Intervjuer om polisens register

Idag har jag gett kommentarer om polisens register i SR International och Expressen.

En av Skånepolisens förklaringar har varit att förneka att det handlar om register - de talar hellre om "analysfil" och uppgiftssammanställning. Fakta är att politikerna tagit bort begreppet "register" ur svensk lagstiftning och ersatt det med begrepp som "databas" (varav vissa benämns som analysdatabaser), "uppgiftssamling" och nu det senaste: "gemensamt tillgängliga uppgifter". För mig är detta nyspråk som förvirrar mer än det klargör. Förarbetena till nu gällande polisdatalag är dock tydlig att "register", "uppgiftssamling", "databaser" och "gemensamt tillgängliga uppgifter" avser samma sak (prop. 2009/10:85, sid. 124 och 126):

I stället för bestämmelser om register och databaser ska den nya lagen innehålla särskilda regler om behandling av uppgifter som görs eller har gjorts gemensamt tillgängliga i den brottsbekämpande verksamheten. ... I tidigare lagstiftning om personuppgiftsbehandling har begreppen register och databas använts för att definiera uppgifter som har gjorts tillgängliga för en större krets. ... Även om registerbegreppet fortsättningsvis kommer att användas inom polisen för vissa särskilda fall (bl.a. för några av de register som undantas från den nya lagens tillämpningsområde samt register över DNA-profiler) går utvecklingen mot att registerformen överges för mer sofistikerade datasystem [min understryckning]. Som en följd av detta bör den nya regleringen inte bygga på att behandlingen av personuppgifter sker i olika register eller databaser utan i stället ges en mera generell utformning. Ett tänkbart alternativ är att skapa särskilda begränsande regler för personuppgiftsbehandling som avser ”samlingar av uppgifter” eller ”uppgiftssamlingar”. ... Eftersom den nya regleringen ska omfatta all automatiserad behandling i polisens brottsbekämpande verksamhet, bör ett annat begrepp väljas. I betänkandet Kustbevakningens personuppgiftsbehandling Integritet – Effektivitet (SOU 2006:18) föreslås i stället för databas, register eller uppgiftssamling uttrycket gemensamt tillgängliga uppgifter."

Det är lätt att förstå vad "register" är för något medan jag anser att begreppet "gemensamt tillgängliga uppgifter" försvårar en meningsfull diskussion mellan allmänhet och statens företrädare. Även om man tycker denna nya begreppsapparat är bra utgör "analysfiler" inget frikort från de begränsningar som följer av polisdatalagen eller lagen om polisens allmänna spaningsregister vilket Skånepolisen verkar påskina.

Synpunkter på svar från folkpartiet

Jag har sett på sidan riksdagssvar.se att representanter från folkpartiet svarat på bloggsofärens frågor om FRA-lagen. Denna kommentar är ett försök att i allra största välmening försöka åstadkomma en diskussion om den lag som riksdagen antagit och undanröja eventuella missförstånd som råder hos folkpartiets riksdagsgrupp.

1. Sammanfattning
För att sammanfatta, domstolen kommer att godkänna vilken information FRA får tillgång till, dvs vilken information som ska inhämtas. När FRA i efterhand gör sökningar i i inhämtat material som finns i FRAs databaser behöver sökningar inte godkännas av domstolen. Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv får ensamt användas som sökbegrepp vid dessa sökningar inom ramen för några preciserade områden, t.ex. terrorism.

Det verkar finns en föreställning hos folkpartiets riksdagsgrupp att domstolen kommer att pröva FRAs sökningar i myndighetens egna databaser, när det framgår av överenskommelsen den 25 september att domstolen endast kommer att pröva inhämtning av information. Jag anser att varje sökning i FRAs interna databaser är enormt känslig vad avser personlig integritet, lika känslig som själva överföringen till staten och inhämtningen av information till FRA.

2. Utredning
Man måste skilja mellan inhämtning och sökning i efterhand i inhämtat material.

2.1 Inhämtning
2.1.1 Inhämtning av innehållsdata
FRA inhämtar två olika typer av data, innehållsdata och trafikdata. Innehållsdata inhämtas i begränsad omfattning till preciserade områden vilket framgår av 1 § första stycket lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet som hänvisar till lagen (2000:130) om försvarsunderrättelseverksamhet. Dessa preciserade områden anges i överenskommelsen från den 25 september 2008 och framgår av Sveriges Radios reportage:

1. yttre militära hot mot landet
2. förutsättningar för svenskt deltagande i fredfrämjande och humanitära internationella insatser, eller hot mot säkerheten vid såna insatser
3. säkerhetspolitiska konsekvenser vid internationell terrorism
4. utveckling och spridning av massförstörelsevapen och kontroll av svensk vapenexport
5. allvarliga yttre hot mot samhällets tekniska infrastrukturer, till exempel it-trafik
6. konflikter utomlands med konsekvenser för internationell säkerhet
7. internationella företeelser i övrigt av särskild betydelse för svensk utrikes-, säkerhets- och försvarspolitik.

2.1.2 Inhämtning av trafikdata
Inhämtning av all trafikdata sker enligt 1 § andra stycket lagen (2008:717). I nämnda lagrum finns ingen begränsning till lagen (2000:130) om försvarsunderrättelseverksamhet och preciserade områden. Att man inför en domstol påverkar inte detta, eftersom 1 § andra stycket lagen (2008:717) ej ändrades genom överenskommelsen den 25 september 2008. På vanlig svenska, FRA får med den antagna lagstiftningen laglig rätt att samla in all tillgänglig trafikdata.

Att FRA hämtar in all trafikdata bekräftas av vad FRA skriver i sina egna dokument. Fråga 5 i "FRA frågor & svar" (internt dokument publicerad av SVT):

FRA arbetar på så sätt att all tillgänglig kommunikation lagras.... Vi är mycket angelägna om att använda trafikdata även i framtiden"

Utredaren i SOU 2003:30 är väldigt tydlig:

Liksom all signalspaningsverksamhet bygger en effektiv signalspaning FRA:s behov av investeringar inom det tekniska området från FRA:s sida på att stora trafikvolymer och i princip all trafik kan spanas av för att få en bild av det normala trafikflödet. (sidan 124)

3. Sökning i efterhand i inhämtat material
FRA gör sökningar i efterhand i inhämtad trafikdata. Som jämförelse kan nämnas att innehållsdata inhämtas i realtid, sökning i efterhand genom innehållsdata är praktiskt omöjligt på grund av de enorma trafikvolymerna.

Fråga 5 i "FRA frågor & svar" (internt dokument publicerad av SVT):

FRA arbetar på så sätt att all tillgänglig kommunikation lagras. I efterhand görs sökningar i den trafiken ... Vi är mycket angelägna om att använda trafikdata även i framtiden. Med ökad framtida användning av kryptering och med ständigt ökande trafikvolymer ökar också trafikbearbetningens styrkor i förhållande till den klassiska icke-militära innehållsbearbetningen.

Av prop. 2006/07:46, sid 138 framgår det att FRA gör sökningar i sina egna databaser.

Vid sökning i Försvarsmaktens och Försvarets radioanstalts databaser får känsliga personuppgifter inte användas som sökbegrepp om det inte är nödvändigt.

I 11 § lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet har man reglerat hur dessa sökningar får göras. Särskilt intressant är tredje stycket som anger känsliga personuppgifter, t.ex. om politiuska åsikter, etnicitet och sexualliv kan användas ensamma vid sökning förutsatt att de stämmer ihop med de av lagen preciserade ändamålet, t.ex. terrorismbekämpning. Det gör att medlemmar i politiska organisationer eller organisationer kopplade till en viss etnicitet (t.ex. somalier) kan kartläggas i jakt på terrorister.

Prop. 2006/07:46 sidan 124:

Det tredje stycket reglerar under vilka förutsättningar känsliga uppgifter får användas som sökbegrepp. Bestämmelsen är tillämplig oavsett om sökning sker i en uppgiftssamling eller i annat material. Bestämmelserna utesluter inte att känsliga personuppgifter kan användas ensamma vid sökning. Det är således inte nödvändigt att vid användning av en känslig personuppgift som sökbegrepp alltid använda ett kompletterande sökord som inte utgör en känslig personuppgift. De känsliga personuppgifterna får dock inte utgöra det enda ändamålet med sökningen.

Detta ska jämföras med 5 § Polisdatalagen(1998:622) som anger att en person inte får registreras enbart på grundval av känsliga personuppgifter som t.ex. politisk övertygelse.

Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuella läggning.

Om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med sådana uppgifter som avses i första stycket, om det är oundgängligen nödvändigt för syftet med behandlingen.

Vad är det för skillnad? I Polisdatalagen måste polisen ha andra uppgifter om en person innan de registrerar känsliga personuppgifter. Enligt FRAs regelverk går det bra att söka enbart på känsliga personuppgifter så länge som sökningen anknyter till ett av flera ändamål. Om myndigheterna exempelvis jagar terrorister så går det bra att använda sökbegreppen "somalier", "muslim" och inga andra sökbegrepp. Självklart kan man inte hitta verkliga terrorister på detta sätt (vilket jag skrivit om här), men det är inte jag som skrivit lagen som tillåter denna typ av sökningar.

Vidare är kravet för att använda känsliga sökbegrepp lägre ställde i FRAs regelverk där man använder kravet "absolut nödvändigt" istället för Polisdatalagens mer stränga "oundgängligen nödvändigt".

SÄPO är kritiska mot detta och i remissvaren kan man läsa följande. Se även detta inlägg.

Säkerhetspolisen anför att uppgifter om en person i polisens verksamhet får kompletteras med känsliga personuppgifter endast när det är oundgängligen nödvändigt för syftet med behandlingen och ifrågasätter varför det skall ställas strängare krav i polisens verksamhet än i försvarsunderrättelseverksamheten. (Se prop. 2006/07:46, sid. 73.)

Det verkar finns en föreställning hos folkpartiets riksdagsgrupp att domstolen kommer att pröva FRAs sökningar i myndighetens egna databaser, när det framgår av överenskommelsen den 25 september att domstolen endast kommer att pröva inhämtning av information. Jag anser att varje sökning i FRAs interna databaser är enormt känslig vad avser personlig integritet, lika känslig som själva överföringen till staten och inhämtningen av information till FRA.

Genom sökningar i FRAs databaser kan myndigheten kartlägga privatpersoners sociala nätverk och därmed ta del av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv.

Man måste alltså skilja mellan trafikanalys som är sökningar i efterhand i FRAs databaser och inhämtning av innehåll som sker i realtid. Är folkpartiets riksdagsgrupp medveten om denna skillnad samt att FRA genom den antagna lagstiftningen får rätt att spara all tillgänglig trafikdata?

Att "lyssna på rörelsen"

Professor Janne Flyghed gav mig en intressant artikel "Lyssna på rörelsen". Det är ju en bekant slogan inom folkrörelser, särskilt arbetarrörelsen. I Norge fick detta motto en alldeles egen tvist. Janne Flyghed skriver:

Till de mer spektakulära inslagen hörde att Folkets hus i Oslo systematiskt hade avlyssnats, oavsett om det var organisationer som sysslade med fackligt arbete, fredsarbete eller annat som befann sig i lokalerna. På sjunde våningen i huset fanns en bandspelare som bevarade all information och under vissa perioder satt Norges Sten Andersson, partisekreteraren Haakon Lie, vid bandspelaren. Begreppet »lyssna på rörelsen« fick en helt ny innebörd.

Det var inte detta som egentligen fångade min uppmärksamhet.

Jag har i ett tidigare inlägg skrivit om sociogram och att dessa hör samman med FRAs analysdatabas. Ett sociogram kan ju som bekant visa ens sociala nätverk, t.ex. om man är politiskt aktiv. Läs vad Janne Flyghed återger om SÄPO och politisk åsiktsregistrering:

Än mer graverande blir dessa förhållanden när det visar sig att de kontrollorgan, JO och JK, som har undersökt om Säpo sysslat med otillåten åsiktsregistrering, faktiskt uppmärksammat denna ordning (eller rättare sagt oordning), men häpnadsväckande nog inte funnit anledning att ifrågasätta den! Enligt säkerhetstjänstkommissionen har justitiedepartementet haft kännedom om detta åtminstone under 1990-talet, men uppenbarligen inte vidtagit några åtgärder. Registernämnden har vid åtminstone två tillfällen (oktober 2000 och september 2002) informerat departementet om »att det finns anledning att anta att säkerhetspolisens analysdatabaser innehåller registreringar som strider mot grundlagens åsiktsregistreringsförbud« (SOU 2002:89, 182).
...
Vad kan vi då säga om situationen idag? Ett illustrativt exempel är åsiktsregistreringsförbudet i polisdatalagen. Där står att »Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuella läggning«. Och det låter ju betryggande. Men det parlamentariska övervakningsorganet Registernämnden har hävdat att det finns uppgifter i polisens analysdatabaser baserade på arbetsanteckningar som strider mot detta förbud.

Analysdatabaserna återkommer ständigt. Det är där Datainspektionen ska leta när de utövar tillsyn mot FRA.

Janne Flyghed har skrivit mer om åsiktsregistrering i DN den 7 juli 1996 "Socialdemokratin lyssnar på rörelsen". Tyvärr finns den inte elektroniskt tillgänglig. Jag har även fått lite andra texter av Janne Flyghed som är väl värda att läsa, det är möjligt att jag återkommer.

Jag lever i någon slags, kanske naiv, tro att SÄPO lärt sig av historien medan FRA inte har erfarit denna hårda läxa. Jag vet inte om FRA ställts inför dilemmat med politisk åsiktsregistrering och jag vill inte att vi ska experimentera. Märk väl att FRA har mindre stränga krav vid hantering av känsliga personuppgifter än polisen (se nedan).

Rättsutredning
1. Jämförelse mellan olika regleringar on behandling av personuppgifter
1.1 PUL
Personuppgiftslag (1998:204)
2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla.

Förbud mot behandling av känsliga personuppgifter
13 § Det är förbjudet att behandla personuppgifter som avslöjar
a) ras eller etniskt ursprung,
b) politiska åsikter,
c) religiös eller filosofisk övertygelse, eller
d) medlemskap i fackförening.
Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter.

1.2 FRA
Lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (FRA:s PUL)
11 § Personuppgifter får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv.

Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som beskriver en persons utseende skall alltid utformas på ett objektivt sätt med respekt för människovärdet.

Vid sökning får personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv användas som sökbegrepp endast om det är absolut nödvändigt för syftet med behandlingen.

1.3 Polisen
Polisdatalag (1998:622) Behandling av känsliga personuppgifter 5 § Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexuella läggning.

Om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med sådana uppgifter som avses i första stycket, om det är oundgängligen nödvändigt för syftet med behandlingen.

2. SÄPO anser att FRA:s regelverk är mindre strängt
SÄPOs remissvar på Lag (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (FRA:s egen version av PUL): " Säkerhetspolisen anför att uppgifter om en person i polisens verksamhet får kompletteras med känsliga personuppgifter endast när det är oundgängligen nödvändigt för syftet med behandlingen och ifrågasätter varför det skall ställas strängare krav i polisens verksamhet än i försvarsunderrättelseverksamheten." Se prop. 2006/07:46, sid. 73.

3. Min analys
FRAs regelverk beträffande personuppgifter är mindre strängt, FRAs specialreglering av PUL använder lokutionen "absolut nödvändigt" medan polisadatalagen använder det strängare kravet "oundgängligen nödvändigt. Detta konstaterar SÄPO, medan Tolgfors tonar ned denna sak i sin replik på DN Debatt. Medan PUL och polisdatalagen begränsar myndigheters hantering av personuppgifter, förefaller FRAs specialreglering öppna upp. Detta ska ses mot bakgrund av att IT- och telekomoperatörerna ska överföra all trafik i de berörda kablarna till FRA. Att en statlig myndighet har tillgång till närmast all vår kommunikation och en svag reglering beträffande hantering av personuppgifter är en mycket oroväckande kombination.