prop · H20394 · 2015-04-01 00:00:00 — Den forensiska verksamheten är inte närmare reglerad, till skillnad från verksamheten att utreda brott. Det som gäller för utredning och lagföring av brott preciseras i och andra författningar. Någon liknande reglering av den forensiska verk- samheten ser regeringen inte som önskvärd, bl.a. därför att den i stor utsträckning är beroende av den vetenskapliga utvecklingen. bestämmer också själv sin organisation, inkluderande Nationellt forensiskt centrum. Det som behövs är regler som skyddar den personliga integriteten för de personer vilkas uppgifter hanteras för forensiska syften. Regleringen behöver möjliggöra en fortsatt utveckling där forensisk kunskap i ökad utsträckning kan tas till vara i brottsbe- kämpningen, som den tillgodoser högt ställda krav på kvalitet i den forensiska processen. En ny reglering av personuppgiftsbehand- lingen för forensiska ändamål bör således inte hindra en utveckling mot att polispersonal redan på brottsplatserna t.ex. dokumenterar forensisk information i de forensiska it-systemen eller vidtar vissa forensiska analys- eller undersökningsåtgärder. Det bör understrykas att polisen, när den t.ex. dokumenterar åtgärder som vidtas i en brottsutredning i samband med insamling av spår eller hantering av beslagtagen egendom, behandlar personuppgifter med stöd av polisdatalagen för ändamålet att utreda och beivra brott (2 kap. 7 § polisdatalagen). Det kan t.ex. röra sig om fotografering av en brottsplats eller registrering av beslag. Om sådan dokumentation görs i register eller ärenden som fler än ett fåtal personer har tillgång till är reglerna i 3 kap. polisdatalagen om gemensamt tillgängliga uppgifter tillämpliga. Det- samma gäller hanteringen av analysresultat som redovisas till brottsut- redningen efter en forensisk undersökning. Förslagen i det följande syftar inte till någon förändring av behandlingen av personuppgifter inom ramen för en förundersökning eller i underrättelseverksamheten. Behovet av ny reglering gör sig nämligen inte gällande för sådan personuppgifts- 2014/15:94 behandling utan enbart för den behandling av personuppgifter som utförs för forensiska syften. Är regleringen i polisdatalagen ändamålsenlig? Regeringens bedömning: Reglerna i 1 och 2 kap. polisdatalagen kan i allt väsentligt tillämpas vid personuppgiftsbe- handling för forensiska ändamål, men särskilda ändamålsbestämmel- Reglerna i 3 kap. är däremot inte ändamålsenliga vid per- sonuppgiftsbehandling för forensiska syften. kräver också en annan reglering. Departementspromemorians bedömning överensstämmer i sak med Remissinstanserna: De flesta av remissinstanserna yttrar sig inte sär- skilt över departementspromemorians bedömning i denna del. styrelsen framför att det finns behov av att behandla uppgifter om juri- diska personer vid forensisk verksamhet, exempelvis för brottsutred- ningar avseende miljöbrott eller immaterialrättsliga brott. naltekniska laboratorium lyfter frågan om samarbete inom EU avseende standardiseringsarbete, forskning och utveckling samt uppbyggnad av Skälen för regeringens bedömning Kan regleringen placeras i polisdatalagen? överväganden kring regleringen av personuppgiftsbehandlingen har utgått från som en fristående myndighet utan polisiära uppgifter och dess verksamhet som en själv- ständig, organisatoriskt avgränsad, stödfunktion till den brottsbekäm- verksamheten (prop. 2009/10:85 s. 71 f.). Ett annat skäl till att laboratoriets verksamhet inte reglerades i polisdatalagen var att den forensiska verksamheten förutsätter delvis andra ändamål för personupp- giftsbehandlingen än sådan verksamhet som regleras i polisdatala- medför både ändrade organisatoriska förutsättningar, det förhål- landet att den framtida organisationen inte är helt fastlagd och att den forensiska verksamheten snabbt utvecklas i riktning mot ett tätare sam- arbete med den övriga verksamheten i att saken har kommit i ett annat läge. Behovet av en ny reglering gäller inte minst frågan om hur personuppgifter som behandlas för forensiska ändamål ska få hanteras inom . En grundläggande fråga är om behandlingen av personuppgifter vid för forensiska ändamål bör regleras i polisdatalagen eller om man bör införa en särskild lag för den personuppgiftsbehand- Det kräver en närmare analys av om regleringen i polisdatalagen Av naturliga skäl måste en sådan analys utgå från vad som är ändamålsenligt i den forensiska verksamhet som man med säker- het vet ska bedrivas vid Nationellt forensiskt centrum – dvs. den verksamhet som tidigare bedrevs av Om man vid analysen skulle finna att polisdatalagens reglering i stora delar skulle kunna tillämpas i den verksamheten, finns det starka Prop. 2014/15:94 skäl som talar för att det kommer att fungera även när den forensiska verksamheten i organiseras mera i detalj. Det talar också för att behandlingen bör regleras i polisdatalagen, men med de eventuella justeringar som krävs för behandling av personuppgifter för forensiska syften. Om analysen däremot ger vid handen att polisdata- lagens reglering inte skulle fungera så återstår endast lösningen med en särskild lag. De allmänna reglerna i polisdatalagen Polisdatalagen är uppbyggd så att 1 kap. enbart innehåller allmänna be- stämmelser om lagens syfte och tillämpningsområde. I 1 kap. 1 § slås fast att syftet med lagen är att både ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I 1 kap. 2 § anges vid vilka myndigheter lagen tillämpas. Vidare föreskrivs att regle- ringen bara gäller om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Dessutom undantas enligt 1 kap. 3 § behandling av personuppgifter i register som regleras i vissa andra författningar från lagens tillämpningsområde. I 1 kap. 4 § regleras förhållandet mellan polisdatalagen och lagen (2000:343) om internatio- nellt polisiärt samarbete och i 1 kap. 5 § förhållandet mellan polisdatala- gen och lagen (2013:329) med vissa bestämmelser om skydd för person- uppgifter vid polissamarbete och straffrättsligt samarbete inom Europe- iska unionen. I 1 kap. 6 § anges i vilken utsträckning polisdatalagens regler ska tillämpas även vid behandling av uppgifter om juridiska personer, medan 1 kap. 7 § beskriver hur lagen är uppbyggd. När det gäller tillämpningsområdet och syftet med lagen skulle det kunna ses som ett hinder att lagens tillämpningsområde utvidgas i för- hållande till vad som har ansetts vara brottsbekämpande verk- samhet. I 1 kap. 1 § polisdatalagen anges nämligen att lagens tillämp- ningsområde är polisens brottsbekämpande verksamhet. ansågs detta sätt att avgränsa lagens tillämpningsområde utgöra ett hinder mot att göra lagen tillämplig på , vars verksamhet enbart ansågs vara en stödverksamhet till brottsbekämp- ningen. Mot bakgrund av att gränserna för vad som är brottsbekämpande verksamhet inte är knivskarpa och att den forensiska stödverksamheten snabbt utvecklas i riktning mot ett tätare samarbete med den övriga verksamheten i kan det inte sägas vara främmande att även låta den verksamheten innefattas i begreppet brottsbekämpande verksamhet och därmed omfattas av regleringen i polisdatalagen. Genom den nya organisationen förändras också personalstrukturen så att även polismän ingår i Nationellt forensiskt centrum. I departementspromemorian görs bedömningen att 1 kap. 6 §, som reglerar i vilken utsträckning bestämmelserna om personuppgifter i 2 kap. och 3 kap. även gäller vid behandling av uppgifter om juridiska personer, knappast skulle vara aktuell att tillämpa i den forensiska verk- samheten eftersom misstankar om brott riktas mot fysiska personer. 2014/15:94 delar inte den bedömningen, eftersom juridiska perso- ner kan vara aktuella i samband med utredning av exempelvis miljöbrott eller immaterialrättsliga brott. Det är dock tveksamt om uppgifter om juridiska personer alls behandlas för forensiska ändamål. Sådana uppgif- ter finns det sällan behov av att lämna vid begäran om forensiska under- sökningar. Fokus ligger i stället på den som misstänks för brottet, vilket i och för sig kan vara en företrädare för en juridisk person. Regeringen instämmer därför i departementspromemorians bedömning att det inte finns något behov av att särskilt reglera behandling av uppgifter om juri- diska personer för forensiska ändamål. Det sagda innebär att reglerna i 1 kap. polisdatalagen i allt väsentligt skulle kunna tillämpas vid personuppgiftsbehandling för forensiska ändamål. Även 2 kap. polisdatalagen innehåller bestämmelser av allmän karak- tär. Där regleras – förutom ändamålen med behandlingen – förhållandet till personuppgiftslagen, definitioner, personuppgiftsansvar, tillsyn, be- handling av känsliga personuppgifter, tillgången till personuppgifter, bevarande och gallring samt utlämnande och uppgiftsskyldighet. När det gäller frågan om även 2 kap. polisdatalagen skulle kunna fungera vid personuppgiftsbehandling för forensiska ändamål vid har i en tidigare utredning gjorts bedömningen att vissa bestämmelser bör tillämpas. Det krävs dock en närmare analys av om samtliga bestäm- melser i kapitlet är ändamålsenliga. Enligt 2 kap. 1 § polisdatalagen gäller den lagen i stället för personupp- giftslagen. Genom en uttömmande uppräkning i 2 kap. 2 § polisdatalagen anges dock vilka bestämmelser i personuppgiftslagen som ska tillämpas vid behandling enligt polisdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. I 2 kap. 2 § föreskrivs att följande regler i personuppgiftslagen ska tillämpas vid behandling med stöd av polisda- talagen: 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 §, med undantag för första stycket i och tredje stycket, om grund- läggande krav på behandlingen av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Det framstår som självklart att personuppgiftslagens regler om defi- nitioner och om förhållandet till offentlighetsprincipen (punkterna 1 och 2) bör kunna tillämpas även vid personuppgiftsbehandling för forensiska Detsamma gäller reglerna om behandling av personnummer (punkt 4), om säkerheten vid behandlingen (punkt 7), om personupp- giftsombud (punkt 9) och om upplysningar till allmänheten om vissa behandlingar (punkt 10). Inget av detta har tidigare ansetts bereda några problem. På samma sätt som i övrig verksamhet som regleras i polisdatalagen bör också reglerna om rättelse och skadestånd gälla under samma förut- sättningar som gäller för behandling som omfattas av personuppgifts- lagen (punkterna 6 och 12). Likaså bör reglerna om tillsynsmyndighetens befogenheter och om överklagande gälla även vid personuppgiftsbehand- ling för forensiska ändamål (punkterna 11 och 13). När det gäller 9 § personuppgiftslagen, som ställer upp grundläggande krav på behandlingen (punkt 3), har någon hänvisning inte gjorts till 9 § första stycket i och tredje stycket, som innehåller bestämmelser om hur länge uppgifter får bevaras. Skälet till det är att det ansågs nödvändigt att ha särskilda regler om bevarande och gallring i polisdatalagen. Det finns även behov av att ha sådana särregler för personuppgiftsbehandling för forensiska ändamål, varför hänvisningen framstår som adekvat. När det gäller information till den registrerade (punkten 5) innebär reg- leringen i polisdatalagen att någon hänvisning inte görs till 24 § person- uppgiftslagen, som medger undantag från underrättelseskyldigheten om personuppgifterna har samlats in från någon annan än den registrerade och det finns bestämmelser om registrerandet eller utlämnandet i lag eller annan författning. Information behöver inte heller lämnas om det skulle visa sig vara omöjligt eller kräva en oproportionerligt stor arbetsinsats. Några särskilda regler om informationsskyldigheten, utöver undantag för insamling genom ljud och bild och i samband med larm, har inte ansetts behövliga i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 84 f.). Motsvarande bedömning görs när det gäller personuppgiftsbe- handling för forensiska ändamål. Även reglerna om överföring av personuppgifter till tredjeland (punkt 8) bör kunna tillämpas. Det kan ibland hända att resultaten av en forensisk undersökning eller analys ifrågasätts av exempelvis en miss- tänkts försvarare. I första hand torde det aktualiseras under förundersök- ningen, men det kan även bli aktuellt i samband med ett resningsför- farande. Det kan innebära att försvararen vill ha vissa ytterligare material undersökta eller att ett yttrande ska inhämtas från ett annat laboratorium avseende ett material som Nationellt forensiskt centrum har undersökt, en s.k. second opinion. Utvecklingen går också mot att forensiska labo- ratorier specialiserar sig inom olika områden. Nationellt forensiskt cent- rum kan därför behöva vända sig till ett utländskt laboratorium för att det laboratoriet har tillgång till metoder eller teknik som centrumet saknar. Personuppgiftslagens reglering hindrar inte att personuppgifter i sådana fall skickas till laboratorier i andra stater inom EU eller EES. Skulle Nationellt forensiskt centrum i något fall vilja hämta in ett yttrande från ett laboratorium i en stat utanför EU eller EES får man i det enskilda fallet göra en bedömning enligt 33 § personuppgiftslagen av om den aktuella staten har en adekvat dataskyddsnivå. Regeringen återkommer i det följande till frågor om tillåtna ändamål för behandling av person- uppgifter och sekretess. Sammanfattningsvis kan således konstateras att det inte skulle innebära några problem att tillämpa 2 kap. 1 och 2 §§ polisdatalagen vid person- uppgiftsbehandling för forensiska ändamål vid . Definitioner, personuppgiftsansvar och tillsyn I 2 kap. 3 § polisdatalagen definieras några begrepp som är av vital bety- delse för den forensiska verksamheten, nämligen DNA-analys, DNA- profil och fingeravtryck. Paragrafen bör givetvis tillämpas vid person- uppgiftsbehandling för forensiska ändamål. ska vara personuppgiftsansvarig för den verksamhet som bedrivs inom myndigheten. Om polisdatalagen görs tillämplig på personuppgiftsbehandling för forensiska ändamål följer det av 2 kap. 4 § att är personuppgiftsansvarig och någon särskild regle- ring krävs därför inte. Enligt 2 kap. 5 § ska utse per- sonuppgiftsombud för den behandling som utförs med stöd av lagen. Den regleringen bör även tillämpas vid personuppgiftsbehandling för foren- siska ändamål. får avgöra om det är lämpligt att utse ett särskilt personuppgiftsombud för verksamheten vid Nationellt foren- siskt centrum. I 2 kap. 6 § polisdatalagen upplyses om att – utöver den tillsyn som Datainspektionen bedriver – det finns bestämmelser om den tillsyn som ska utöva i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. Om personuppgifts- behandling för forensiska ändamål vid regleras i polis- datalagen medför det en marginell utökning av nämndens tillsynsområde. I registerförfattningar anges regelmässigt för vilka ändamål personupp- gifter får behandlas inom det i författningen angivna tillämpningsområ- det. Lagrådet har uttalat att det allmänt är önskvärt att samtliga ändamål för vilka behandling ska vara tillåten framgår av registerförfattningen (prop. 2002/03:135 s. 160 och 56). Uttömmande ändamålsbestämmelser innebär ett integritetsskydd, eftersom varje annan behandling som kan bli aktuell i myndighetens verksamhet (och som omfattas av registerlagens tillämpningsområde) först måste godkännas av lagstiftaren. Sådana ändamålsbestämmelser ger också en önskvärd tydlighet för allmänheten, som då kan få en mer preciserad information om vilken personuppgifts- behandling som förekommer vid myndigheten. I 2 kap. 7 och 8 §§ polisdatalagen regleras för vilka ändamål person- uppgifter får behandlas i polisens brottsbekämpande verksamhet. De primära ändamålen – som regleras uttömmande – är behandling för att förebygga, förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott eller för att fullgöra förpliktelser som följer av interna- åtaganden. Dessa ändamål är skräddarsydda för den traditionella brottsbekämpande verksamheten, dvs. förundersökning och underrättel- severksamhet. Även om regeringen anser att den forensiska verksamhe- ten bör innefattas i begreppet brottsbekämpande verksamhet – och där- med omfattas av polisdatalagens tillämpningsområde – är det inte lämpligt att låta de förhållandevis vida ändamålsbestämmelserna i 2 kap. polisdatalagen omfatta den personuppgiftsbehandling vid Polismyndig- heten som behövs för forensiska ändamål. Genom de krav som ställs på Prop. 2014/15:94 oberoende och vetenskaplig grund i den forensiska verksamheten behövs det särskilda ändamål anpassade för sådan personuppgiftsbehandling. En konkretisering och precisering av de ändamål för vilka personuppgifter får behandlas för forensiska syften ger också ett bättre integritetsskydd, särskilt med beaktande av att den forensiska verksamheten inte regleras närmare i annan författning. Frågan om vilka dessa ändamål bör vara behandlas i det följande. Regeringen kommer således till slutsatsen att det för den forensiska verksamheten krävs andra ändamål än de som an- ges i 2 kap. 7 och 8 §§, på samma sätt som det för Säkerhetspolisens verksamhet anges särskilda ändamål för personuppgiftsbehandlingen. I 2 kap. 9 § polisdatalagen regleras sådan behandling av personuppgif- ter som är nödvändig för diarieföring, oberoende av om det finns något polisiärt behov av att behandla uppgifterna. Sådana uppgifter får alltid behandlas om uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Om det när diarieföringen är avslutad, dvs. när uppgifterna är registrerade, konstate- ras att uppgifterna rör polisens brottsbekämpande verksamhet ska den fortsatta behandlingen utföras för det ändamålet. Personuppgifter som behandlas i forensisk verksamhet lämnas som re- gel av en annan enhet inom eller en annan brottsbe- kämpande myndighet, i syfte att få en åtgärd i en förundersökning utförd. Det står då alltid klart att uppgifterna som behandlas rör brott eller brottslig verksamhet och att uppgifterna behandlas för forensiska ända- mål. Det finns alltså inget behov av att tillämpa 2 kap. 9 § vid person- uppgiftsbehandling för forensiska syften. Det är enbart när uppgifter kommer till Nationellt forensiskt centrum från någon enskild eller en myndighet som inte är brottsbekämpande, dvs. i den s.k. uppdragsverk- samheten, som behov av en motsvarande bestämmelse kan uppstå. Upp- dragsverksamheten diskuteras närmare i avsnitt 4.13. Behandling av känsliga personuppgifter I propositionen En ny organisation för polisen görs bedömningen att personuppgiftslagens regler inte är anpassade till Nationellt forensiskt centrums behov när det gäller behandling av känsliga personuppgifter (prop. 2013/14:110 s. 476). Känsliga personuppgifter är enligt 13 § personuppgiftslagen sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, reli- giös eller filosofisk övertygelse, medlemskap i fackförening eller upp- gifter som rör hälsa eller sexualliv. Personuppgiftslagen ställer upp ett generellt förbud mot att behandla sådana uppgifter. Lagen föreskriver dock vissa undantag från förbudet och ger regeringen eller den myndig- het regeringen bestämmer möjlighet att meddela föreskrifter om andra undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse. I 2 kap. 10 § polisdatalagen föreskrivs att känsliga personupp- gifter inte får behandlas enbart på grund av vad som är känt om perso- nens ras, etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om per- sonuppgifter behandlas på någon annan grund får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. I framställningar om forensisk undersökning eller analys kan det före- komma känsliga personuppgifter. Som exempel kan nämnas att uppgifter om hälsa förekommer vid utredning av våldsbrott, t.ex. uppgifter om fysiska skador på målsäganden och den misstänkte, och att dessa upp- gifter vidarebefordras i samband med att forensisk undersökning begärs av blodfläckade kläder. Det är alltså tydligt att känsliga personuppgifter ibland kan behöva behandlas i den forensiska verksamheten. För forensiska undersökningar eller analyser behöver dock som regel känsliga personuppgifter inte behandlas. Det kan emellertid inte uteslutas att även det kan komma att behövas. Man kan exempelvis tänka sig att det vid en analys av blodfläckar går att få fram uppgifter om sjukdom eller annat hälsotillstånd och att det därför skulle finnas ett behov av att kunna behandla uppgifter om hälsa. Möjligheten att analysera var en per- son är född skulle också kunna leda till antaganden om en persons etnici- tet. Nya undersöknings- eller analysmetoder kan eventuellt komma att avslöja känsliga personuppgifter på ett sätt som inte kan förutses . Det bör enligt regeringens mening finnas möjlighet att behandla käns- liga personuppgifter för forensiska ändamål, vilket kräver författnings- reglering (prop. 2013/14:110 s. 476). Den bestämmelse som finns i polis- datalagen innebär en rimlig avvägning mellan integritetsintressen och behovet av att kunna behandla känsliga personuppgifter. Det skulle såle- des fungera väl att tillämpa 2 kap. 10 § polisdatalagen vid personupp- giftsbehandling för forensiska ändamål vid . En möjlig- het att behandla känsliga personuppgifter bör i så fall, på samma sätt som för polisens övriga personuppgiftsbehandling enligt lagen, kombineras med en bestämmelse om att sådana uppgifter inte får användas som sök- begrepp (se 3 kap. 5 § polisdatalagen). Den frågan behandlas i det föl- jande. Om polisdatalagen skulle göras tillämplig kommer bestämmelsen om tillgången till personuppgifter i 2 kap. 11 § polisdatalagen att gälla. Ge- nom bestämmelsen, som är en hörnsten i skyddet av enskildas personli- gas integritet, tydliggörs att varje anställd bara ska ges tillgång till de personuppgifter som han eller hon behöver för att utföra sina arbetsupp- gifter. Det framstår som självklart att den regeln bör gälla även vid per- sonuppgiftsbehandling för forensiska syften. I 2 kap. 12 § polisdatalagen finns den grundläggande regeln om beva- rande av personuppgifter. Den kompletteras med en rad bestämmelser om hur länge vissa typer av uppgifter får behandlas i den brottsbekäm- pande verksamheten. Mot bakgrund av att ändamålsregleringen behöver anpassas för personuppgiftsbehandling för forensiska syften, behövs även särskilda bestämmelser om längsta tid för bevarande av personupp- gifter som behandlas för forensiska ändamål. I 2 kap. 13 § första stycket anges att personuppgifter som behandlas automatiserat och som inte har gjorts gemensamt tillgängliga eller be- handlas i särskilda register enligt 4 kap. ska, om de behandlas i ett Prop. 2014/15:94 ärende, gallras senast efter det att ärendet avslutades. som inte kan hänföras till ett ärende ska gallras senast efter det att de behandlades automatiserat första gången. Utgångspunkten är således en kort gallringsfrist för uppgifter som inte gjorts gemensamt tillgäng- liga.