Polismyndigheten, misstankeregistret

DI-2019-10790 Beslut efter tillsyn enligt

brottsdatalagen och lagen om misstankeregister – Polismyndighetens behandling i misstankeregistret Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Polismyndigheten under okänd tid, i vart fall under tiden från dess att tillsynen inletts, brustit i sin behandling av personuppgifter som omfattas av brottsdatalagen (2018:1177) genom att inte säkerställa att uppgifter gallras i enlighet med 13 § lagen (1998:621) om misstankeregister, LMR.

IMY förelägger enligt 5 kap. 7 § 2 brottsdatalagen (2018:1177), BDL, Polismyndigheten att senast den 31 december 2022 skicka in en skriftlig redogörelse till IMY om slutfört arbete enligt ingivet yttrande den 13 juni 2022. Polismyndigheten föreläggs även att upprätta en handlingsplan för de framtida åtgärderna med att säkerställa att gallring av personuppgifter i misstankeregistret sker i enlighet med reglerna i 13 § LMR och ge in den till IMY senast den 31 januari 2023. Tidpunkten för dessa åtgärder ska också framgå av redogörelsen.

Redogörelse för tillsynsärendet

Granskningens syfte och avgränsning

IMY har i enlighet med beslutad tillsynsplan inlett tillsyn mot Polismyndigheten gällande den personuppgiftsbehandling som myndigheten utför i misstankeregistret med stöd av LMR. Tillsynen har avsett myndighetens hantering av personuppgifter vad

avser gallring i misstankeregistret.

I misstankeregistret registreras uppgifter om personer som har fyllt femton år och som enligt förundersökningsledarens bedömning är skäligen misstänkta för brott.

Misstankeregistret ska avspegla uppgifter i Polismyndighetens system RAR och 08-657 61 00

DurTvå samt Åklagarmyndighetens system Cåbra och Tullverkets system Tudor. Vilka uppgifter som finns i misstankeregistret är därför avhängigt av hur de registreras i de värdsystem som rapporterar in uppgifterna.

Genomförande och metod

Vid granskningen har i huvudsak följande framkommit.

IMY har den 24 oktober 2019, på plats hos Polismyndigheten i lokalerna på Polhemsgatan i Stockholm, inspekterat myndighetens hantering av personuppgifter vad avser gallring i misstankeregistret. Inför inspektionstillfället begärde IMY att få ta del av interna föreskrifter eller andra styrdokument som reglerade detta. Någon aktuell dokumentation av det slag som IMY efterfrågade fanns inte men IMY fick del av äldre dokumentation från år 2012 som avsåg registervård i misstankeregistret. Polismyndigheten har i samband med inspektionen kort förevisat systemet och uppgett att misstankeregistret inte har någon självständig, inbyggd funktion för gallringen. Information om vilka misstankar som vid varje given tidpunkt ska finnas i misstankeregistret hämtas dagligen från källsystemen hos Polismyndigheten (RAR), Åklagarmyndigheten (Cåbra) och Tullverket (Tudor). Information från Polismyndighetens system DurTVå hämtas in genom RAR då DurTvå inte har någon egen koppling till misstankeregistret. Misstankeregistret ska således spegla alla tre systemens öppna och aktuella misstankar. När det gäller avgöranden från Högsta domstolen skickas de per post direkt till Polismyndigheten som därefter gallrar uppgifterna manuellt. Vid inspektionstillfället uppgav Polismyndigheten att registervård sker varje månad och att antalet felregistreringar är relativt konstant och uppgår till ca 650 ärenden per månad. Polismyndigheten har senare tagit tillbaka uppgiften om att antalet felaktiga registreringar per månad är konstant. Polismyndigheten uppgav vid inspektionen att problemen med felregistreringar kommer att kvarstå så länge det it-tekniska problemet och den manuella hanteringen kvarstår.

Med anledning av vad som framkom under inspektionen begärde IMY i mitten av november 2019 att Polismyndigheten skulle inkomma med kompletterande och förtydligande uppgifter avseende bl.a. en sammanställning av vilka typer av fel som identifierats under november månads registervårdskörning och när felen skulle åtgärdas. Polismyndigheten begärde anstånd med att komma in med uppgifterna vid två tillfällen p.g.a. it-teknisk komplexitet. Först den 9 januari 2020 kom Polismyndigheten in med kompletterande uppgifter. Av svaret framgick att myndigheten har identifierat fyra situationer där avvikelser kan uppstå. Vidare uppgav Polismyndigheten att totalt 1 757 brottsmisstankar togs bort från misstankeregistret under november månads registervårdskörning. Myndigheten kunde inte närmare redovisa vilka åtgärder som vidtagits för att rätta till de fel som uppkommit eller hur många av dessa fel som berott på att gallring inte skett inom föreskriven tid.

Mot denna bakgrund begärde IMY på nytt att Polismyndigheten bl.a. skulle ta fram en sammanställning där det framgick vad som blivit fel och hur och när felen ska åtgärdas. Polismyndigheten har i svar uppgett att det inte är möjligt att ta fram de uppgifter som IMY begär på den detaljnivå som efterfrågas. I syfte att ta fram mer rättvisande siffror och närmare studera orsakerna till kvarvarande felaktigheter har Polismyndigheten uppgett att de vid mars månads registervårdskörning bl.a. avsåg att undersöka vad anledningen är till att vissa brottsmisstankar inte har uppdaterats. Detta skulle ske i samarbete med Åklagarmyndigheten.

I november 2020 inkom Polismyndigheten med en komplettering där det redogjordes för i vilka situationer man identifierat att felregistreringar uppstår samt vilka åtgärder som vidtagits för att åtgärda de brister som framkommit. Bl.a. hade myndigheten påbörjat månatliga stickprov inom registervården och ett antal tekniska uppdateringar avseende integrationen mellan systemen. Därutöver planerades en modernisering av informationsstrukturen.

I december 2020 inkom Polismyndigheten med ytterligare en komplettering där de angav att myndigheten under hösten 2020 inlett arbetet med att modernisera integrationerna till misstankeregistret. Då arbetet påverkar anslutningarna mellan misstankeregistret och sändande källsystem hos Polismyndigheten, Tullverket och Åklagarmyndigheten hade ett löpande samarbete mellan myndigheterna inletts för att avhjälpa felen.

Inför tillsynsbeslutet gavs Polismyndigheten möjlighet att yttra sig i ärendet. Den 13 juni 2022 inkom myndigheten med ett yttrande där det framkom att ett omfattande arbete med att reformera misstankeregistret pågick där ett nytt misstankeregister avses driftsättas under hösten 2022 med beräknat avslutsdatum under vintern 2024. Problemen med andra myndigheters anslutningar och felaktig status på misstankar ska därmed avhjälpas. Arbetet med den särskilda registervårdskörningen kommer dock fortgå under en övergångsperiod. Löpande utvärderingar kommer enligt myndigheten också att ske under implementeringen för att se till att förändringarna har önskad effekt.

Motivering av beslutet

Integritetsskyddsmyndighetens bedömning

Av förarbetena till LMR framgår att det övergripande syftet med misstankeregistret är att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs för verksamheten hos polis- åklagar- och tullmyndigheterna. Dessa myndigheter är i behov av att på ett enkelt sätt få tillgång till de uppgifter som krävs för att olika förundersökningar mot samma person skall kunna samordnas på ett effektivt sätt. Uppgifterna i registret bör även kunna utnyttjas på annat sätt i dessa myndigheters brottsförebyggande och brottsbekämpande verksamhet. Registret bör dessutom kunna användas av polisen och andra myndigheter vid olika typer av lämplighetsprövning, tillståndsprövning och annan prövning, t.ex. regeringens prövning i nådeärenden och utlämningsärenden, som anges i författning. Registret bör slutligen också få användas för att till enskild lämna uppgift som är av särskild betydelse i dennes verksamhet.

Av bestämmelsen i 13 § LMR framgår att registrering i misstankeregistret inte får pågå under längre tid än från det att misstanken uppstår till dess att skuldfrågan är avgjord. Det kan ske antingen genom att förundersökning eller åtal för det misstänkta brottet läggs ner eller genom att en friande eller fällande dom vinner laga kraft.

Polismyndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i misstankeregistret. Tullverket respektive Åklagarmyndigheten ska lämna sådana uppgifter till Polismyndigheten som krävs för gallring av misstankeregistret. Det är den myndighet som lämnar uppgifterna till Polismyndigheten som ansvarar för att uppgifterna är riktiga. Felaktigheter eller ofullständigheter i uppgifterna ska rättas på

det sätt som Polismyndigheten bestämmer efter samråd med den berörda myndigheten.

IMY har begärt att Polismyndigheten beskriver hur myndigheten kontrollerar att behandlingen av personuppgifter i misstankeregistret är förenlig med 13 § LMR, som reglerar när en uppgift i registret ska gallras.

Polismyndigheten har uppgett att det finns återkommande problem med bl.a. felregistreringar och dubbletter av brottsmisstankar i misstankeregistret som medför att misstankeregistret inte alltid speglar de verkliga förhållandena. Polismyndigheten kunde inledningsvis inte närmare redogöra för hur många felen är, vad felen beror på, när felen uppstod eller när felen skulle kunna åtgärdas. Polismyndigheten har därefter inlett arbete med att identifiera brister och modernisera integrationerna och arbetet med att driftsätta ett nytt misstankeregister har påbörjats.

IMY anser att problematiken med den bristande gallringen är allvarlig eftersom uppgifter ur misstankeregistret används i verksamheter som är beroende av att uppgifterna är riktiga och uppdaterade. Därutöver föreligger risk för att enskilda felaktigt registreras i misstankeregistret och där negativa konsekvenser kan följa vilket får ses som en försvårande omständighet.

IMY konstaterar att det finns brister i Polismyndighetens personuppgiftsbehandling vad avser gallring i misstankeregistret. Den automatiserade funktionen har inte säkerställt att uppgifterna gallras i enlighet med bestämmelsen i 13 § lagen (1998:621) om misstankeregister, LMR. IMY konstaterar samtidigt att Polismyndigheten inlett ett arbete med att avhjälpa de brister som uppmärksammats under tillsynen.

Val av ingripande

Enligt 5 kap. 7 § BDL har IMY ett antal korrigerande befogenheter som får vidtas när det konstaterats att personuppgifter behandlas i strid med gällande regelverk. IMY kan bl.a. förelägga den personuppgiftsansvarige att vidta åtgärder för att behandlingen ska bli författningsenlig, förbjuda behandlingen eller besluta om en sanktionsavgift. Varje åtgärd ska, med beaktande av omständigheterna i varje enskilt fall, vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av regelverket.

IMY:s befogenheter bör ses som en trappa som ger möjlighet att successivt använda kraftfullare medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig efter IMY:s anvisningar. De korrigerande åtgärderna är dock inte kopplade till varandra på det sättet att en strängare åtgärd förutsätter att alla mindre ingripande åtgärder redan har prövats.

Av 16 § LMR framgår att en sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelsen om gallring i 13 §, om överträdelsen skett vid behandlingen av personuppgifter som omfattas av BDL.

IMY har bedömt att Polismyndigheten vid tillsynens början inte säkerställt att uppgifterna i misstankeregistret gallras i enlighet med bestämmelsen i 13 § LMR. IMY har därför att överväga att påföra en sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder. Vid bedömningen ska hänsyn tas till vilken åtgärd som är mest effektiv och avskräckande men samtidigt proportionell, dvs. rimlig i förhållande till

typen av överträdelse, hur allvarlig överträdelsen är och vilka följder den får. Vid bedömningen har IMY bl.a. tagit hänsyn till överträdelsens karaktär, svårighetsgrad och varaktighet samt vad Polismyndigheten har gjort för att begränsa verkningarna av överträdelsen. Mot bakgrund av att det enligt Polismyndigheten har rört sig om ett fåtal felaktiga registreringar och att dessa vid varje månads registervårdskörning har tagits bort från misstankeregistret finns det, enligt IMY:s uppfattning, skäl att välja en mindre ingripande åtgärd. Polismyndigheten har därutöver under den tid tillsynen pågått påbörjat ett systematiskt arbete för att avhjälpa bristen. Vid en samlad bedömning och med hänsyn till vad som är mest effektivt och proportionellt anser IMY att Polismyndigheten ska föreläggas att fortsätta arbeta med att vidta lämpliga åtgärder för att säkerställa att behandlingen blir författningsenlig och redovisa dessa för IMY.

IMY förelägger därför enligt 5 kap. 7 § 2 brottsdatalagen (2018:1177), BDL, Polismyndigheten att senast den 31 december 2022 skicka in en skriftlig redogörelse till IMY om slutfört arbete enligt ingivet yttrande den 13 juni 2022. Polismyndigheten föreläggs även att upprätta en handlingplan för de framtida åtgärderna med att säkerställa att gallring av personuppgifter i misstankeregistret sker i enlighet med reglerna i 13 § LMR och ge in den till IMY senast den 31 januari 2023. Tidpunkten för dessa åtgärder ska också framgå av redogörelsen.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Elena Mazzotti Pallard. Vid den slutliga handläggningen av ärendet har även datarådet Agneta Runmarker och it-säkerhetsspecialisterna Johan Ma medverkat.

Charlotte Waller Dahlberg, 2022-06-28 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet för kännedom dataskyddsombud@polisen.se

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.