Utgångspunkter för bedömningen
(1) Syftet med propositionen är att genomföra Europaparlamentets och rådets direktiv (EU) 2023/977 om informationsutbyte mellan medlemsstaternas brottsbekämpande myndigheter och om upphävande av rådets rambeslut 2006/960/RIF (nedan även informationsutbytesdirektivet). Syftet med den föreslagna lagen är att fastställa tydliga, gemensamma och enhetliga regler i avsikt att säkerställa likvärdig tillgång till information för de brottsbekämpande myndigheterna i de olika medlemsstaterna. Lagen ska innehålla bestämmelser om införande av ett enda elektroniskt ärendehanteringssystem för informationsutbytet och bestämmelser om att den nätapplikation för säkert informationsutbyte som förvaltas av Europeiska unionens byrå för samarbete inom brottsbekämpning Europol ska fastställas som standardkanal vid informationsutbytet. Förslaget medför inga nya befogenheter för de brottsbekämpande myndigheterna.
(2) Grundlagsutskottet har bedömt direktivbestämmelserna år 2022 vid behandlingen av statsrådets skrivelse om förslaget till direktiv (GrUU 11/2022 rd). Då pekade utskottet särskilt på behovet av att förtydliga förslagets förhållande till annan reglering och uppmanade till att vid den fortsatta beredningen också försäkra sig om att en eventuell behandling av särskilda kategorier av personuppgifter är nödvändig och att bestämmelserna om behandlingen är exakta och noggrant avgränsade.
(3) Direktivet innehåller i huvudsak så kallade fullständigt harmoniserande bestämmelser. Till denna del är nationell reglering som avviker från bestämmelserna i direktivet inte tillåten i EU-rättsligt hänseende. Informationsutbytesdirektivet innehåller dock också reglering som ger medlemsstaterna ett visst handlingsutrymme, inom ramen för vilket medlemsstaterna kan utfärda nationell lagstiftning. Det ingår dock i princip inte i grundlagsutskottets konstitutionella uppdrag att bedöma den nationella genomförandelagstiftningen med avseende på den materiella EU-rätten (se t.ex. GrUU 31/2017 rd, s. 4). Utskottet har dock av hävd understrukit att det i den mån EU-lagstiftningen kräver eller möjliggör reglering på det nationella planet ska tas hänsyn till de krav som de grundläggande fri- och rättigheterna och de mänskliga rättigheterna ställer när det nationella handlingsutrymmet utnyttjas (se t.ex. GrUU 8/2021 rd, stycke 2, GrUU 9/2019 rd, s. 2, och GrUU 1/2018 rd, s. 3).
(4) Utskottet har framhållit att det finns anledning att särskilt i fråga om bestämmelser som är av betydelse med hänsyn till de grundläggande fri- och rättigheterna tydligt klargöra ramarna för det nationella handlingsutrymmet (GrUU 1/2018 rd, s. 3, GrUU 26/2017 rd, s. 42, GrUU 2/2017 rd, s. 2, GrUU 44/2016 rd, s. 4). I den aktuella propositionen redogörs på behörigt sätt för det nationella handlingsutrymmet, anser utskottet. Motiveringen till lagstiftningsordningen redogör också i övrigt på behörigt sätt för den föreslagna regleringens förhållande till grundlagen. Utskottet lägger därför endast fram vissa kompletterande kommentarer om regleringens tydlighet.
Bedömning av den föreslagna lagstiftningen.
(5) De föreslagna bestämmelserna är relevanta framför allt med avseende på skyddet för privatlivet och för personuppgifter enligt 10 § i grundlagen. Regleringen är av betydelse också med avseende på EU:s stadga om de grundläggande rättigheterna. I artikel 7 i stadgan tryggas respekten för privatlivet och i artikel 8 vars och ens rätt till skydd av de personuppgifter som rör honom eller henne.
(6) I konstitutionella analyser av behandlingen av personuppgifter har utskottet sett ändamålet med behandlingen som relevant, eftersom behandlingen möjliggör utövning av offentlig makt gällande individer (se GrUU 14/2018 rd, s. 6, GrUU 1/2018 rd, s. 6). Enligt 2 § 3 mom. i grundlagen ska all utövning av offentlig makt bygga på lag. För lagar gäller det allmänna kravet på att en lag ska vara exakt och noga avgränsad. Enligt utskottet är regleringen av befogenheter vanligen relevant också i förhållande till de i grundlagen inskrivna grundläggande fri- och rättigheterna (GrUU 51/2006 rd, s. 2/I).
(7) I en regleringskontext som den aktuella där det känsliga sambandet med de grundläggande fri- och rättigheterna accentueras tillmäter utskottet rättigheterna enligt 10 § i grundlagen särskild betydelse. I fråga om ett förslag till lagstiftning som kompletterar EU:s allmänna dataskyddsförordning hänvisade utskottet (GrUU 14/2018 rd, s. 6) till att utskottet redan före reformen av de grundläggande fri- och rättigheterna kommit med en karaktärisering som senare blivit vedertagen, nämligen att "polislagen är typexemplet på en lag som lätt kan råka i konflikt med medborgarnas grundläggande rättigheter, i synnerhet de klassiska friheterna” (GrUU 15/1994 rd, s. 1/II, GrUU 67/2010 rd, s. 2–3, GrUU 36/2024 rd, stycke 4).
(8) Följaktligen menade utskottet då (GrUU 14/2018 rd, s. 6) att bestämmelserna om behandling av personuppgifter, utöver behandlingen av känsliga uppgifter, fortfarande bör analyseras utifrån utskottets tidigare praxis med fokus på exakta och heltäckande bestämmelser på lagnivå i en regleringskontext som den här, där det finns ett känsligt samband med de grundläggande fri- och rättigheterna. Det finns dock inget hinder för att kraven på räckvidd för, exakthet hos och noggrann avgränsning av bestämmelser om skyddet för personuppgifter till vissa delar kan uppfyllas genom en allmän nationell lag utanför tillämpningsområdet för dataskyddsförordningen (se även GrUU 31/2017 rd, s. 3—4, GrUU 5/2017 rd, s. 9, GrUU 38/2016 rd, s. 4). Dataskyddslagen avseende brottmål, som ska iakttas som allmän lag i detta sammanhang, har stiftats med grundlagsutskottets medverkan (GrUU 26/2018 rd).
(9) I motiveringen till lagstiftningsordningen i propositionen (s. 54) hänvisas det till skäl 23 i direktivets ingress, där det står att direktivets utgångspunkt har varit att säkerställa skyddet av personuppgifter, i enlighet med unionsrätten, i samband med alla utbyten av information enligt det. I detta syfte bör all behandling av personuppgifter utföras helt i överensstämmelse med dataskyddsdirektivet för polis och straffrättsliga myndigheter och dataskyddslagen avseende brottmål, står det i motiveringen. Utskottet har ingenting att anmärka på den här grundläggande lösningen i lagförslaget.
(10) Med tanke på en tydlig reglering lyfter utskottet dock fram bestämmelserna om behöriga brottsbekämpande myndigheter i 2 § 1 punkten i lagförslag 1. Utskottet påpekar att hänvisningen till polisen inte med beaktande av 1 § i polisförvaltningslagen kan anses vara en klar definition av behörig myndighet. Denna oklarhet kan ha särskild betydelse till exempel vid tillämpningen av bestämmelserna om den personuppgiftsansvariges skyldigheter. Regleringen bör preciseras.
(11) Grundlagsutskottet har också påpekat att bestämmelserna om behandling av personuppgifter är tungrodda och komplicerade (se t.ex. GrUU 31/2017 rd, s. 4, och GrUU 71/2014 rd, s. 3). Grundlagsutskottet har i flera sammanhang konstaterat att lagstiftningen har blivit mycket ogenomtänkt och svårtydd (se t.ex. GrUU 47/2006 rd, s. 2, GrUU 43/2006 rd, s.2, GrUU 41/2006 rd, s. 2, och GrUU 25/2005 rd, 5). Utskottet har förutsatt att målgruppen för bestämmelserna utan svårigheter ska kunna tillämpa dessa (se t.ex. GrUU 60/2014 rd, s. 3). Att regleringen är svårbegriplig har också en negativ inverkan på rättsskyddet för de personer som ska tillämpa den (se även GrUU 4/2021 rd, stycke 13). Utskottet noterar ur denna synvinkel att lagförslaget till vissa delar tämligen ordagrant återger ordalydelsen i direktivets artiklar, som inte till alla delar motsvarar terminologin i den nationella rättsordningen. Denna omständighet kan ha särskild betydelse också vid tillämpningen av regleringen.
(12) Grundlagsutskottet har bedömt bestämmelserna om myndigheternas rätt att få och skyldighet att lämna ut information trots sekretess med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få information gäller och hur rätten är kopplad till nödvändighetskriteriet (GrUU 15/2018 rd). Myndigheternas rätt att få och möjlighet att lämna ut uppgifter kan gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om datainnehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 17/2016 rd, s. 2—3).
(13) Med beaktande av kraven i det direktiv som ska genomföras och bestämmelserna i 12 § i lagförslag 1 har grundlagsutskottet ingenting att anmärka på regleringen ur denna synvinkel. Begreppsapparaten i lagförslaget är dock inte till alla delar konsekvent och tydlig. Utskottet fäster i detta avseende särskild uppmärksamhet vid bestämmelserna om framställan om information till en annan medlemsstat i 4 § i lagförslag 1 i propositionen. Enligt bestämmelsen ska den begärda informationen vara behövlig så som avses i direktivet och också proportionerlig för att förebygga, avslöja eller utreda brott. Också till exempel i 12 § i lagförslaget hänvisas det uppenbarligen till proportionaliteten enligt direktivets ordalydelse. Eftersom utlämnandet av personuppgifter enligt 12 § på behörigt sätt är kopplat till nödvändighet, blir proportionalitetskriteriet i detta sammanhang mycket svårt och besvärligt att tillämpa. Förvaltningsutskottet bör noggrant utreda om det direktiv som ska genomföras gör det möjligt att förtydliga regleringen särskilt i fråga om 12 § också i detta avseende.
(14) Grundlagsutskottet påminner dessutom om att utskottet tidigare har fäst uppmärksamhet vid skillnaderna mellan de olika språkversionerna av EU-lagstiftningen (se GrUU 9/2017 rd). Utskottet hänvisade då bland annat till att enligt artikel 52 i EU:s stadga om de grundläggande rättigheterna får begränsningar, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga (”only if they are necessary”). Dessutom hänvisade utskottet till nödvändighetskriteriet i det kvalificerade lagförbehållet i 10 § 4 mom. i grundlagen, som var relevant i fråga om det då aktuella förslaget till förordning. Även enligt grundlagsutskottets vedertagna praxis ska inskränkningar i de grundläggande fri- och rättigheterna uppfylla proportionalitetskravet, vilket bland annat innebär att inskränkningarna ska vara nödvändiga för att uppnå ett acceptabelt syfte (se GrUB 25/1994 rd, s. 5). Utskottet ansåg därför att det vid den fortsatta beredningen av förslaget till förordning fanns skäl att särskilt se till att bestämmelserna om de grundläggande fri- och rättigheterna inte obefogat avviker från varandra i de olika språkversionerna. Utskottet påpekar att det här fortfarande behöver beaktas.