Utgångspunkter för bedömningen
(1) Regeringen föreslår att det stiftas en ny lag om behandling av personuppgifter inom Brottspåföljdsmyndigheten. Syftet är att ändra bestämmelserna om behandling av personuppgifter så att de är förenliga med EU:s dataskyddslagstiftning. Den gällande lagen har stiftats med grundlagsutskottets medverkan (GrUU 70/2014 rd; se också GrUU 19/2012 rd).
(2) Behandlingen av personuppgifter i samband med verkställigheten av straffrättsliga påföljder omfattas i princip av tillämpningsområdet för det så kallade polisdirektivet (dataskyddsdirektivet (EU) 2016/680) i EU:s dataskyddspaket. Polisdirektivet har satts i kraft nationellt genom lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten, som har stiftats med grundlagsutskottets medverkan (GrUU 26/2018 rd).
(3) De föreslagna bestämmelserna är betydelsefulla med avseende på skyddet för privatlivet och för personuppgifter i 10 § i grundlagen. Grundlagsutskottet har i sitt utlåtande GrUU 14/2018 rd analyserat vilken betydelse tillämpningen av EU:s allmänna dataskyddsförordning får för skyddet för personuppgifter. Enligt utskottet utgör dataskyddsförordningens detaljerade bestämmelser, som tolkas och tillämpas i enlighet med de rättigheter som garanteras i EU:s stadga om de grundläggande rättigheterna, överlag en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och för personuppgifter i 10 § i grundlagen (GrUU 14/2018 rd, s. 4). Till skillnad från den direkt tillämpliga dataskyddsförordningen innehåller polisdirektivet inte några sådana detaljerade bestämmelser som skulle utgöra en tillräcklig rättslig grund när det gäller skyddet för privatlivet och för personuppgifter i 10 § i grundlagen (GrUU 14/2018 rd, s. 6, se också GrUU 26/2018 rd, s. 6).
(4) Grundlagsutskottet ser det som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också dataskyddsförordningen kräver måste bedömas utifrån de hot och risker som behandlingen av uppgifterna orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser (GrUU 14/2018 rd, s. 5).
(5) Grundlagsutskottet anser med anledning av det som sagts ovan att bestämmelserna om behandling av personuppgifter fortfarande bör analyseras utifrån en praxis med fokus på exakta och heltäckande bestämmelser på lagnivå i en regleringskontext som den här, där det finns ett känsligt samband med de grundläggande fri- och rättigheterna (se även GrUU 14/2018 rd, s. 6). Utskottet har dock också påpekat att bestämmelserna om behandling av personuppgifter är tungrodda och komplicerade (se t.ex. GrUU 31/2017 rd, s. 4, och GrUU 71/2014 rd, s. 3). Utskottet har därför, också när polisdirektivet genomfördes, påmint om att det inte finns något hinder för att kraven på räckvidd för, exakthet hos och noggrann avgränsning av bestämmelser om skyddet för personuppgifter till vissa delar kan uppfyllas genom en allmän nationell lag utanför tillämpningsområdet för dataskyddsförordningen (GrUU 26/2018 rd, s. 4, se även GrUU 14/2018 rd, s. 6—7, GrUU 31/2017 rd, s. 3—4, GrUU 5/2017 rd, s. 9, GrUU 38/2016 rd, s. 4).
(6) I propositionen föreslår regeringen också ändringar i fängelselagen, häktningslagen, lagen om verkställighet av samhällspåföljder, lagen om övervakad frihet på prov, lagen om verkställighet av kombinationsstraff och strafflagen. Enligt propositionen görs i lagarna främst ändringar som gäller bestämmelser om förfaranden. Målet är att förenkla och förtydliga förfarandena för verkställighet av påföljder.
Förhållandet mellan lagförslaget om behandling av personuppgifter och annan lagstiftning
(7) Enligt 2 § 1 mom. 1 punkten i lagförslag 1 i propositionen ska lagen om offentlighet i myndigheternas verksamhet och dataskyddslagen avseende brottmål tillämpas på sekretess för och utlämnande av personuppgifter. Enligt 2 punkten ska lagen om informationshantering inom den offentliga förvaltningen tillämpas på utlämnande av personuppgifter via tekniska gränssnitt och elektroniska förbindelser. Enligt 3 punkten ska dataskyddslagen avseende brottmål tillämpas på annan behandling av personuppgifter än den som avses i 1 och 2 punkten. Enligt 2 mom. ska dessutom den allmänna dataskyddsförordningen samt dataskyddslagen tillämpas på behandlingen av personuppgifter om besökare, andra personer som håller kontakt med en fånge eller en häktad och personer som uträttar ärenden.
(8) Grundlagsutskottet anser att det komplex som den tillämpliga lagstiftningen utgör inte kan anses klart och begripligt. Förhållandet mellan unionsrätten och den nationella lagstiftningen är delvis överlappande och delvis avskiljande. Trots att utskottet anser det klart att det begränsade och specifika tillämpningsområdet för unionsrätten och dess dataskyddsbestämmelser är en synnerligen starkt bidragande orsak till den komplicerade regleringen, bör lagutskottet undersöka om det finns några sätt att förtydliga bestämmelserna om tillämpningsområdet.
(9) I 2 § 1 mom. 2 punkten i lagförslag 1 i propositionen hänvisas det till lagen om offentlighet i myndigheternas verksamhet. Grundlagsutskottet påpekar att enligt 28 § i dataskyddslagen, och på motsvarande sätt enligt 2 § i dataskyddslagen avseende brottmål, tillämpas på rätten att få uppgifter ur myndigheternas personregister och på annat utlämnande av personuppgifter ur dessa personregister vad som föreskrivs om offentlighet i myndigheternas verksamhet. De bestämmelserna, som till dessa delar stiftats med grundlagsutskottets uttryckliga medverkan, ska tillämpas som allmän lag (GrUU 14/2018 rd, s. 15, GrUU 26/2018 rd, s. 7). Utskottet ser det av orsaker hänförliga till 12 § 2 mom. i grundlagen som nödvändigt att bestämmelsens ordalydelse samordnas med dessa allmänna lagar. Det här är enligt grundlagsutskottet viktigt också för att undvika felaktiga kontradiktoriska slutsatser (se även t.ex. GrUU 60/2018 rd, s. 5).
Principer för behandling av personuppgifter
(10) Dataskyddslagen avseende brottmål och dataskyddsförordningen innehåller relevanta och detaljerade bestämmelser om de allmänna förutsättningarna och principerna för behandling av personuppgifter, den registrerades rättigheter, tillsynen och exempelvis informationssäkerheten (se även GrUU 15/2018 rd och GrUU 26/2018 rd, s. 4). I bestämmelserna föreskrivs det i detalj om vilka allmänna principer för behandling av personuppgifter som alltid ska följas när personuppgifter behandlas inom tillämpningsområdet. Enligt grundlagsutskottet är det väsentligt att tillämpningsområdet för de centrala principerna för behandling av personuppgifter därmed förefaller bli heltäckande (se t.ex.GrUU 60/2018 rd, s. 5).
(11) Grundlagsutskottet har dock förutsatt att lagförslagen om behandling av personuppgifter i polisens verksamhet och inom tullen och försvarsmakten kompletteras med ett uttryckligt och korrekt formulerat allmänt förbud mot diskriminering. Det har varit ett villkor för att lagförslagen ska kunna behandlas i vanlig lagstiftningsordning (GrUU 51/2018 rd, s. 6, GrUU 52/2018 rd, s. 5, GrUU 60/2018 rd, s. 6). Utskottet anser att ett sådant förbud måste motsvara diskrimineringsförbudet i 6 § 2 mom. i grundlagen i det avseendet att förteckningen över diskrimineringsgrunder inte är uttömmande (se också GrUU 36/2018 rd, s. 18). Utskottet menar att också det nu aktuella lagförslaget måste kompletteras på motsvarande sätt för att kunna behandlas i vanlig lagstiftningsordning.
Nödvändigheten av att behandla känsliga uppgifter samt en exakt reglering
(12) Grundlagsutskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (se GrUU 13/2016 rd och GrUU 14/2009 rd, s. 3/I). Även i skäl 51 i EU:s allmänna dataskyddsförordning och i skäl 37 i dataskyddsdirektivet framhålls det att särskilda personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Utskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt. Bestämmelser om behandling av känsliga uppgifter måste vara detaljerade och omfattande, inom de ramar som EU:s dataskyddslagstiftning tillåter (se t.ex. GrUU 65/2018 rd, s. 45, och GrUU 15/2018 rd, s. 40).
(13) Enligt 13 § i lagförslag 1 i propositionen får Brottspåföljdsmyndigheten behandla i 11 § i dataskyddslagen avseende brottmål avsedda uppgifter som hör till särskilda kategorier av personuppgifter endast om behandlingen är nödvändig med tanke på ändamålet med behandlingen. Grundlagsutskottet anser att regleringen i princip är utformad på behörigt sätt. Utskottet noterar dock att enligt 15 § i lagförslaget får Brottspåföljdsmyndigheten behandla personuppgifter i brottspåföljdsregistret för annat ändamål än det som uppgifterna ursprungligen samlades in och registrerades för, om det behövs för en laglighetsövervakningsuppgift eller för en allmän utveckling av övervakningen eller verksamheten i samband med verkställighet av påföljder. Utskottet anser att bestämmelsens förhållande till nödvändighetskravet i 13 § bör förtydligas.
(14) Det säkerhetsregister som avses i 11 § i lagförslag 1 i propositionen kan utöver de uppgifter för specificering av en person som avses i 5 § också innehålla uppgifter som hänför sig till misstankar enligt paragrafens 1 mom. eller händelser enligt dess 2 mom. i anknytning till övervakning av användningen av betalkort enligt fängelselagen och häktningslagen. Enligt motiveringen till bestämmelsen (s. 57) kan uppgifterna i fråga behandlas bara om de är nödvändiga med tanke på användningen av säkerhetsregistret.
(15) Grundlagsutskottet anser att bestämmelserna om övervakning av användningen av betalkort innebär ett ingrepp i det skydd för privatlivet som garanteras i 10 § 1 mom. i grundlagen (GrUU 36/2020 rd, s. 3). Utskottet har tidigare ansett att banksekretessen inte är en faktor som hör till kärnan i det som avses med privatlivet (GrUU 14/2002 rd, s. 4/II, GrUU 7/2000 rd, s. 4/I). Senare har utskottet på nytt bedömt frågan om hur känsliga privatpersoners kontouppgifter är i konstitutionellt hänseende (GrUU 48/2018 rd, s. 3—6). I ju större utsträckning privatpersoner gör sina betalningar via ett bankkonto i stället för att använda kontanter, desto mer detaljerad blir den bild man kan få av deras privatliv utifrån transaktionerna på kontot, menade grundlagsutskottet. Transaktionerna kan rentav avslöja känsliga uppgifter som medlemskap i religionssamfund och användning av hälso- och sjukvårdstjänster. Därför kan fysiska personers detaljerade kontouppgifter jämställas med känsliga uppgifter som hör till kärnan i skyddet för privatlivet (GrUU 48/2018 rd, s. 4). Utskottet ansåg följaktligen att kravet på nödvändighet, exakthet och noggrann avgränsning är en fråga om lagstiftningsordning när det gäller övervakning av bank- och betalkonton (GrUU 48/2018 rd, s. 8).
(16) Enligt grundlagsutskottet kunde samma premisser tillämpas på bedömningen av regleringen om den övervakning av betalkort som utförs av Brottspåföljdsmyndigheten, även om det i sig är klart att skyddet för privatlivet under fängelseförhållanden tillgodoses mer begränsat än normalt. Utskottet har ansett att frågan om att binda övervakningen av betalkort till nödvändighetskravet är en fråga om lagstiftningsordningen. Detta trots att man särskilt måste beakta att övervakning av användningen av betalkort är ett lindrigare ingrepp i de grundläggande fri- och rättigheterna än det totalförbud mot innehav av pengar eller betalningsmedel som föreskrivs i fängelselagen (GrUU 36/2020 rd, s. 4).
(17) En bestämmelse som motsvarar 11 § i lagförslag 1 i propositionen ingår i sig också i gällande lagstiftning som stiftats med grundlagsutskottets medverkan. Eftersom de uppgifter som hänför sig till övervakningen av betalkort inte omfattas av nödvändighetskravet i 13 § i det nu aktuella lagförslag 1, anser utskottet att möjligheten att behandla uppgifter som hänför sig till övervakning av användningen av betalkort uttryckligen bör bindas till nödvändighetskravet, på det sätt som avses i motiveringen till den föreslagna bestämmelsen. Det är ett villkor för att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning.
(18) Enligt 7 § 5 mom. i lagförslag 1 i propositionen får i uppgifterna om brottsmisstänkta och personer som avtjänar samhällspåföljder ingå sådana uppgifter om namn, kontaktuppgifter och ställning vid behandlingen av ärenden samt andra nödvändiga omständigheter som gäller nära anhöriga till brottsmisstänkta eller till dem som avtjänar samhällspåföljder eller andra personer och som är nödvändiga för behandlingen av de frågor som avses i 1—3 mom. Enligt motiveringen till bestämmelsen (s. 49) kan det till exempel handla om att vid ett hembesök beakta det psykiska tillståndet hos en person som avses i momentet. Behandlingen av de känsliga uppgifter som det hänvisas till i motiveringen är i sig på behörigt sätt bunden till nödvändighetskravet. Grundlagsutskottet anser att 7 § 5 mom. bör preciseras med ett omnämnande av behandlingen av de uppgifter som anges i motiveringen. Det finns skäl att också mer allmänt precisera bestämmelserna i lagförslaget genom att specificera de känsliga uppgifter som avses bli behandlade.
(19) I 33 § i lagförslag 1 föreskrivs det om varaktig bevaring av uppgifter. Enligt bestämmelsen ska det av de uppgifter i brottspåföljdsregistret som gallras ur databasen bildas ett index för varaktig bevaring av uppgifter. Uppgifterna gallras ur indexet då 50 år förflutit sedan personen i fråga senast frigavs från en enhet vid Brottspåföljdsmyndigheten eller slutförde avtjänandet av en samhällspåföljd.
(20) Varaktig lagring av uppgifter är enligt grundlagsutskottet inte förenlig med skyddet för personuppgifter om den inte är befogad av skäl som är kopplade till informationssystemets art eller syfte (GrUU 18/2016 rd, s. 2, GrUU 54/2010 rd, GrUU 3/2009 rd). Information som delvis är oförändrad eller ändras långsamt och som inte uppdateras bara för att tiden gått och som behövs för att uppgifter ska kunna skötas kan enligt utskottets uppfattning lagras varaktigt (GrUU 54/2010 rd). Utskottet har å andra sidan ansett att en fem års förvaringstid för känsliga uppgifter är lång (GrUU 13/2017 rd) och betonat att ju längre förvaringstiden blir, desto viktigare är det att se till datasäkerheten, övervakningen av användningen av uppgifterna och de registrerades rättssäkerhet (GrUU 28/2016 rd). Utskottet har också rent generellt framhållit att framför allt lagringstiden för känsliga uppgifter ska vara begränsad på så sätt att uppgifterna bara får finnas lagrade så länge det är nödvändigt för att fullfölja det syfte för vilket uppgifterna har registrerats (se t.ex. GrUU 13/2017 rd, s. 6). Lagutskottet bör granska bevaringstiderna.
Rätt att få uppgifter
(21) Grundlagsutskottet har tidigare analyserat den bestämmelse enligt vilken Brottspåföljdsmyndigheten trots sekretessbestämmelserna har rätt att av betalningsinstitut som beviljar betalkort eller som förmedlar betalningar få de uppgifter som är nödvändiga för att förvalta betalkort godkända av Brottspåföljdsmyndigheten och för den övervakning av betalningstransaktioner med betalkort som avses i 9 kap. 3 a § i fängelselagen och 5 kap. 3 a § i häktningslagen (GrUU 36/2020 rd, s. 4).
(22) Enligt grundlagsutskottet var bestämmelserna i sig korrekt kopplade till nödvändigheten, med beaktande av utskottets praxis i fråga om utlämnande och erhållande av uppgifter. Med avseende på bedömningen av nödvändigheten var det emellertid problematiskt att det av lagförslaget inte närmare framgick vad som avses med att förvalta användningen av betalkort. En precisering av bestämmelsen var ett villkor för att lagförslaget skulle kunna behandlas i vanlig lagstiftningsordning (GrUU 36/2020 rd, s. 5).
(23) I 18 § i lagförslag 1 i den nu aktuella propositionen föreskrivs det om rätt att få uppgifter av dem som beviljar betalkort eller förmedlar betalningar genom en i sak motsvarade ordalydelse. För att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning måste även den nu föreslagna bestämmelsen preciseras.
Ändringssökande
(24) I propositionen föreslås det mer uttömmande bestämmelser än för närvarande om i vilka beslut ändring får sökas respektive inte får sökas. De föreslagna bestämmelserna om beslut i vilka ändring får sökas och förteckningen över förbud mot ändringssökande i lagen om verkställighet av samhällspåföljder, lagen om övervakad frihet på prov och lagen om verkställighet av kombinationsstraff motsvarar i stor utsträckning bestämmelserna i fängelselagen och häktningslagen. Enligt respektive lag får beslut som inte ingår i förteckningarna överklagas.
(25) De föreslagna förbuden mot att söka ändring har betydelse med avseende på det i 21 § i grundlagen tryggade rättsskyddet. En del av förbuden gäller beslut som begränsar andra grundläggande fri- och rättigheter. Grundlagsutskottet har i flera utlåtanden behandlat de krav som ställs i 21 § i grundlagen. Utskottet har ansett det vara problematiskt att fängelselagen och häktningslagen inte innehåller tydliga bestämmelser om förbud mot ändringssökande (GrUU 20/2005 rd, s. 7).
(26) Enligt grundlagsutskottet anger en regel av detta slag som bygger på en förteckning inte klart om den som saken gäller kan få ett beslut som fattats med stöd av andra bestämmelser i lagen behandlat av domstol i det fall att beslutet gäller hans eller hennes i grundlagens 21 § 1 mom. förankrade rättigheter eller skyldigheter. Enligt utskottet kan också till exempel bestämmelser om villkoren för tillgodoseende av sådana rättigheter eller förmåner som inte dikteras av så kallad subjektiv rätt utan mer är beroende av prövning utgöra ett tillräckligt exakt underlag för att det ska uppstå ett förhållande mellan individen och det allmänna som kan betraktas som en rätt i den mening som 21 § 1 mom. i grundlagen avser (se särskilt GrUU 20/2005 rd, s. 7/I och de utlåtanden som nämns där).
(27) I regeringens proposition till riksdagen med förslag till lag om ändring av lagstiftningen om fängelse och häktning (RP 45/2014 rd) föreslogs det att det i fängelselagen och häktningslagen skulle tas in en detaljerad förteckning över överklagbara beslut och förbud mot ändringssökande. Eftersom det enligt lagförslaget också var möjligt att söka ändring i beslut som inte upptogs i förteckningarna, var regleringssättet enligt utskottet inte problematiskt med avseende på grundlagen, trots att det inte motsvarade utskottets rekommendation (GrUU 34/2014 rd, s. 4/II).
(28) Grundlagsutskottet har dock vid bedömningen av lagstiftningen om effektivare förhindrande av kriminalitet under fängelsetiden och effektivare upprätthållande av anstaltssäkerheten (GrUU 36/2020 rd, s. 6) ansett det vara viktigt att justitieministeriet i ett större perspektiv utreder laglighetsövervakningen av säkerhets- och övervakningsåtgärderna enligt fängelselagen och om bestämmelserna om överklagande är förenliga med bestämmelserna om rättsskydd i 21 § i grundlagen och med internationella människorättskonventioner. Utskottet betonar fortfarande nödvändigheten av en sådan granskning.
Innehållet i en preciserad plan för strafftiden
(29) I 17 § i lagförslag 4 i propositionen föreskrivs det om innehållet i en preciserad plan för strafftiden. I 20 § i lagförslaget föreskrivs det om ett bemyndigande att utfärda förordning. Enligt det utfärdas närmare bestämmelser om innehållet i och förfarandet för utarbetandet av en preciserad plan för strafftiden genom förordning av statsrådet. Enligt propositionen ska den detaljerade förteckningen över planens innehåll i den gällande lagen flyttas till en förordning av statsrådet. I lagen ska det dock fortfarande föreskrivas om skyldigheten att i den preciserade planen för strafftiden inkludera tidpunkterna för när verkställigheten inleds och avslutas samt på motsvarande sätt som för närvarande ett detaljerat tidsschema för verkställigheten.
(30) Enligt regeringens proposition (s. 92—93) är den preciserade planen för strafftiden i fortsättningen ett överklagbart förvaltningsbeslut som innehåller den dömdes exakta skyldigheter under verkställigheten. I planen ska särskilt anges innehållet i den dömdes eventuella skyldighet att stanna i bostaden, innehållet i och tidtabellen för verksamhetsskyldigheterna samt antalet övervakningsmöten och deras längd samt den tidtabell inom vilken sammankomster enligt skyldigheterna genomförs under verkställigheten. Tidsschemat ska vara tillräckligt exakt för att ge en överblick över strafftidens förlopp. Utöver den tidtabell som anges i planen kan man tillsammans med den dömde utarbeta ett mer detaljerat veckoprogram som också kan registreras i datasystemet.
(31) Enligt 80 § 1 mom. i grundlagen ska bestämmelser om grunderna för individens rättigheter och skyldigheter samt om frågor som enligt grundlagen i övrigt hör till området för lag utfärdas genom lag. Grundlagsutskottet påpekar att det utifrån propositionen förblir oklart om de bestämmelser om innehållet i en preciserad plan för strafftiden som ska utfärdas med stöd av 20 § innehåller sådana omständigheter om vilka det enligt 80 § 1 mom. i grundlagen ska föreskrivas genom lag. Utskottet erinrar om att bestämmelserna i grundlagen direkt begränsar tolkningen av bemyndigandebestämmelser samt innehållet i bestämmelser och föreskrifter som utfärdas med stöd av bemyndigandena. Därmed går det inte att genom förordningar eller föreskrifter utfärda allmänna rättsregler om grunderna för individens rättigheter och skyldigheter eller om andra frågor som hör till området för lag (se t.ex. GrUU 10/2016 rd, s. 5, GrUU 10/2014 rd, s. 3/I, och GrUU 58/2010 rd, s. 3). Regleringen bör vid behov preciseras.
Begynnelsetidpunkten för övervakning som förenats med villkorligt fängelse
(32) Enligt 15 § 2 mom. i lagförslag 4 i propositionen börjar övervakningstiden för villkorligt fängelse som förenats med övervakning löpa den dag då det första övervakarmötet ordnas i enlighet med den preciserade planen för strafftiden.
(33) Grundlagsutskottet påpekar att den föreslagna regleringen inte verkar innehålla några närmare bestämmelser om när en preciserad plan för strafftiden ska utarbetas. Utskottet anser att det med tanke på jämlikheten, som tryggas i grundlagens 6 §, samt kravet på noggrant avgränsade och exakta bestämmelser inte är helt problemfritt att tidpunkten för när övervakningstiden börjar i praktiken kan variera avsevärt mellan de dömda. Bestämmelserna måste preciseras.