detta påpekande gäller även 2 kap. 3 §:n 2 mom., 4 § 3 mom., 5 §:n 3 mom. i lagförslag 1 och 1 kap. 7 § 2 mom., 8 § 2 mom., 9 § 2 mom., 10 § 2 mom., 11 § 2 mom. och 12 § 2 mom. i lagförslag 2.

Med stöd av föreslagna 2 kap. 2 § 3 mom. i lagförslag 1 får utöver ovan nämnda identitetsrelaterade uppgifter också registreras andra behövliga uppgifter som nämns i momentet. Enligt paragrafens 3 mom. 6 punkten har man också rätt att registrera "för en persons egen säkerhet eller en myndighets säkerhet i arbetet nödvändiga uppgifter". Också den här bestämmelsen blir öppen på det sätt som påpekas ovan. ("I informationssystemet får även annan behövlig information ... registreras enligt följande: ...för en persons egen säkerhet eller en myndighets säkerhet i arbetet nödvändiga uppgifter, såsom uppgifter om..."). Utskottet påpekar att bestämmelsen åtminstone bitvis reglerar så kallade känsliga uppgifter. Därför är det särskilt viktigt att bestämmelsen på ett uttömmande sätt anger det tillåtna innehållet i uppgifter som får registreras. Förslaget förefaller dessutom möjliggöra fortsatt omfattande registrering av hälsorelaterade uppgifter och uppgifter om åtgärder inom socialvården (se GrUU 51/2002 rd och GrUU 37/2002 rd). Utskottet påpekar att bestämmelsen måste preciseras med en definition av vilka uppgifter av det ovan nämnda slaget som får registreras trots att nödvändighetskravet på ett sakligt sätt begränsar omfattningen av registrerbara uppgifter. Motsvarande preciseringskrav gäller också 8 § 3 mom. 5 punkten i lagförslag 2.

I förslaget till 2 kap. 2 § 3 mom. 3 punkten i lagförslag 1 finns en bestämmelse om behövliga uppgifter för att personer som anmälts försvunna ska kunna hittas och för att okända avlidna ska kunna identifieras. Motsvarande förslag finns även i fråga om 1 kap. 8 § 3 mom. 3 punkten i lagförslag 2. Som exempel på sådana uppgifter nämns fingeravtryck och DNA-profiler. Utskottet framhåller att de föreslagna bestämmelserna ser ut att öppna för lagring av uppgifter om snart sagt vem som helst om det sker i syfte att finna en försvunnen person eller identifiera en avliden. En sådan reglering är helt klart alltför lös med hänsyn till skyddet för de grundläggande fri- och rättigheterna. Enligt propositionsmotiven (s. 17/II) är syftet med bestämmelsen att göra det möjligt att registrera uppgifter också om nära släktingar till personer som anmälts försvunna och till personer som hittats döda. I motiven konstateras vidare att registrering kan ske endast med den berörda personens samtycke. Med denna begränsning kan bestämmelserna anses godtagbara och tillräckligt exakta och preciserade. Bestämmelserna måste alltså kompletteras med det som sägs i propositionsmotiven.

Observationsuppgifter

Med stöd av föreslagna 2 kap. 2 § 3 mom. 11 punkten i lagförslag 1 får i informationssystemet för polisärenden sparas uppgifter om observationer som gjorts av poliser eller uppgifter som anmälts till polisen, dvs. så kallade observationsuppgifter. Här handlar det om en potentiellt mycket omfattande datamängd som berör privatlivet. Observationsuppgifter är dessutom ofta av otillförlitligt slag och det finns risk för att oskyldiga personer stämplas. Grundlagsutskottet har tidigare utöver de ovan relaterade allmänna iakttagelserna påpekat vikten av att försäkra sig om observationsuppgifters korrekthet och exakthet (GrUU 27/2006 rd, s. 2) och behovet att komplettera uppgifterna med en bedömning av uppgiftslämnarens tillförlitlighet och uppgifternas riktighet GrUU 51/2002 rd, s. 2).

I bestämmelserna begränsas innehållet i uppgifterna med kravet på att bara sådana uppgifter får registreras som anknyter till händelser eller personer som utifrån omständigheterna eller en persons hotelser eller uppträdande i övrigt med fog kan bedömas ha samband med brottslig verksamhet. Enligt 12 § 2 mom. i lagförslaget ska uppgifter som registreras i den mån det är möjligt åtföljas av en bedömning av uppgiftslämnarens tillförlitlighet och uppgifternas riktighet. I 16 § 3 mom. föreskrivs att observationsuppgifter inte får användas i samband med beslut eller utlåtande som gäller beviljande eller giltighet av ett tillstånd. Observationsuppgifter får lagras under en rätt kort tid, dvs. endast sex månader. Om regleringen är preciserad på detta sätt i fråga om informationsinnehåll, användningsändamål och lagringstid är den inte problematisk med avseende på skyddet för personuppgifter, menar utskottet. Med tanke på observationsuppgifternas natur är det ändå viktigt att villkoren för lagring av uppgifter tolkas strikt och i synnerhet så att observationsuppgifter kan lagras endast om det finns misstanke om anknytning till kriminell verksamhet. Dessutom måste strävan vara att om möjligt kontrollera de uppgifter som lagras och komplettera dem med en utvärdering av tillförlitlighet och riktighet.

Överskottsinformation som erhållits med hemliga informationsinhämtningsmetoder

Enligt 11 § 1 mom. i lagförslag 1 är det tillåtet att lagra överskottsinformation som erhållits med hemliga informationsinhämtningsmetoder om informationen gäller ett sådant brott i fråga om vilket den informationsinhämtningsmetod med vilken informationen erhållits skulle ha fått användas i syfte att förhindra eller avslöja brottet. Överskottsinformation får dessutom lagras om den behövs för att förhindra ett sådant brott som avses i 15 kap. 10 § i strafflagen. Det brott som avses här är underlåtenhet att anmäla grovt brott. Förslaget motsvarar den nya 55 § i polislagen, som tillkom med grundlagsutskottets medverkan (GrUU 67/2010 rd).

Andra aspekter

Grundlagsutskottet pekar på att det redan nu lagras många sådana uppgifter i polisens och gränsbevakningsväsendets personregister som det vore synnerligen viktigt att skydda mot obehörig användning. De lagförslag som nu behandlas ökar ytterligare informationsinnehållet, som bland annat omfattar observationsuppgifter av osäker kvalitet. Det är viktigt att fästa särskilt avseende vid att informationssäkerheten fungerar och hur uppgifterna utnyttjas.

Utskottet konstaterar att lagen om behandling av personuppgifter i polisens verksamhet bland annat som en följd av de många ändringarna och tilläggen har blivit mycket komplicerad till såväl struktur som innehåll. Lagen innehåller också ett flertal överlappningar med personuppgiftslagen och lagen om offentlighet i myndigheternas verksamhet. Utskottet anser att statsrådet har anledning att överväga en totalrevidering av lagen om behandling av personuppgifter i polisens verksamhet senast när det slutliga innehållet i den kommande EU-regleringen om datasekretess klarnar. I det sammanhanget blir det aktuellt exempelvis att ta in ett förbud mot etnisk profilering i lagstiftningen.