Allmänt

Regeringen föreslår en ny lag om behandling av personuppgifter inom Tullen (lagförslag 1, nedan också Tullens personuppgiftslag). Samtidigt upphävs den gällande lagen (639/2015) med samma namn. Propositionen innehåller dessutom nio anknytande lagförslag med i huvudsak tekniska ändringar. 

Det viktigaste målet med propositionen är att se över lagstiftningen om behandling av personuppgifter inom Tullen så att den uppfyller kraven i EU:s dataskyddslagstiftning med beaktande av behoven inom brottsbekämpning, tullövervakning och skattekontroll samt kraven på skydd för de grundläggande och mänskliga rättigheterna. Ett annat mål är att få lagstiftningen att motsvara de väsentliga och viktiga behov i fråga om behandling av personuppgifter och dataskydd som beror på förändringar i verksamhetsbetingelserna och tullagstiftningen samt att korrigera de missförhållanden som kommit fram i lagtillämpningen. 

Till riksdagen har också lämnats propositioner med förslag till nya lagar om behandling av personuppgifter i polisens verksamhet och vid Gränsbevakningsväsendet (RP 242/2018 rd och RP 241/2018 rd). Tanken är att Tullens personuppgiftslag revideras på motsvarande sätt. Tullens brottsbekämpningsverksamhet förutsätter bestämmelser som överensstämmer med bestämmelserna för de andra myndigheterna som verkställer brottsbekämpning. Det är viktigt också med tanke på det nära samarbetet mellan PTG-myndigheterna. Förvaltningsutskottet har vid behandlingen av Tullens nuvarande personuppgiftslag konstaterat att upprätthållandet av en effektiv brottsbekämpning förutsätter att lagstiftningen om Tullens personregister mer än i nuläget görs enhetligt med i synnerhet polisens motsvarande lagstiftning (FvUB 54/2014 rd). Eftersom det har föreslagits att personuppgiftslagarna gällande polisen respektive Gränsbevakningsväsendet ska revideras genomgripande finns det också skäl att se över Tullens personuppgiftslag med samma utgångspunkt, trots att den gällande lagen är tämligen ny. 

EU:s nya dataskyddslagstiftning har spjälkat upp författningsgrunden så att samma reglering inte längre kan tillämpas på all behandling av personuppgifter. EU:s dataskyddsförordning (förordning (EU) 2016/679) började tillämpas den 25 maj 2018. Dataskyddslagen (1050/2013) trädde i kraft den 1 januari 2019 och kompletterar EU:s dataskyddsförordning nationellt. Samtidigt som dataskyddslagen trädde även lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018, dataskyddslagen avseende brottmål) i kraft, varmed det så kallade dataskyddsdirektivet för brottsbekämpande myndigheter (direktiv (EU) 2016/680, nedan även polisdirektivet) genomfördes nationellt. 

Dataskyddsförordningen och dataskyddslagen, som kompletterar förordningen, tillämpas vid Tullen till exempel på tullövervakning och skattekontroll, övriga övervakningsuppgifter som föreskrivs för Tullen och behandling av personuppgifter i samband med gränsbevakningsuppgifter. Till dataskyddsdirektivets tillämpningsområde inom Tullen hör förebyggande, avslöjande och utredande av brott och förande av brott till åtalsprövning. Den föreslagna lagen om behandling av personuppgifter inom Tullen är en speciallag som kompletterar den beskrivna allmänna lagstiftningen. 

Enligt förslaget ska lagens struktur omarbetas i sin helhet. Målet att åstadkomma en klar och tydlig reglering har emellertid inte uppnåtts till fullo, vilket i många avseenden beror på det begränsade och speciella tillämpningsområdet för unionsrätten och dess dataskyddsnormer. Lagstiftningen måste också iaktta de krav på en detaljerad och noggrant avgränsad lagstiftning som följer tolkningspraxis när det gäller grundlagen och människorättskonventionerna. 

Förvaltningsutskottet ser det som en betydelsefull ändring jämfört med gällande lagstiftning att bestämmelserna om Tullens nuvarande informationssystem och andra personregister i den gällande lagen ersätts med bestämmelser om ändamålet med behandlingen av personuppgifter och innehållet i de personuppgifter som behandlas. I lagen ska det föreskrivas om grundläggande personuppgifter och om uppgiftskategorier. Enligt förslaget är Tullen personuppgiftsansvarig för de personuppgifter som avses i 2 kap. i Tullens personuppgiftslag. I fråga om signalement föreskrivs det särskilt vem som är personuppgiftsansvarig. Enligt polisens personuppgiftslag är det polisen som är personuppgiftsansvarig i fråga om dem. 

Enligt grundlagsutskottets utlåtande kan lagförslagen behandlas i vanlig lagstiftningsordning, men lagförslag 1 bara om utskottets konstitutionella anmärkningar mot lagförslagets principbestämmelser och mot dess 5–9, 12, 14, 15, 18 och 19 § beaktas på behörigt sätt. 

Sammantaget anser utskottet att propositionen behövs och fyller sitt syfte. Utskottet tillstyrker lagförslagen, men med följande anmärkningar och ändringsförslag. 

Ändamålsbundenhet i behandlingen

Artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna förutsätter att behandling av personuppgifter sker för ett särskilt ändamål. Enligt artikel 5.1 b i dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt artikel 5.2 ska den personuppgiftsansvarige ansvara för och kunna visa att 1 punkten har följts. Dataskyddsförordningen tillämpas emellertid bland annat inte på sådan behandling av personuppgifter som utförs i samband med verksamhet som inte omfattas av unionsrättens tillämpningsområde eller som behöriga myndigheter utför i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Till det först nämnda undantaget hänförs i regel exempelvis den nationella säkerheten (se även GrUU 35/2018 rd och GrUU 36/2018 rd), och till det senare undantaget närmast polisdirektivet. 

Enligt artikel 2 i polisdirektivet tillämpas direktivet på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1. I den sist nämnda artikeln nämns som godtagbara ändamål behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säkerheten. Enligt artikel 4.1 b i direktivet ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt artikel 4.4 ska den personuppgiftsansvarige ansvara för och kunna visa att personuppgifterna har behandlats enligt denna princip. I artikel 8.2 sägs det att medlemsstaternas nationella rätt, som reglerar behandling av personuppgifter inom tillämpningsområdet för direktivet, åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behandlingens ändamål. 

När grundlagsutskottet har tagit ställning till lagstiftning om behandling av personuppgifter har det med avseende på skyddet för personuppgifter ansett det viktigt att reglera bland annat uppgifternas innehåll, syftet med registreringen av uppgifterna samt de tillåtna användningsändamålen (se GrUU 14/1998 rd och t.ex. GrUU 14/2018 rd). Enligt utskottet ska dessa omständigheter på lagnivå i den nu aktuella normkontexten även framöver vara täckande och detaljerad. 

Bestämmelserna om riksomfattande informationssystem och Tullens övriga personregister i den gällande lagen ersätts med bestämmelser om ändamålet med behandlingen av personuppgifter som behövs för skötseln av de övervakningsuppdrag som i lag föreskrivs för Tullen och för att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning samt innehållet i de personuppgifter som behandlas. Grundlagsutskottet har ingenting att invända mot den principen. 

Andra utgångspunkter för propositionen

Grundlagsutskottet har nyligen (GrUU 26/2018 rd) behandlat en proposition med förslag till lag om dataskyddslag avseende brottmål som bland annat syftar till att genomföra polisdirektivet. Utskottet har inom tillämpningsområdet för EU:s dataskyddsförordning justerat sin ståndpunkt till skyddet för personuppgifter i fråga om kraven på föreskrivande genom lag. Grundlagsutskottet fäster avseende vid att till skillnad från den direkt tillämpliga dataskyddsförordningen innehåller polisdirektivet inte några sådana detaljerade bestämmelser som skulle utgöra en tillräcklig rättslig grund när det gäller skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen (GrUU 14/2018 rd, s.6). Det är också av betydelse att nationell säkerhet är ett område som i fördraget om Europeiska unionen faller utanför EU:s behörighet och därmed inte heller i första hand kan hänföras till polisdirektivets tillämpningsområde. Till följd av förpliktelsen att skydda personuppgifter enligt 10 § i grundlagen krävs det nationell lagstiftning om behandling av personuppgifter på grundval av nationell säkerhet (se GrUU 26/2018 rd). 

Enligt grundlagsutskottet (GrUU 26/2018 rd och GrUU 14/2018 rd) får dock de rättigheter som är tryggade enligt 10 § i grundlagen en speciell betydelse i sammanhang som är särskilt känsliga med avseende på de grundläggande fri- och rättigheterna. Före reformen av de grundläggande fri- och rättigheterna kom utskottet med en karakterisering som senare blivit vedertagen, nämligen att ”polislagen är typexemplet på en lag som lätt kan råka i konflikt med medborgarnas grundläggande rättigheter, i synnerhet de klassiska friheterna” (GrUU 15/1994 rd och GrUU 67/2010 rd). Grundlagsutskottet anser att bestämmelserna om behandling av personuppgifter fortfarande bör analyseras utifrån utskottets tidigare praxis med fokus på exakta och heltäckande bestämmelser på lagnivå i en kontext som den här, där det finns ett känsligt samband med de grundläggande fri- och rättigheterna (se även GrUU 14/2018 rd). 

Relevant i detta avseende var också att det då aktuella förslaget till lag om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten är en lag som blir till-lämplig som allmän lag på sitt tillämpningsområde och som ska kompletteras med speciallagstiftning för olika förvaltningsområden (GrUU 26/2018 rd). Enligt utskottets uppfattning är det nu aktuella lagförslaget tänkt att utgöra sådan kompletterande speciallagstiftning. 

I konstitutionella analyser av behandlingen av personuppgifter har utskottet sett ändamålet med behandlingen som relevant, eftersom behandlingen möjliggör utövning av offentlig makt gällande individer (se GrUU 1/2018 rd). Enligt 2 § 3 mom. i grundlagen ska all utövning av offentlig makt bygga på lag. För lagar gäller det allmänna kravet på att en lag ska vara exakt och noga avgränsad. Befogenheterna ska med tanke på rättsstatsprincipen i grundlagens 2 § 3 mom. grunda sig på lag (se även GrUU 10/2016 rd och GrUU 51/2006 rd). Enligt utskottet är regleringen av befogenheter vanligen relevant också i förhållande till de i grundlagen inskrivna grundläggande fri- och rättigheterna (GrUU 51/2006 rd). 

Av propositionens motiv till lagstiftningsordning framgår det att känsliga personuppgifter behandlas vid Tullen för att de uppgifter som hör till direktivets och förordningens tillämpningsområde ska kunna skötas. Tullens behov att behandla uppgifter som hör till särskilda kategorier av personuppgifter ansluter sig till nästan alla ändamål med behandlingen enligt lagförslag 1. Exempelvis biometriska uppgifter, som i grundlagsutskottets praxis i många avseenden ansetts kunna liknas vid känsliga uppgifter (se t.ex. GrUU 14/2009 rd), behandlas både för förebyggande, avslöjande och utredning av brott. 

Grundlagsutskottet har tagit ställning till hantering av känsliga uppgifter med utgångspunkt i att inskränkningar i skyddet för privatlivet måste bedömas utifrån de allmänna villkoren för inskränkningar i de grundläggande fri- och rättigheterna (se GrUU 42/2016 rd och de utlåtanden som nämns där). Här är det relevant att utskottets vedertagna praxis har varit att lagstiftarens handlingsutrymme i fråga om behandling av personuppgifter särskilt begränsas av att skyddet för personuppgifter delvis omfattas av skyddet för privatlivet, som garanteras i samma moment i grundlagens 10 §. Lagstiftaren ska tillgodose denna rätt på ett sätt som är godtagbart med avseende på de samlade grundläggande fri- och rättigheterna. Utskottet har därför ansett att i synnerhet tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter (GrUU 37/2013 rd), vilket inneburit att inrättandet av register med exempelvis sådana uppgifter måste bedömas i skenet av villkoren för inskränkningar i de grundläggande fri- och rättigheterna och med hänsyn till inskränkningarnas acceptabilitet och proportionalitet (GrUU 29/2016 rd och t.ex. GrUU 21/2012 rd, GrUU 47/2010 rd och GrUU 14/2009 rd). I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har utskottet lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 38/2016 rd). 

Grundlagsutskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (GrUU 13/2016 rd och GrUU 14/2009 rd). Även enligt EU:s dataskyddsförordning bör särskilda personuppgifter, som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter, åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande fri- och rättigheterna. Utskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt (se t.ex. GrUU 3/2017 rd). Denna avgränsning har i utskottets senare praxis ansetts vara en fråga som är relevant för lagstiftningsordningen (se t.ex. GrUU 15/2018 rd). 

Följaktligen menar utskottet att bestämmelserna om behandling av känsliga uppgifter fortfarande bör analyseras utifrån praxis för tidigare bestämmelser på lagnivå i den utsträckning dataskyddsförordningen tillåter. Behovet av lagbestämmelser som är mer detaljerade än dataskyddsförordningen bör dock motiveras i varje enskilt fall, också inom ramen för förordningen. I fråga om behovet bör också det riskbaserade synsättet i förordningen vägas in. Utskottet framhåller att även lagstiftningen om behandling av känsliga personuppgifter bör vara så tydlig och begriplig som möjligt (GrUU 14/2018 rd). 

Tullens personregister innehåller mycket sådan information som det är ytterst viktigt att skydda mot obehörig användning. I en sådan situation måste också övervakningen av användningen av informationen ägnas särskild uppmärksamhet (GrUU 51/2018 rd och GrUU 42/2014 rd, se även GrUU 35/2018 rd). Utskottet betonar att skyddet för uppgifter från obehörig användning inte uteslutande kan baseras på det tjänsteansvar som gäller för den personuppgiftsansvarige eller den som hanterar uppgifterna eller på något annat påföljdssystem (GrUU 51/2018 rd och GrUU 52/2018 rd). 

Grundlagsutskottet konstaterar att det inte inom ramen för sitt konstitutionella uppdrag gjort någon övergripande bedömning av hur den föreslagna regleringen förhåller sig till unionsrätten. Förvaltningsutskottet har anledning att försäkra sig om att den föreslagna regleringen inte står i konflikt med de krav som följer av unionsrätten. 

Förvaltningsutskottet konstaterar att det i dataskyddsdirektivet för brottsbekämpande myndigheter sägs att medlemsstaternas nationella rätt, när den reglerar behandling av personuppgifter inom tillämpningsområdet för direktivet, åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behandlingens ändamål. Direktivet fastställer således ett slags miniminivå. Grundlagsutskottet har i anslutning till dataskyddsreformen konstaterat att direktivet inte innehåller några detaljerade bestämmelser som skulle utgöra en tillräcklig rättslig grund för skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen (GrUU 14/2018 rd). Bestämmelserna måste därför kompletteras med nationell lagstiftning. 

Dataskyddsförordningen är däremot direkt tillämplig rätt. Den ger dock i någon mån nationellt handlingsutrymme. Genom nationell lag kan man preciseras den rättsliga grunden för behandlingen av personuppgifter och innehållet i behandlingen samt till exempel möjligheten att under vissa förutsättningar göra undantag från den registrerades rättigheter. Artikel 6 i dataskyddsförordningen innehåller närmare bestämmelser om laglig behandling av personuppgifter. Med stöd av artikel 9 i förordningen kan närmare bestämmelser utfärdas också om behandling av personuppgifter inom särskilda kategorier av personuppgifter. Grundlagsutskottet har framhållit att i den mån EU-lagstiftningen kräver reglering på det nationella planet eller möjliggör sådan är det viktigt att hänsyn tas till de krav som de grundläggande fri- och rättigheterna och de mänskliga rättigheterna ställer när det nationella spelrummet utnyttjas (GrUU 14/2018 rd). 

I propositionsmotiven redogörs det för hur förslagen i propositionen relaterar till dataskyddslagen avseende brottmål och till dataskyddsförordningen. Förvaltningsutskottet föreslår vissa ändringar i lagförslaget som är av betydelse med avseende på unionsrätten. Valet i den nationella lagstiftningen mellan en registerbaserad regleringslösning eller en lösning som utgår från ändamålen med behandlingen begränsas dock inte i något avseende av EU-lagstiftningen om dataskydd. 

Förvaltningsutskottet konstaterar vidare att dataskyddsförordningen, dataskyddslagen och dataskyddslagen avseende brottmål innehåller detaljerade bestämmelser bland annat om de allmänna principerna för behandling av personuppgifter, om den personuppgiftsansvariges skyldigheter, om den registrerades rättigheter, om informationssäkerhet och övervakning och om följderna av lagstridig behandling av personuppgifter. 

Enligt förvaltningsutskottets uppfattning beaktar propositionen på behörigt sätt de krav som följer av unionsrätten. Behörigheten att bedöma om lagstiftningen harmonierar med unionsrätten hör emellertid till EU-domstolen. 

Lagens tillämpningsområde

Grundlagsutskottet menar att det komplex som den tillämpliga lagstiftningen utgör inte kan anses klart och begripligt trots att strukturen i den reglering som nu utvärderas innehåller tydliga försök till klarhet och tydlighet. Förhållandet mellan unionsrätten och de nationella bestämmelserna är delvis överlappande och delvis avskiljande. Det är svårt och tidsödande att utifrån de bestämmelser som ingår i lagförslaget få klarhet i det exakta tillämpningsområdet för den föreslagna regleringen. Bestämmelserna i 2 § om den föreslagna lagens tillämpningsområde i förhållande till annan lagstiftning är inte särskilt tydliga i detta avseende. Trots att grundlagsutskottet anser det klart att det begränsade och specifika tillämpningsområdet för unionsrätten och dess dataskyddsbestämmelser är en synnerligen starkt bidragande orsak till den komplicerade regleringen, bör förvaltningsutskottet undersöka om det finns några sätt att förtydliga frågan om tillämpningsområdet. 

Förvaltningsutskottet anser att det till följd av de villkor som ingår i EU-regleringen inte egentligen finns några möjligheter att precisera tillämpningsområdet för den föreslagna lagen. I 2 § i lagförslaget beskrivs det hur de föreslagna bestämmelserna relaterar till tillämpningsområdet för de allmänna lagarna med den noggrannhet som den allmänna lagstiftningen om dataskydd tillåter. Utskottet kommer dock med följande påpekanden. 

Tillämpningsområdet för Tullens personuppgiftslag framgår av det som föreskrivs i 1 § om till-lämpningsområdet och av det som föreskrivs i 2 § om förhållandet till annan lagstiftning. Förvaltningsutskottet föreslår vissa preciseringar i 1 §. De framgår närmare av detaljmotiven. Det finns speciallagstiftning inom såväl Tullens som polisens och Gränsbevakningsväsendets ansvarsområde. Som exempel på specialbestämmelser kan nämnas den lag som föreslås i proposition RP 55/2018 rd om användning av flygpassageraruppgifter för bekämpning av terroristbrott och grov brottslighet. 

I 1 punkten till 2 § 1 mom. föreskrivs det om när dataskyddslagen avseende brottmål ska tillämpas som allmän lag på behandling av personuppgifter vid Tullen (1 mom.). Enligt 1 § ska dataskyddslagen avseende brottmål tillämpas på behandlingen av personuppgifter i syfte att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning samt för att skydda mot eller förebygga hot mot den allmänna säkerheten. Dataskyddsförordningen är direkt tillämplig rätt och dess tillämpningsområde kan inte begränsas eller förklaras genom nationell reglering. För den skull ingår i 2 § 2 mom. endast in informativ hänvisning till dataskyddsförordningen. Dataskyddsförordningen och den kompletterande nationella dataskyddslagen tillämpas vid Tullen till exempel på tullövervakning och skattekontroll, övriga övervakningsuppgifter som föreskrivs för Tullen och behandling av personuppgifter i samband med gränsbevakningsuppgifter. 

EU:s dataskyddsreform har genomförts med beaktande av principen om handlingars offentlighet. I artikel 86 i dataskyddsförordningen föreskrivs det om att samordna dataskyddslagstiftningen och principen om handlingars offentlighet. Enligt skäl 16 i dataskyddsdirektivets ingress påverkar direktivet inte tillämpningen av principen om allmänhetens rätt att få tillgång till allmänna handlingar. När uppgifter lämnas ut ur en myndighets personregister ska offentlighetsprincipen och sekretessbestämmelserna beaktas på det sätt som föreskrivs i offentlighetslagen och i synnerhet i dess 16 § 3 mom. När dataskyddslagen avseende brottmål stiftades framhölls det att avsikten inte är att genom den föreslagna lagen ändra det nuvarande inbördes förhållandet mellan offentlighetslagstiftningen och lagstiftningen om skydd för personuppgifter (FvUB 14/2018 rd). Med hänvisning till grundlagsutskottets utlåtande föreslår förvaltningsutskottet nedan att hänvisningen till offentlighetslagen i den föreslagna 2 § preciseras på det sätt som framgår av detaljmotiven. 

I det föreliggande lagförslaget föreslås inga särskilda befogenhetsbestämmelser. Bestämmelser om tullens uppgifter och befogenheter finns i tullagen (304/2016), lagen om Tullens organisation (960/2012) och lagen om brottsbekämpning inom Tullen (623/2015). I många speciallagar finns det dessutom bestämmelser om tullövervakning och därtill anslutna befogenheter. Bestämmelser om befogenheter att inhämta information som behövs för att förebygga och avslöja brott samt avvärja fara trots skyddet för hemligheten i fråga om förtroliga meddelanden finns i lagen om brottsbekämpning inom Tullen och bestämmelser om befogenheter att inhämta motsvarande information som behövs för brottsutredning finns i tvångsmedelslagen (806/2011) och förundersökningslagen (805/2011). Vid behandling av personuppgifter som inhämtats med Tullens befogenheter ska den allmänna lagstiftningen om dataskydd iakttas och dessutom den föreslagna lagen om behandling av personuppgifter inom Tullen. Om befogenhetsbestämmelserna innehåller strängare villkor för behandling av personuppgifter ska dessa iakttas i stället för Tullens personuppgiftslag. 

Under alla omständigheter kommer den allmänna lagstiftningen och speciallagstiftningen att utgöra ett mångbottnat komplex. Det kan vara svårt att identifiera de tillämpliga bestämmelserna i synnerhet i den praktiska verksamheten. Även den i sammanhanget nya principen om ändamålsbundenhet förutsätter nya attityder. Förvaltningsutskottet framhåller att allt detta ger upphov till ett stort behov att styra in verksamheten i nya banor och att ge personalen en gedigen utbildning. Myndigheterna måste behandla sina personregister och personuppgifter på ett korrekt sätt i alla hänseenden och uppfylla de lagstadgade kraven på personregister, påpekar utskottet. Det är också viktigt att genomföra en god informationshantering och att följa bästa praxis. 

Behandling av personuppgifter för förebyggande eller avslöjande av brott

Den gällande lagen om behandling av personuppgifter inom Tullen tillämpas enligt dess 1 § på sådan automatisk behandling av personuppgifter som behövs för skötseln av de uppdrag som i lag föreskrivs för Tullen och på annan behandling av personuppgifter, då de utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant. Syftet med den gällande lagen har dock varit att reglera lagringen av uppgifter i Tullens rikstäckande informationssystem och i andra i lagen avsedda personregister. Bestämmelserna gäller därmed inte behandlingen av information som omfattas av lagens tillämpningsområde innan de lagras i ett namngivet personregister eller informationssystem. 

Ett syfte med en reglering som utgår från behandlingsändamålet är att täcka in alla typer av behandling av personuppgifter som behövs för skötseln av de övervakningsuppdrag som i lag föreskrivs för Tullen och för att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning. Med avvikelse från den gällande lagen kommer de nya bestämmelserna som grundar sig på ändamålsbundenhet att också gälla behandling av det som enligt definitioner i den allmänna lagstiftningen utgör ett personregister samt automatisk behandling, även om det inte finns några bestämmelser om detta i Tullens personuppgiftslag. 

Således gäller 7 och 8 § om att behandla personuppgifter i syfte att förbygga eller avslöja tullbrott i lagförslag 1 i propositionen all registrering och annan behandling av personuppgifter som behövs för Tullens förebyggande och avslöjande verksamhet. Paragraferna ska ersätta de gällande bestämmelserna om behandling av information för att förhindra och avslöja brott i informationssystemet för brottsbekämpning i 3 §, i underrättelseregistret i 4 § och i Tullens övriga personregister i 7 §. 

Avsikten är dessutom att 7 och 8 § i enlighet med ändamålsbundenhetsgrunden ska inbegripa också sådan informationsbehandling i anknytning till Tullens förebyggande verksamhet som den gällande lagen saknar bestämmelser om. Enligt 3 kap. i lagen om brottsbekämpning inom Tullen får Tullen genom hemliga metoder för inhämtande av information samla in uppgifter om personer i fråga om vilka det finns grundad anledning att anta att de kommer att begå brott. Det finns inga bestämmelser i den gällande lagen om hur dessa uppgifter ska behandlas i inledningsfasen, även om de måste behandlas automatiskt bland annat för att utröna om tröskeln för registrering i underrättelseregistret överskrids. I den gällande lagen om behandling av personuppgifter inom Tullen regleras med andra ord inte behandlingen av uppgifter som inhämtats med hemliga metoder för inhämtande av information förrän de registreras i något av de informationssystem som nämns i lagen. Villkoret för behandling enligt den föreslagna 7 § 2 mom. 1 punkten (”med fog kan antas”) täcker in behandlingen av uppgifter som inhämtats med metoder som avses i 3 kap. i lagen om brottsbekämpning inom Tullen i syfte att förhindra brott. Detta är inte fallet med det villkor, ”skäl att misstänka”, som nämns i den gällande lagen. 

Grundlagsutskottet har reagerat på att enligt motiven i propositionen till lagstiftningsordningen innebär de föreslagna 7 och 8 § en utvidgning i jämförelse med den gällande lagen av det datainnehåll som behandlas riksomfattande, både vad gäller datainnehållet och de kategorier av personer som får registreras. Enligt gällande lag är antecknande i registret knutet till straffet för ett misstänkt brott på så sätt att personuppgifter om en person som gör sig skyldig eller misstänks ha gjort sig skyldig till ett brott får behandlas om straffpåföljden kan vara fängelse. Uppgifter om en person som har medverkat eller medverkar till ett brott får enligt gällande lag behandlas om det misstänkta brottet kan följas av fängelse i minst ett år. Grundlagsutskottet konstaterar att det i 7 § inte uppställs några kriterier för hur grova brott det är fråga om, utan de uppgifter som lagrummet avser förutsätts anknyta till personer som ”med fog kan antas ha gjort sig eller göra sig skyldiga till brott”. Enligt det gällande 4 § 1 mom. är en förutsättning för behandling av uppgifter att en person ”skäligen kan misstänkas” göra eller ha gjort sig skyldig till brott. Utskottet påpekar att myndighetsmisstanke om brott enligt artikel 10 i dataskyddsförordningen utgör en känslig personuppgift som kräver särskild konstitutionell reglering. Förvaltningsutskottet måste komplettera regleringen så att behandlingen knyts till brottets grovhetsgrad. En sådan komplettering är en förutsättning för att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning. Dessutom finns det anledning för förvaltningsutskottet att höja graden av antagande exempelvis till ”skäl att misstänka” i överensstämmelse med den gällande lagen, anser grundlagsutskottet. 

I det följande jämförs de föreslagna ändringarna i propositionen närmare med den gällande lagen. 

Underrättelseregistret

I den gällande lagen finns bestämmelser om underrättelseregistret i 4 §. För att förhindra, avslöja och utreda tullbrott samt föra dessa brott till åtalsprövning får det i underrättelseregistret införas information om personer som skäligen kan misstänkas för att göra sig skyldiga eller ha gjort sig skyldiga till ett brott på vilket det kan följa fängelse, eller medverka eller ha medverkat till ett brott på vilket det kan följa fängelse i minst ett år. 

Förvaltningsutskottet har fäst uppmärksamhet vid brister i anknytning till behandlingen av personuppgifter i polisens informationssystem över misstänkta (FvUU 40/2014 rd). I det registret kan endast antecknas misstänkta och medverkande. Förvaltningsutskottet har i ett betänkande (FvUB 16/2014 rd) konstaterat att när uppgifter om en person förs in i registret över misstänkta måste kriterierna uppfyllas, det vill säga att personen kan misstänkas göra sig eller ha gjort sig skyldig alternativt medverka eller ha medverkat till ett brott. Tröskeln för ”skäl att misstänka” (”skäligen kan misstänkas”) är densamma som tröskeln för att inleda förundersökning av brott enligt förundersökningslagen. Förvaltningsutskottets ovan refererade ställningstaganden till polisens informationssystem över misstänkta är relevanta vid bedömningen av förutsättningarna för att föra in information i Tullens underrättelseregister. 

Att det inte är så enkelt att tillämpa bestämmelserna om registret över misstänkta framgår enligt förvaltningsutskottet av att registret inte bara innehåller uppgifter om misstanke om att personer har gjort sig skyldiga eller har medverkat till brott som avses i bestämmelsen, utan också om misstanke om att personer kan göra sig skyldiga eller medverka till sådana brott i framtiden. Det är uppenbart att misstanken också i sådana fall måste grunda sig på konkreta iakttagelser som ger anledning att sluta sig till att personen kommer att handla så att kravet ”skäl att misstänka” uppfylls på ett godtagbart sätt. Att bedöma hur en person kommer att bete sig i framtiden är kopplat till en så osäker slutledningskedja att risken för felbedömning är mycket stor. 

Bestämmelserna om underrättelseregistret har betraktats som oändamålsenliga och bristfälliga även med tanke på Tullens verksamhet. I sin nuvarande utformning gynnar bestämmelsen inte fullt ut Tullens förebyggande verksamhet, prognostisering och utnyttjande av systematiskt inhämtad och behandlad information. 

Vid utformningen av de föreslagna 7 och 8 § om behandling av personuppgifter för förebyggande och avslöjande av brott har uppmärksamhet fästs vid de anmärkningar av förvaltningsutskottet som refererats ovan i fråga om informationssystemet över misstänkta (FvUU 40/2014 rd och FvUB 16/2014 rd). Enligt den föreslagna 7 § får Tullen behandla personuppgifter som hänger samman med en uppgift i anknytning till förebyggande eller avslöjande av brott. I paragrafen finns en uttömmande förteckning över vilka personkategorier bestämmelsen gäller. 

Enligt propositionen kan man med stöd av 7 § 2 mom. 1 punkten behandla personuppgifter om personer som med fog kan antas ha gjort sig eller göra sig skyldiga till brott. Med hänvisning till grundlagsutskottets utlåtande föreslår förvaltningsutskottet på det sätt som närmare framgår av detaljmotiven att tröskeln för behandling av personuppgifter höjs så att bestämmelsen endast kan tillämpas i fråga om personer som med fog kan antas ha gjort sig eller göra sig skyldiga till brott för vilka det strängaste straffet enligt lag är fängelse. Formuleringen ”skäligen kan misstänkas” i 4 § i den gällande lagen är ett begrepp som hänför sig till inledande av förundersökning och den definitionen är svår att anpassa till verksamhet som anknyter till förhindrande och avslöjande verksamhet. Tullens verksamhet för att förhindra brott riktar sig normalt mot personer i fråga om vilka det ännu inte uppkommit någon skyldighet att inleda förundersökning. Begreppet ”skäligen kan misstänkas” kan inte i verksamhet som handlar om att förhindra eller avslöja brott tolkas på samma sätt som vid en förundersökning. Det är därför befogat att formulera tröskeln för behandling av personuppgifter på ett sätt som uttryckligen hänger samman med att förhindra och avslöja brott och med de till den verksamheten bundna befogenheterna att inhämta information. Den föreslagna nya tröskeln för behandling av personuppgifter (”med fog kan antas”) kan också motiveras med att den tydligare än tröskeln ”skäligen kan misstänkas” anknyter till 3 kap. i lagen om brottsbekämpning inom Tullen, som handlar om informationsinhämtning för att förhindra och avslöja brott. 

Med stöd av förslaget till 7 § 2 mom. 2 punkt är det möjligt att behandla personuppgifter om personer som har kontakt med en i 1 punkten avsedd person eller påträffas i dennes sällskap, och kontakten eller sammanträffandena på grund av att de har upprepats, omständigheterna eller personens beteende kan antas ha samband med ett brott. Jämfört med den gällande lagen är denna kategori av personer tämligen ny. Behovet att behandla uppgifter om kontakter och medgärningsmän noteras också i dataskyddsdirektivet för brottsbekämpande myndigheter och i artikel 6 föreskrivs det om åtskillnad mellan olika kategorier av registrerade. I artikel 6 d nämns personer med kontakter eller medgärningsmän till de aktuella personerna. Dessa personer ska anknyta till personer i fråga om vilka det finns vägande skäl att anta att de har begått eller är på väg att begå ett brott eller personer som dömts för brott. 

Eftersom grundlagsutskottet förutsätter att behandlingen av personuppgifter är knuten till brottets grovhetsgrad måste också den personkategori som avses i 2 punkten begränsas på ett annat sätt än i propositionen. Med stöd av 2 punkten kan uppgifter behandlas endast i fråga om personer som har kontakt med sådana i 1 punkten avsedda personer som misstänks ha begått brott på vilka det kan följa fängelsestraff. Den personuppgiftsansvarige ska i enlighet med kraven i dataskyddslagen avseende brottmål vid behov och så långt det är möjligt göra en klar åtskillnad mellan personuppgifter som avser registrerade i olika ställning med tanke på det ärende som behandlas. 

Tullen kan med stöd av den föreslagna 7 § 2 mom. 3 punkten behandla uppgifter om personer som är föremål för sådan observation som avses i 3 kap. 9 § i lagen om brottsbekämpning inom Tullen. Med observation avses i enlighet med 3 kap. 9 § 1 mom. i lagen om brottsbekämpning inom Tullen iakttagande av en viss person i hemlighet i syfte att inhämta information. Till i punkten avsedda personer hör personer som är föremål för observation, när deras uppgifter inte kan behandlas med stöd av 1 och 2 punkten. Det har framkommit ett behov att komplettera punkten med bestämmelser om registrering av uppgifter också om andra personer som är föremål för tullövervakning eller tullbrottsbekämpning. Denna frågar behandlas närmare nedan i samband med informationssystemet för brottsbekämpning. 

I vissa situationer måste Tullen nödvändigt behandla uppgifter också om andra personer än de som i första hand är föremål för kriminalunderrättelseinhämtning. I det föreslagna 7 § 3 mom. kan för dessa personers vidkommande föreskrivas om en högre behandlingströskel. Behandling av uppgifter om de som är offer för brott eller som uppträder som målsägande, som har anmält ett brott eller är vittnen till ett brott kan vara nödvändig exempelvis i situationer där man försöker förebygga ett brott mot ett vittne eller en målsägande i ett redan inträffat brott. Bestämmelsen förtydligar nuläget och gör det möjligt att till exempel behandla uppgifter om brottsoffer, något som hittills i fråga om underrättelseregistret bara har framgått av motiveringen till bestämmelsen. 

Tillfälliga brottsanalysregister

I den gällande lagen föreskrivs det om temporära register för brottsanalys i 7 § 2 mom., som gäller Tullens övriga personregister. Enligt momentet får det för att användas av en eller flera av Tullens verksamhetsenheter inrättas ett temporärt register för sådan brottsanalys som behövs för att förhindra, avslöja eller utreda sådana tullbrott som kan leda till fängelse, och i registret får det samköras, lagras och i övrigt behandlas uppgifter i de informationssystem och personregister inom Tullen som avses i 3—6 §, uppgifter som i samband med utförandet av ett enskilt tulluppdrag har inhämtats genom kriminalunderrättelseverksamhet, observation eller iakttagelser samt andra behövliga uppgifter som Tullen har rätt att få enligt 13 §. De gällande bestämmelserna inriktar också analysverksamheten och situationsbilden utifrån analyser i riktning mot enskilda brott eller brottskomplex, och inte mot en sammantagen bild av brottsligheten eller omvärldsförändringar. Funktionellt sett är det också ett problem att uppgifterna i registren för brottsanalys inte kan användas i hela landet. Tillsynen över registreringen försvåras likaså av att registreringen är så splittrad. 

I förslaget till 7 § har behandlingströskeln för vissa personkategorier höjts. I den gällande lagen finns inga bestämmelser om personkategorier om vilka uppgifter kan registreras i tillfälliga analysregister. Förslaget innebär således välkomna preciseringar jämfört med nuläget. Personuppgifter skulle emellertid framöver få behandlas i hela landet för utförandet av en uppgift som anknyter till förebyggande eller avslöjande av brott. Uppgifterna kommer att behandlas enhetligt i enlighet med riksomfattande processer, vilket underlättar styrningen och övervakningen av behandlingen och förbättrar skyddet för uppgifterna. 

Informationssystemet för brottsbekämpning.

Bestämmelserna om iakttagelser som registrerats i informationssystemet för brottsbekämpning (gällande 3 § 3 mom. 2 punkten) ingår i propositionens 7 § 5 mom. om förebyggande eller avslöjande av brott. Det föreslås inga materiella ändringar i bestämmelserna om observationer, utan behandlingströskeln är densamma som hittills. 

Utöver observationer registreras i Tullens informationssystem för brottsbekämpning också i den gällande lagens 3 § 2 mom. avsedda personuppgifter om vittnen, dem som anmäler brott eller som har något annat samband med ärendet. Om dessa registreras i systemet enligt 3 § 3 mom. 1 punkten underpunkt c uppgifter om andra behövliga beskrivningar, omständigheter eller specificeringar som hänför sig till Tullens uppgifter, åtgärder eller händelser. 

Tullens brottsförebyggande verksamhet riktar sig ofta också mot personer som inte med fog kan antas göra sig skyldiga till brott på vilket det kan följa fängelsestraff på ett sådant sätt som den behandlingströskel som utskottet föreslagit i 7 § 2 mom. 1 punkten förutsätter. Tullen kan vara skyldig att utreda eller vidta åtgärder också innan en person med fog kan antas göra sig skyldig till brott. Föremål för åtgärder kan också vara en person som med fog kan antas göra sig skyldig till brott eller ha en sådan kontakt till denna brottslighet som avses i 7 § 2 mom. 2 punkten, men brottets grovhetsgrad kan vara oklar. En del av de personuppgifter som enligt den gällande lagen kan behandlas i informationssystemet för brottsbekämpning utan bundenhet till grovhetsgraden skulle därmed lämnas utanför en sådan behandling av personuppgifter som avses paragraferna. Den föreslagna ändringen försämrar således Tullens möjligheter att registrera uppgifter i den förebyggande verksamheten. 

Bestämmelsen i 7 § 2 mom. 3 punkten måste kompletteras med en ny personkategori, personer som är föremål för åtgärder för tullövervakning och tullbrottsbekämpning, för att det ska vara möjligt att behandla uppgifter som gäller personer som är föremål för åtgärder inom ramen för Tullens förebyggande verksamhet. Tullen ska ha möjlighet att behandla uppgifter också om personer som är föremål för dessa åtgärder. Det här behövs för att förebygga och avslöja brott fram till dess att man kan avgöra om den behandlingströskel som avses i 7 § 2 mom. 1 eller 2 punkten överskrids. Tullens åtgärder i fråga om fysiska personer är alltid en del av ett enskilt uppdrag och kan vara förenat med olika grad av utövande av offentlig makt. 

Det saknas egentliga bestämmelser om registrering av förebyggande verksamhet i informationssystemet för brottsbekämpning, om man undantar definitionen av behandlingssyfte i det föreslagna 3 § 1 mom. som gäller Tullen samtliga lagfästa uppgifter för tillsyn och brottsbekämpning. De föreslagna 7 och 8 § skulle i detta avseende förtydliga Tullens behörighet att behandla uppgifter om personer som är föremål för åtgärder. Utskottet påpekar att den gällande 3 § tillåter behandling av uppgifter om ”den som har något annat samband med ärendet”. Begreppet definieras inte närmare och därmed skulle de personkategorier vilkas uppgifter får behandlas snävas in märkbart enligt lagförslaget. Utskottet hänvisar till det som sägs i detaljmotiveringen. 

Sammanfattning

Utskottet beaktar grundlagsutskottet konstitutionella anmärkningar och föreslår på det sätt som framgår av detaljmotiven att behandlingen av personuppgifter ska anknyta till det misstänkta brottets grovhetsgrad. Tröskeln för behandling av personuppgifter föreslås således bli höjd så att uppgifter kan behandlas endast i fråga om personer som med fog kan antas ha gjort sig eller göra sig skyldiga till brott på vilket det kan följa fängelse. 

Förvaltningsutskottet konstaterar att om behandlingströskeln höjs till nivån ”skäligen misstänkas” ökar samtidigt trycket på att behandla uppgifter om de personer som är föremål för åtgärder. Uppgifter om den som är föremål för åtgärder skulle i så fall behandlas med stöd av den föreslagna 7 § 2 mom. 3 punkten till dess att det blir klart om personen skäligen kan misstänkas ha gjort eller göra sig skyldig till ett brott på vilket det kan följa fängelse. Utskottet hänvisar till det som sägs ovan om förebyggande och avslöjande av brott och jämförelser mellan register och konstaterar att det anser att den behandlingströskel som föreslås i 7 § 2 mom. 1 punkten i propositionen (”med fog kan antas”) är motiverad, och utskottet lägger inte fram något förslag till ändring. 

Förvaltningsutskottet understryker att beslutsfattandet i Tullens verksamhet måste grunda sig på saklig, korrekt och aktuell information. Genom att behandla uppgifter kan man försäkra sig om att åtgärderna är proportionerliga i sin inriktning och att verksamheten är informationsdriven. Att behandla och dokumentera uppgifter är samtidigt en rättssäkerhetsfaktor med vilken man tryggar rättssäkerheten för såväl de som är föremål för som de som vidtar åtgärderna. En utvärdering av verksamheten i efterskott kan i princip endast bygga på dokumenterad information. 

Rätt att lämna ut och att få uppgifter

I sitt utlåtande om Tullens personuppgiftslag hänvisar grundlagsutskottet till bestämmelsen om Tullens rätt att få uppgifter ur vissa register och informationssystem (GrUU 60/2018 rd). Grundlagsutskottet har bedömt bestämmelserna om myndigheternas rätt att få och skyldighet att lämna ut information med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få information gäller och hur rätten är kopplad till nödvändighetskriteriet. Myndigheternas rätt att få och att lämna ut information kan gälla ”uppgifter som behövs” för ett visst syfte, om lagen ger en uttömmande förteckning över vad uppgifterna ska innehålla. Om innehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att ”informationen är nödvändig” för ett visst syfte (se t.ex. GrUU 17/2016 rd, s. 5—6, och de utlåtanden som nämns där). I sina analyser av exakthet och innehåll har utskottet lagt särskild vikt vid huruvida de uppgifter som lämnas ut är av känslig art. Om de föreslagna bestämmelserna om överlåtelse av uppgifter har gällt också känsliga uppgifter, har det för vanlig lagstiftningsordning krävts att bestämmelserna preciseras så att de följer grundlagsutskottets ovan återgivna praxis för bestämmelser som rör rätten att få och att lämna ut myndighetsuppgifter trots sekretess (se t.ex. GrUU 15/2018 rd, s 39). I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har utskottet lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 14/2018 rd, s. 5). Utskottet anser att motsvarande utgångspunkter också kan tillämpas på rätten att få och lämna ut information trots banksekretessen (se GrUU 48/2018 rd, s. 5). 

Grundlagsutskottet menar att den föreslagna 14 § om Tullens rätt att få uppgifter ur vissa register och informationssystem i Tullens personuppgiftslag, på grund av grundlagens 10 § 1 mom. om skydd för privatlivet och personuppgifter måste preciseras så att den följer grundlagsutskottets ovan refererade praxis för bestämmelser som rör rätten att få och att lämna ut myndighetsuppgifter trots sekretess. Ändringen är en förutsättning för att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning. Motsvarande ställningstagande i fråga om lagstiftningsordningen gäller också de föreslagna 15 § om uppgifter som andra myndigheter lämnar ut till Tullen genom registrering via direkt anslutning eller för registrering som en datamängd, 18 § om utlämnande av personuppgifter till en annan behörig myndighet som avses i dataskyddslagen avseende brottmål och 19 § om övrigt utlämnande av personuppgifter till myndigheter. 

Enligt grundlagsutskottets utlåtande (GrUU 58/2018 rd) om RP 241/2018 rd med förslag till lag om behandling av personuppgifter vid Gränsbevakningsväsendet måste regleringen i 17 § i lagförslag 1 på grund av grundlagens 10 § 1 mom. om skydd för privatlivet och personuppgifter preciseras så att den följer grundlagsutskottets ovan återgivna praxis för bestämmelser som rör rätten att få och att lämna ut myndighetsuppgifter trots sekretess. Ändringen är en förutsättning för att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning. Samma ståndpunkt gäller förslaget till 18 § om rätt att få uppgifter av privata sammanslutningar och personer, 20 § om rätt att få uppgifter ur vissa register och datasystem, 30 § om utlämnande av personuppgifter till en annan behörig myndighet som avses i dataskyddslagen avseende brottmål och 31 § om övrigt utlämnande av personuppgifter till myndigheter. 

Också i polisens personuppgiftslag (RP 242/2018 rd) finns det bestämmelser om rätten att lämna ut och få uppgifter. Grundlagsutskottets utlåtande (GrUU 51/2018 rd) innehåller en konstitutionell anmärkning bara i fråga om den föreslagna 51 §, som gäller skyddspolisen. Förvaltningsutskottet anser att regleringen ska vara så överensstämmande som möjligt av hänsyn till PTG-samarbetet mellan polisen, Tullen och Gränsbevakningsväsendet. Regleringen får inte heller leda till att uppgifter får lämnas ut till andra EU/EES-länder eller tredjeländer på vagare grunder än de som gäller nationellt. 

Enligt allmän praxis har bestämmelser om utlämnande av uppgifter och om rätt att få information tagits in i både den överlåtande myndighetens och den mottagande myndighetens lagstiftning. Men detta regleringssätt har inte varit heltäckande. I sitt betänkande FvUB 36/2014 rd har förvaltningsutskottet uppmärksammat den dubbla regleringen. Förutom dubbel reglering har frågan i speciallagstiftningen också lösts så att bestämmelser om rätten att få information tas in enbart i fråga om den aktör som lämnar ut uppgifter eller enbart i fråga om den aktör som har rätt att få uppgifter. 

Förvaltningsutskottet konstaterar att den föreslagna regleringen nu ser ut att utformas på olika sätt i den lagstiftning som gäller dels förhållandet polisen och Gränsbevakningsväsendet/Tullen, dels till vissa delar också förhållandet mellan Tullen och Gränsbevakningsväsendet. De föreslagna ändringar skulle samtidigt leda till att uppgifter får lämnas ut till andra EU/EES-länder eller tredjeländer på vagare grunder än de som gäller nationellt. 

I sina analyser av exakthet och innehåll har grundlagsutskottet lagt särskild vikt vid huruvida de uppgifter som lämnas ut är av känslig art. Om de föreslagna bestämmelserna om överlåtelse av uppgifter har gällt också känsliga uppgifter, har det för vanlig lagstiftningsordning krävts att bestämmelserna preciseras så att de följer grundlagsutskottets ovan återgivna praxis för bestämmelser som rör rätten att få och att lämna ut myndighetsuppgifter trots sekretess (se t.ex. GrUU 15/2018 rd, s. 39). 

Förvaltningsutskottet konstaterar att känsliga personuppgifter behandlas inom Tullen för att både de tulluppgifter som hör till polisdirektivets och de som hör till dataskyddsförordningens tillämpningsområde ska kunna skötas. Dessutom ansluter sig Tullens behov att behandla uppgifter som hör till särskilda kategorier av personuppgifter till nästan alla ändamål med behandlingen enligt lagförslaget. 

EU:s dataskyddsreform har skärpt dataskyddet. I artikel 5 i dataskyddsförordningen föreskrivs det om principerna för behandling av personuppgifter och i artikel 6 om behandlingens laglighet. Behandlingen av personuppgifter är laglig bland annat när behandlingen behövs för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. 

Enligt artikel 9.1 i dataskyddsförordningen är behandling av särskilda kategorier av personuppgifter i princip förbjuden. Särskilda kategorier av personuppgifter är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Behandling av särskilda kategorier av personuppgifter är också behandling av genetiska uppgifter, hantering av biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Enligt artikel 9.2 får uppgifterna behandlas om något av villkoren i leden till punkt 2 uppfylls. En del av de här leden ska tillämpas direkt medan andra kräver nationell lagstiftning. 

I 6 § i den nationella dataskyddslagen, som kompletterar dataskyddsförordningen, föreskrivs det om situationer där känsliga personuppgifter får behandlas i den mån den aktuella behandlingen av personuppgifter inte är möjlig direkt med stöd av artikel 9.2 i dataskyddsförordningen. Det är dock viktigt att i sammanhanget observera att begreppet särskilda kategorier av personuppgifter inte är exakt detsamma som de personuppgifter som avses i 12 § i den tidigare personuppgiftslagen. Förordningen förutsätter att medlemsstatens lagstiftning då innehåller bestämmelser om lämpliga och särskilda åtgärder för att skydda den registrerades grundläggande fri- och rättigheter och intressen. 

Enligt 6 § i dataskyddslagen avseende brottmål ska personuppgifterna vara adekvata och behövliga och inte för omfattande i förhållande till de syften för vilka de behandlas. Enligt 11 § i den lagen är de särskilda kategorierna av personuppgifter desamma som i dataskyddsförordningen. Enligt paragrafen är behandling av särskilda kategorier av personuppgifter tillåten endast om det är nödvändigt och de skyddsåtgärder som krävs för att trygga den registrerades rättigheter har vidtagits och en sådan särskild rättsgrund som nämns i paragrafen, exempelvis en speciallag, är för handen. 

I dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring (artikel 4.2). I 3 § i dataskyddslagen avseende brottmål definieras behandling på motsvarande sätt. 

Enligt grundlagsutskottets utlåtande måste ett i särklass grundrättighetskänsligt lagförslag kompletteras med en allmän bestämmelse med ett nödvändighetskrav för behandling av känsliga uppgifter. Alternativt kan regleringen kompletteras paragrafvis med bestämmelser som knyter behandlingen av känsliga uppgifter till ett nödvändighetskrav. Med anledning av grundlagsutskottets utlåtande föreslår förvaltningsutskottet att en sådan allmän bestämmelse tas in i den nya 4 § på det sätt som närmare framgår av detaljmotiven. 

Eftersom utlämnande och mottagande av uppgifter på det sätt som konstateras ovan betraktas som behandling av uppgifter inom de båda dataskyddsförfattningarnas tillämpningsområde, gäller utskottets förslag till ny bestämmelse om ett nödvändighetskriterium för behandling av särskilda kategorier av personuppgifter också att lämna ut och att få uppgifter. Därmed uppfyller bestämmelsen samtidigt de kriterier som grundlagsutskottet i sin praxis har uppställt för bestämmelser om att få och kunna lämna ut personuppgifter trots sekretessbestämmelser för behandling av särskilda kategorier av personuppgifter. 

På andra uppgifter än särskilda kategorier av personuppgifter ska den allmänna lagstiftningen till-lämpas, alltså dataskyddsförordningen och dataskyddslagen samt dataskyddslagen avseende brottmål, enligt vilka personuppgifter får behandlas bara om det behövs för att sköta lagfästa myndighetsuppgifter. 

Utskottet anser att bestämmelserna i den form som utskottet föreslår uppfyller de villkor som EU-lagstiftningen och grundlagsutskottets etablerade tolkningspraxis ställer på behandling av personuppgifter och att de också beaktar de konstitutionella anmärkningarna mot 14, 15, 18 och 19 § i lagförslag 1. 

Lagringstid

Det föreslagna 5 kap. innehåller bestämmelser om arkivering av personuppgifter. Enligt artikel 5.1 e i dataskyddsförordningen och artikel 4.1 e i dataskyddsdirektivet får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. I kapitlet föreskrivs det om de maximala lagringstiderna för personuppgifter. Kapitlets bestämmelser begränsar inte tillämpningen av bestämmelser om radering av uppgifter eller bedömning av behövlighet någon annanstans i lag, utan de raderingstider som nämns i kapitlet ska iakttas om inte någon annan bestämmelse förutsätter att uppgifterna ska raderas redan tidigare. 

Under utfrågningen av sakkunniga har förvaltningsutskottet bland annat uppmärksammats på att arkiveringstiden i fråga om vissa uppgifter har uttryckts absolut (”5 år efter det att”), medan andra försetts med en maximitid (”senast 10 år efter det att”). Arkiveringstiden bör uttryckas absolut bara när man på förhand kan veta hur lång arkivering som behövs. Vid tillämpningen bör det emellertid beaktas att uppgifterna ska raderas när det inte längre finns någon grund för att arkivera dem. Med tanke på proportionalitetsprincipen kan det dessutom var nödvändigt att differentiera arkiveringen utifrån behovsprövning. 

Tiderna för radering av uppgifter enligt 5 kap. iakttas om inte någon annan bestämmelser kräver att uppgifterna raderas tidigare, menar förvaltningsutskottet. Utskottet anser emellertid att det är motiverat att arkiveringstiderna till vissa delar anges i absolut form. Den arkiveringstid på fem år som anges i det föreslagna 25 § 1 mom. garanterar att uppgifter sparas åtminstone under den tid det tar att behandla ett ärende i domstolsväsendet till dess att ett avgörande vinner laga kraft. När det gäller exempelvis de föreslagna 27 och 28 § finner utskottet det lämpligt att understryka att uppgifter ska raderas redan före arkiveringstiden på tio år löpt ut, om de visat sig vara överflödiga med tanke på ändamålet med behandlingen. 

Förvaltningsutskottet anser det likaså lämpligt att säkerställa att de arkiveringstider som avses i 5 kap. inte blir ett hinder för arkivering om det finns grundad anledning att anse att uppgifterna fortsatt behövs (25 § 4 mom., 26 § 4 mom. och 27 § 2 mom. i RP). Behovet av fortsatt bevarande av personuppgifterna ska bedömas minst vart femte år. Bestämmelserna motsvarar 6 § 3 mom. i dataskyddslagen avseende brottmål, enligt vilken behovet att bevara personuppgifter ska bedömas med minst fem års mellanrum, om inte något annat föreskrivs om bevaringstider för personuppgifter någon annanstans. Förvaltningsutskottet konstaterar vidare att en kortare arkiveringstid för uppgifter av känslig natur skulle leda till att en del av uppgifterna som hänför sig till ett specifikt fall skulle raderas vid en annan tidpunkt än övriga uppgifter. Det skulle vara problematiskt främst med tanke på informationens integritet. 

Sammantaget anser utskottet att den föreslagna lagringstiderna är ändamålsenliga. Grundlagsutskottet har inte haft någonting att anmärka beträffande lagringstiderna. 

Tillsyn

Grundlagsutskottet har konstaterat att Tullens personregister innehåller mycket sådan information som det är ytterst viktigt att skydda mot obehörig användning. I sådana situationer måste också användningen övervakas särskilt noga. Utskottet betonar att skyddet för uppgifter från obehörig användning inte uteslutande kan baseras på det tjänsteansvar som gäller för den personuppgiftsansvarige eller den som hanterar uppgifterna eller på något annat påföljdssystem. 

I 30 § i den gällande lagen sägs det att utöver vad som föreskrivs någon annanstans i lag ska Tullens bevakningsavdelning och den verksamhetsenhet inom Tullen som är registeransvarig övervaka att bestämmelserna om behandling av personuppgifter iakttas hos Tullen. I Tullens reglemente för brottsbekämpning, som ligger på en hierarkisk nivå motsvarande Tullens arbetsordning, finns det en förpliktande bestämmelse som gäller laglighetsövervakningen av Tullens brottsbekämpning. Enligt 6 kap. 6 § ska cheferna för de ansvariga enheterna inom brottsbekämpningen i tillräcklig utsträckning ansvara för laglighetsövervakningen av brottsbekämpningen inom det egna uppgiftsområdet och vid behov ge tillräckligt stöd till den allmänna laglighets-övervakning som Tullen och Tullens bevakningsavdelning utför. Den laglighetsövervakning som utförs av Tullen omfattar till exempel att behandla förvaltningsklagan och respons från allmänheten, övervaka behandlingen av personuppgifter, granskningar samt ge utlåtanden i synnerhet till de högsta laglighetsövervakarna. 

Enligt Tullens arbetsordning (157/2018), som utfärdats med stöd av lagen om Tullens organisation, svarar Tullens avdelningar och övriga enheter inom sitt eget uppgiftsområde för uppgifter som hör till den registeransvarige. Ledningen för avdelningarna och enheterna svarar för att behandlingen av personuppgifter och övervakningen av användning av personregister har ordnats lagenligt och på ett ändamålsenligt och effektivt sätt. För bevakningsavdelningens laglighetskontroll svarar i sin tur också avdelningens enhet för internationella och juridiska ärenden 

I Tullens interna laglighetskontroll betonas betydelsen av enhetschefernas, de övriga chefernas och de närmaste chefernas agerande samt anvisningarna om behandlingen av personuppgifter. Tillsynen över behandlingen av personuppgifter baserar sig dels på den dagliga chefstillsynen, dels på praxis rörande användarrättighet och logguppföljning samt på olika kontroller. Genom praxis för beviljande av användarrättigheter kan man se till att personuppgifter behandlas endast av personer i vars arbetsuppgifter behandling av personuppgifter ingår och som uppfyller de lagfästa villkoren för att få användarrättigheter. Tullen utför dessutom övervakning i form av stickprov i användarlogguppgifterna för de register som den för. Kontrollerna görs systematiskt och alltid när behov uppstår. 

I 7 § i statsrådets förordning (1126/2009), som utfärdats med stöd av lagen om samarbete mellan polisen, Tullen och Gränsbevakningsväsendet (687/2009, PTG-lagen), föreskrivs det att för övervakningen av behandlingen av personuppgifter vid PTG-kriminalunderrättelseenheterna svarar den PTG-myndighet som har inrättat registret i fråga. PTG-myndigheterna ordnar enligt samma paragraf i samband med övervakningen av behandlingen av personuppgifter gemensamma inspektioner och annan övervakning enligt vad som närmare avtalas i PTG-myndigheternas riksomfattande samarbetsavtal. 

EU:s dataskyddsreform har medfört viktiga ändringar i lagstiftningen om övervakningen av behandlingen av personuppgifter. Den nya dataskyddslagstiftningen betonar övervakningen av att lagligheten i behandlingen av personuppgifter säkerställs. I dataskyddsförordningen föreskrivs det om tillsynsmyndigheten och tillsynsmyndighetens befogenheter. Enligt dataskyddslagen finns dataombudsmannen i anslutning till justitieministeriet och är den nationella tillsynsmyndigheten enligt dataskyddsförordningen. 

Dataombudsmannen ska också vara specialmyndighet för efterlevnaden av dataskyddslagen avseende brottmål. Dataombudsmannen ska utöva tillsyn över efterlevnaden av lagen både på eget initiativ och på basis av begäranden om åtgärder som lämnas in till ombudsmannen. Dataombudsmannen kan göra utredningar av hur lagen följs och behandla begäranden om åtgärder som lämnats in till ombudsmannen. Ombudsmannen kan i fall av ett lagstridigt förfarande exempelvis meddela den personuppgiftsansvarige en anmärkning eller uppställa ett tillfälligt eller bestående förbud eller någon annan tillfällig eller bestående begränsning av behandlingen av personuppgifter. Ombudsmannen kan förena ett rättsligt förpliktande beslut med vite. 

Också riksdagens justitieombudsman och justitiekanslern i statsrådet ska i egenskap av högsta laglighetsövervakare följa efterlevnaden av lagstiftningen om behandling av personuppgifter som en del av den allmänna laglighetsövervakningen av myndigheter och tjänstemän. Båda två utför regelbundna inspektioner för att granska lagenligheten i verksamhet och behandling av personuppgifter. Riksdagens justitieombudsman och justitiekanslern i statsrådet övervakar dessutom lagenligheten i dataombudsmannens verksamhet. 

Förslaget till ändringar i Tullens personuppgiftslagstiftning innehåller förslag som innebär att behovet av övervakning kommer att öka. Avsikten är ändå att styra lagstiftningen i en sådan riktning att det blir lättare att leda och övervaka skyddet av uppgifterna. Enligt förvaltningsutskottets uppfattning kommer den nya lagstiftning som reglerar övervakningen, normbasen för övervakningen i övrigt och de praktiska effektiviseringsåtgärderna att skapa bättre förutsättningar att övervaka behandlingen av personuppgifter. Men det krävs också tillräckliga resurser för att förverkliga skyddet för personuppgifter och en effektiv övervakning. 

Den nya dataskyddslagstiftningen innefattar detaljerade bestämmelser om övervakning av behandlingen av personuppgifter och påföljder vid lagstridig behandling av sådana uppgifter, om den personuppgiftsansvariges ansvar och skyldigheter, den registrerades rättigheter och om informationssäkerheten. EU:s dataskyddsreform har skärpt den personuppgiftsansvariges ansvar. Den personuppgiftsansvarige ska ansvara för att personuppgifter behandlas i överensstämmelse med lag. Den personuppgiftsansvarige ska dessutom kunna visa att behandlingen av personuppgifter också i verkligheten överensstämmer med dataskyddslagstiftningen. Också det har betydelse med avseende på övervakningen.