prop · GM0372 · 1999-01-01 00:00:00 — För behandling av personuppgifter för historiska, statistiska eller ve- tenskapliga ändamål gäller vissa särregler som bl.a. innebär att behand- ling för sådana ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in och att personuppgifter insamlade för dessa ändamål får bevaras än vad som sägs i punkten i) ovan. Vidare skall information lämnas till den registrerade rörande behand- lingen. Undantag från informationsskyldigheten föreligger dock, bl.a. om det skulle vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen. Den som bryter mot lagen kan bli föremål för ingripande från myndigheten, t.ex. i form av ett vitesföreläggande. Lagen innehåller också bestämmel- ser om skadestånd och straff. 7.3 Internationell reglering 7.3.1 EG:s dataskyddsdirektiv antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet gäller inte för sådan behandling av personuppgifter som ut- gör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. Inte heller omfattar direktivet behandling av personuppgifter av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. Det sagda innebär alltså att direktivet omfattar det slag av behandling av personuppgifter som avses ske inom ramen för det rättspsykiatriska forskningsregistret. Ett direktiv är bindande i fråga om det resultat som skall uppnås, men lämnar åt medlemsstaterna att själva välja form och metod för detta. Be- träffande dataskyddsdirektivet var medlemsstaterna skyldiga att genom- föra det i nationell lagstiftning . Reglerna ut- gör en gemensam bas för medlemsländerna. Mer långtgående regler får dock inte hindra det fria utbytet av uppgifter mellan medlemsländerna. Genom den ovan behandlade personuppgiftslagen genomfördes de principer och riktlinjer som direktivet föreskriver i svensk rätt. 7.3.2 om mänskliga rättigheter I den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () är det främst arti- kel 8 som är av betydelse i detta sammanhang. I denna artikel tillför- säkras var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Ingrepp i denna rättighet får göras, men måste uppfylla vissa villkor. Ingreppet måste ske med stöd av lag och vara nöd- vändigt i ett demokratiskt samhälle för att tillgodose något av följande intressen: statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd, förebyggande av oordning eller brott eller skyddet för hälsa eller moral eller för andra personers fri- och rättigheter. När det gäller kravet på att ett ingrepp skall vara nödvändigt har Euro- padomstolen framhållit att ordet nödvändigt i detta sammanhang inte är synonymt med oundgängligt . Det krävs däremot att det föreligger ett angeläget samhälleligt behov. Inskränkningen i den grundläggande rättig- heten måste vidare stå i rimlig proportion till det syfte som skall tillgodo- ses genom inskränkningen. utgör numera svensk lag enligt lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rät- tigheterna och de grundläggande friheterna. 7.3.3 dataskyddskonvention antog en konvention till skydd för enskilda vid automatisk behandling av personuppgifter. Konventio- nen trädde i kraft och har tillträtts av . Kon- ventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser som finns inskriven i internationella överenskommelser om mänskliga rättig- heter. Konventionen innehåller vissa krav på beskaffenheten av de person- uppgifter som skall undergå automatisk databehandling. Dessa krav inne- bär bl.a. att uppgifterna skall inhämtas och behandlas på ett korrekt sätt. Vidare skall uppgifterna lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål. Per- sonuppgifter som berör bl.a. hälsa får inte bearbetas med ADB om inte den nationella lagstiftningen ger ett ändamålsenligt skydd. Vidare skall lämpliga säkerhetsåtgärder vidtas för att skydda personuppgifter gent- emot oavsiktlig eller otillåten förstörelse. Slutligen skall alla som är re- gistrerade i ett personregister ha möjlighet till insyn i registret och möj- ligheter att få felaktiga uppgifter rättade. 7.3.4 rekommendationer om dataskydd har antagit ett flertal rekommendationer om dataskydd inom olika områden. Dessa rekommendationer är i och för sig inte bindande för medlemsländerna, men genom att anta en rekommendation utan re- servation anses medlemslandet i princip ha åtagit sig att följa den och försöka anpassa sin nationella lagstiftning till rekommendationens inne- håll. När det gäller uppgifter i det rättspsykiatriska forskningsregistret är det framförallt tre rekommendationer som är av intresse, Rekommendationen om skydd för personuppgifter som används för forskning och statistik No. R (83) 10, Rekommendationen om skydd för medicinska data No. R (97) 5 och till viss del Rekommendationen om skydd för person- uppgifter som används för statistik No. R (97) 18. Dessa rekommendationer behandlar bl.a. information till den enskilde, åtkomst till uppgifter i register och samtycke från den registrerade och fyller på så vis ut de konventioner som ovan nämnts. 8 Utgångspunkter Behovet av forskning och utvecklingsarbete inom rättspsykiatrin är stort. Det behövs ökade kunskaper om bl.a. effekterna av vård och behandling av psykiskt störda lagöverträdare. Man vet lite om hur den långsiktiga prognosen ser ut för en person i förhållande till viktiga individkarakteris- tika och till olika påföljder. Det finns vidare behov av att studera vissa särskilda grupper som begår grova brott, forskningen om farlighetsbe- dömningar är eftersatt etc. Forskning kan leda till bättre kännedom om effekten av olika behandlingar. Kunskapen kan ökas vad gäller t.ex. far- lighetsbedömningar och diagnostik. Utveckling av undersökningsverk- samheten kan bidra bl.a. till att domstolarna ges bättre underlag för sina bedömningar i brottmål med psykiskt störda lagöverträdare. Många pro- blemställningar är outforskade och kräver ren grundforskning. Det är angeläget också i förhållande till den enskilde att försöka föra fram utvecklingen på rättspsykiatrins område. Rättspsykiatrin är en del av det straffrättsliga systemet och avser frågor som kan vara av mycket stor betydelse för eller innebära ingripande åtgärder gentemot den en- skilde. Av utredningens genomgång av aktuell forskning framgår att forsk- ningen har behov av personuppgifter som är insamlade och strukturerade på ett sätt så att uppgifter om många människor är tillgängliga. Vissa projekt är t.ex. sådana att man måste söka i ett relativt omfattande mate- rial för att få fram ett underlag som är tillräckligt stort för att vara rele- vant. De olika angreppssätten och inriktningarna påvisar också behovet av att kunna plocka ut olika grupper utifrån t.ex. brottstyp eller psykiat- risk diagnos. Om någon form av register för forsknings- och utvecklingsarbete in- rättas med uppgifter om personer som har genomgått rättspsykiatrisk undersökning, dömts till rättspsykiatrisk vård osv. kommer registret att innehålla uppgifter av mycket känslig natur. En förutsättning för att ett register av den typen skall kunna inrättas är därför att det kan omgärdas med ett skydd som från integritetssynpunkt kan anses tillfredsställande. Ett förslag till ett sådant register måste i varje del utformas utifrån dessa aspekter samt med beaktande av nationell och internationell reglering på området. Forskningsbehoven måste vägas mot integritetshän- synen. En utgångspunkt bör vara att endast de uppgifter som verkligen är nödvändiga bör få förekomma i ett sådant register. Behovet av olika upp- gifter bör prövas noggrant. De uppgifter som bör få förekomma bör en- dast få användas i sammanhang som har ett verkligt samhällsintresse. När det gäller t.ex. forskning måste man försöka göra avgränsningar så att endast sådan forskning får tillgång till uppgifterna som är seriös och som svarar mot de krav som bör ställas på nyttighet och kvalitet. Noga bör också prövas i vilka former bevarande av sådana uppgifter sker på bästa sätt. Tillgång till uppgifterna bör endast de personer ha som har klart berättigade intressen. Detta gäller inte bara utlämnande, utan i lika hög grad själva hanteringen i anslutning till en registerverksamhet. Upp- gifterna bör omgärdas av en så god sekretess som möjligt. 9 Behovet av personuppgifter skall tillgodoses genom ett särskilt register Regeringens förslag: Behovet av personuppgifter skall tillgodoses genom ett särskilt inrättat register som förs med hjälp av automatise- rad behandling. Registret skall benämnas det rättspsykiatriska forsk- ningsregistret. Utredningens förslag: Överensstämmer i sak med regeringens för- slag. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker att ett särskilt rättspsykiatriskt forskningsregister inrättas. anser att begreppet rättspsykiatri inte är tillfredsställande utrett och att det finns registertekniska svårigheter och begränsningar. ifrågasätter tillskapandet av registret, bl.a. för att det är tveksamt om de uppgifter som samlas in är tillräckliga för forskningsändamål. Riksför- bundet för Social och Mental Hälsa (RSMH) anger vissa villkor för regi- strets inrättande avseende forskningens eller utvecklingsarbetets innehåll och inriktning, brukarorganisationernas insyn och inflytande samt infor- mation till patienterna. Skälen för regeringens förslag Behovet av information för forskning och utvecklingsarbete inom rättspsykiatrin kan tillgodoses med någon form av dataregister eller på annat sätt. Sambearbetning av befintliga register Ett alternativ till att skapa ett särskilt register är att medge sambearbet- ning av vissa befintliga register där de uppgifter finns, vilka bedöms vara av intresse. Ett problem är emellertid att regleringen av en sådan behand- ling skulle få göras mycket generell, eftersom man inte i förväg kan ange projekt o.dyl. En annan svårighet är att inga äldre uppgifter kan använ- das. gäller att uppgifter både i det rättspsykiatriska ären- deregistret och i register skall gallras . Regeringen anser därför inte att sambearbetning av uppgifter i befint- liga register är en lämplig lösning. Manuellt register En annat alternativ är inrättandet av ett manuellt register. För att vara användbart måste ett manuellt register vara mycket effektivare än det tidigare för akterna i RCA använda kortsystemet. Den tänkbara lösningen är att öka det registret med fler sökord, t.ex. diagnos, typ av undersökning och undersökningsresultat. Detta skulle emellertid innebära ett mycket tidsödande arbete och, åtminstone med tiden, ge ett ganska stort och ohanterligt registersystem. Även om effektiviteten från använ- darsynpunkt skulle kunna förbättras något, är skillnaden mot ett data- register mycket stor. Detta gäller bl.a. tidsåtgången för sökningar. Vidare är det vanligt att forskningsprojekt bygger på samkörning mellan olika register, något som inte blir möjligt om ett manuellt register väljs. Här bör också framhållas att personuppgiftslagens (1998:204) krav be- träffande samtycke, den enskildes rätt till information m.m. skulle komma att gälla även för ett manuellt register. Avidentifiering och kryptering Möjligheterna att använda avidentifierade eller krypterade uppgifter bör också diskuteras. Med avidentifiering avses att namn eller varje annan beteckning som är direkt hänförlig till den enskilde avlägsnas. Uppgiften kan då inte hänföras till en enskild person. Återidentifiering är inte heller möjlig. En avidentifiering innebär regelmässigt att registret varken om- fattas av den svenska regleringen av personuppgifter eller av den inter- nationella regleringen på området. En konsekvens av avidentifiering är att nya uppgifter om en person inte kan tillföras registret efter att aviden- tifiering skett. Kryptering innebär att de uppgifter som krypteras, vilket sker med hjälp av en särskild beräkningsmetod, omvandlas till en icke personan- knuten kombination av t.ex. siffror eller bokstäver. I sådant fall är det möjligt att tillföra uppgifter avseende en redan registrerad person. Vissa former av kryptering innebär att det är möjligt att återföra den informa- tion som krypterats till sin ursprungliga form med hjälp av en särskild krypteringsnyckel. Uppgifterna är att anse som personuppgifter så länge det är möjligt att på något sätt, direkt eller indirekt, hänföra dem till en fysisk person som är i livet. Det kan konstateras att avidentifiering omöjliggör bl.a. fördjupade stu- dier av de registrerade i akter o.dyl. Ett register med avidentifierade upp- gifter är således i stor utsträckning oanvändbart för forskning. Vad gäller kryptering kan konstateras att integritetsskyddet kan anses öka på det sättet att enskilda personer i registret kan identifieras endast med hjälp av en krypteringsnyckel som en eller ett fåtal personer har tillgång till. Ef- tersom regeringens förslag innebär att endast ett fåtal personer inom RMV kommer att ha direktåtkomst till uppgifter i registret ökar enligt regeringens mening inte en kryptering skyddet för den personliga inte- griteten på något betydande sätt som det innebär en ytterligare belastning i hanteringen. Mot bakgrund härav bör inte kryptering av upp- gifter ske i det rättspsykiatriska registret. Ett särskilt register för automatiserad behandling bör inrättas Sammanfattningsvis bedömer regeringen att fördelarna ur ett användar- perspektiv klart väger över till förmån för ett särskilt register för automa- tiserad behandling. Varken den nationella eller internationella regle- ringen på området utgör ett hinder mot ett sådant register, även om förut- sättningarna är olika beroende på om man väljer att författningsreglera verksamheten eller inte. Både den nationella och den internationella reg- leringen ger uttryck för att skyddet för den personliga integriteten är sär- skilt viktigt när det gäller register som innehåller känsliga personupp- gifter. I flera avseenden gäller också särskilda regler för sådana register. Denna reglering måste naturligtvis iakttas och integritetsskyddet även på andra sätt göras så starkt som möjligt. Slutsatsen blir att ett dataregister ur ett användarperspektiv framstår som det enda egentliga alternativet för att täcka behovet av personuppgifter och att inrättande av ett sådant re- gister är acceptabelt under förutsättning att det omgärdas av ett starkt skydd för den personliga integriteten. En ur integritetssynpunkt principiellt viktig fråga är huruvida uppgif- terna skall registreras i ett eller flera register. En tänkbar lösning är att de myndigheter som innehar de olika personuppgifterna registrerar de uppgifter respektive myndighet innehar. Uppgifterna skulle således inte föras över till någon annan registerförande myndighet. Däremot torde uppgifterna få bevaras längre än vad som gäller för upp- gifter i t.ex. det rättspsykiatriska ärenderegistret. En annan fråga är om uppgifterna bör bevaras i befintliga register hos de olika myndigheterna eller om särskilda register bör inrättas. En modell med flera register skulle innebära att de olika registren överlag innehöll uppgifter om färre personer jämfört med om uppgifterna samlades i ett enda register. De olika registren skulle i regel också, jäm- fört med användning av endast ett register, innehålla färre uppgifter om en viss person. Detta kan anföras som en fördel. Stora mängder uppgifter i ett centraliserat register uppfattas ofta som en fara från integritetssyn- punkt. Det torde dock förhålla sig så att om registren skall kunna använ- das på ett rationellt sätt måste möjligheterna finnas att sammankoppla olika register. Ett sådant förfarande medför emellertid att tillgången på uppgifter i princip blir lika stor som om man har ett enda register. Den formen av kommunikation innebär också vissa säkerhetsrisker. En lösning med ett register innebär att en relativt stor mängd uppgifter måste överföras från olika myndigheter till registret. Detta ger emellertid inte upphov till några större kostnader. En lösning med flera register blir sannolikt mer kostsam. Register måste då föras vid flera myndigheter. Någon på respektive myndighet måste sköta denna verksamhet. Det kan bli fråga om att inrätta nya register och på varje myndighet måste säker- hetsrutiner skapas. Ingen av de ovan beskrivna modellerna kan sägas ge ett överlägset in- tegritetsskydd. Med endast ett register kan man ha bättre tillsyn, färre inblandade personer och bättre skalskydd. Kostnaderna torde bli lägre med endast ett register. För användarna är denna lösning mest rationell. Regeringen finner därför att denna lösning bör väljas. Nästa fråga som kräver ett ställningstagande är om de aktuella person- uppgifterna bör föras in i ett befintligt register eller om ett särskilt regis- ter bör inrättas. Avgörande för detta är främst vilken lösning som är att föredra med hänsyn till skyddet för den personliga integriteten. Regeringen anser att skall ansvara för registret (dvs. vara personuppgiftsansvarig, se avsnitt 12). Om personuppgifterna skall föras in i ett befintligt register blir det fråga om att föra in dem i Rättspsykiatriska ärenderegistret. Enligt beslut av Datainspektionen skall ändamålet med detta register vara att utgöra ett administrativt hjälpmedel för undersökningsenheterna vad gäller rättspsykiatriska ärenden samt underlag för statistik och planering av verksamheten. Det registret får alltså användas inom ramen för ärendehanteringen. Som tidigare nämnts finns också ett krav på gallring beträffande personer som inte har varit aktuella . De ytterligare uppgifter som tillförs för forsknings- och utvecklingsändamål skall givetvis inte få användas för ärendehante- ring. En klar rågång mellan uppgifter som registreras för ärendehantering och dylikt och uppgifter för forskningsändamål bör finnas. Det bästa integritetsskyddet torde uppnås genom att ett särskilt register för forsk- nings- och utvecklingsändamål inrättas. Redan av detta skäl bör därför denna lösning väljas. En sådan lösning innebär att man t.ex. får en bättre garanti för att registret inte används vid beslutsfattande mot den enskilde. Det blir vidare lättare att gentemot allmänheten och enskilda klargöra vad registret innebär och vad det får användas till. Det framstår som lämpligt att ge registret ett namn. Det är ett ytterli- gare sätt att göra registret känt bland t.ex. registrerade och allmänheten och klargöra dess ändamål. Registret bör benämnas det rättspsykiatriska forskningsregistret. Denna benämning täcker i och för sig inte in samtliga ändamål, men ger en relativt god uppfattning om inriktningen som den är förhållandevis kort. 10 Registret skall vara författningsreglerat Regeringens förslag: Det rättspsykiatriska forskningsregistret skall regleras i en särskild lag. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har något att erinra mot detta. Skälen för regeringens förslag Personuppgiftslagen (1998:204) gäller i princip för all behandling av per- sonuppgifter som helt eller delvis är automatiserad och under vissa förut- sättningar även för annan behandling. Redan här finns alltså en generell reglering som skulle bli tillämplig på det rättspsykiatriska forskningsre- gistret. Frågan är därför om det finns skäl att ytterligare reglera detta re- gister i en särskild lag eller förordning. I enlighet med vad som redovisats tidigare innebär den internationella regleringen vissa skillnader beroende på om olika förhållanden regleras i författning eller inte. Exempelvis kan detta påverka tillåtligheten av viss behandling och behovet av att inhämta samtycke eller lämna information. Översiktligt kan sägas att författningsreglering med skyddsbestämmelser i flera fall innebär att vissa integritetsintressen härigenom anses tillgodo- sedda. Regeringen uttalade i prop. 1990/91:60 s. 58 om offentlighet, integritet och ADB att en målsättning bör vara att, i de fall register med ett stort antal registrerade och ett särskilt känsligt innehåll inrättas, bestämmelser skall meddelas i form av lag. uttalade, när ärendet behandlades, som sin mening att det är av stor betydelse att en författ- ningsreglering av ADB-register kommer till stånd i syfte att stärka skyd- det för de registrerades integritet i samband med nödvändig registrering av känsliga uppgifter i myndighetsregister (bet. 1990/91:KU11 s. 11). Bland annat dessa uttalanden återgavs av regeringen i förarbetena till lagen (1995:606) om vissa personregister för officiell statistik som bak- grund till bedömningen att en författningsreglering borde ske på det om- rådet (prop. 1994/95:200 s.16 f.). Vad som sagts innebär att en särskild författningsreglering av ett register som innehåller känsliga personuppgifter är i god överensstäm- melse både med den internationella regleringen och utvecklingen på om- rådet i . Härigenom kan de mot den enskildes integritet stående intressena prövas med den noggrannhet som föregår antagandet av en särskild registerförfattning, vilket leder till en högre grad av rättssäker- het. Regeringen delar också inställning att en så- dan författningsreglering stärker integritetsskyddet för den specifika be- handling som det rör sig om. Det rättspsykiatriska forskningsregistret skall av nu anförda skäl författningsregleras särskilt. Författningsteknisk lösning När det gäller frågan vilken nivå författningsregleringen skall ges talar de i föregående avsnitt nämnda uttalandena av regeringen och konstitutions- utskottet för att regleringen skall ske i lag. Den nya regleringen av hälsodataregister är uppbyggd så att generella bestämmelser för dessa register ges i lag medan inrättandet av register skall ske genom förordning. Beträffande socialförsäkringsregistren anges i lag från integritetssynpunkter viktiga gränser, varefter regeringen i förordning närmare kan bestämma om inrättande av register, vilka upp- gifter registret får innehålla osv. Lagregleringen om personuppgifter för internationell statistik är uppbyggd på ett liknande sätt. När det gäller det rättspsykiatriska forskningsregistret kan det konsta- teras att tungt vägande integritetsskäl talar för att i så stor utsträckning som möjligt reglera registret i lag. Ett sådant register kommer ju att in- nehålla mycket känsliga personuppgifter. Som framgår av avsnitt 11 har preciserade ändamål bestämts för registret. Både när det gäller forskning och utvecklingsarbete är det en fördel med kontinuitet och konsekvens beträffande vilka uppgifter som förs in i registret. Det kan sålunda förut- ses att reglerna om vilka uppgiftstyper som skall föras in kommer att vara relativt oförändrade över tiden. Det är därför möjligt att i relativt stor utsträckning i lag precisera vilka uppgifter som skall ingå i registret. Detta kan också ske på ett sätt så att förändrad terminologi, t.ex. avse- ende undersökningar, vård och påföljd, inte i för stor omfattning nöd- vändiggör ändringar i registerlagen. Regleringen kan därför i relativt stor utsträckning göras i lag. Regeringen avser dock att lämna vissa tillämp- ningsföreskrifter.