sou · H5B350 · 2017-06-09 00:00:00 — I enlighet med vad som återgivits avseende regeringens bedöm- ning i samband med fastställande av ändamålet med registerlagen är det regeringens redan gjorda bedömning att behandling av person- uppgifter för forskningsändamål ur det rättspsykiatriska forsknings- registret är sådan nödvändig behandling för att utföra en uppgift av viktigt allmänt intresse som bör vara tillåten efter etikgodkännande. Det är vidare regeringens redan gjorda bedömning att behandling av personuppgifter ur registret för utvecklingsarbete inom RMV utgör ett sådant viktigt allmänt intresse som möjliggör undantag från förbudet att behandla känsliga personuppgifter enligt data- skyddsdirektivet. Det väl avgränsade ändamålet med behandlingen samt den strikta bedömningen av vilka uppgifter som får registreras för varje person bedömdes av regeringen utgöra ett fullgott skydd för de registrerades personliga integritet. Regeringen och fann således vid införandet av registerlagen att dataskyddsdirektivet inte hindrade att känsliga personuppgifter får behandlas. I 5 § registerlagen anges att uppgifter om personnummer eller samordningsnummer får registreras. I 22 § personuppgiftslagen anges att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identi- fiering eller något annat beaktansvärt skäl. Bestämmelsen i 22 § personuppgiftslagen är införd med stöd av artikel 8.7 i dataskydds- direktivet som anger att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat veder- taget sätt för identifiering får behandlas. Bestämmelsen i 5 § register- lagen är således införd efter en bedömning utifrån kraven i person- uppgiftslagen. Behandling av nationella identifikationsnummer regleras i arti- kel 87 i dataskyddsförordningen som anger att medlemsstaterna får närmare bestämma på vilka särskilda villkor sådana identifikations- nummer får behandlas. Sådan behandling får endast ske med iakt- tagande av lämpliga skyddsåtgärder. före- slår att det i den nya dataskyddslagen införs en bestämmelse som säger att uppgifter om personnummer eller samordningsnummer Anpassningar av vissa registerförfattningar enbart ska få behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regeringen eller, efter bemyndigande från regeringen, Datainspektionen ska få med- dela föreskrifter om behandling av uppgifter om personnummer och samordningsnummer.18 Personnummer och samordningsnummer utgör således inte käns- liga personuppgifter, men har ändå getts en särställning i såväl data- skyddsdirektivet och personuppgiftslagen som dataskyddsförord- ningen. Nationell kompletterande reglering är således tillåten enligt dataskyddsförordningen under förutsättning att kravet i artikel 87 i dataskyddsförordningen, avseende lämpliga skyddsåtgärder, anses uppfyllt. Enligt förslaget till dataskyddslag är det möjligt att behålla bestämmelsen i 5 § registerlagen under förutsättning att kraven i dataskyddslagen, dvs. att det är klart motiverat med hänsyn till ända- målet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl, anses uppfyllda. Eftersom motsvarande möjligheter till undantag från förbudet mot behandling av känsliga uppgifter och till nationell reglering av behandling av personnummer och samordningsnummer finns i dataskyddsförordningen är det utredningens uppfattning att redan gjorda bedömningar i det här avseendet kan och bör kvarstå även med hänsyn taget till dataskyddsförordningens bestämmelser. Det är vidare utredningens bedömning att dataskyddsförordningens krav på lämpliga och särskilda skyddsåtgärder är uppfyllda i registerlagen genom kravet på etikprövning samt regleringarna avseende direkt- åtkomst, sekretess och restriktionerna vid utlämnande av uppgifter. Myndigheters befintliga möjligheter att behandla uppgifter om lagöverträdelser m.m. påverkas inte av dataskyddsförordningen. Bestämmelserna i 4–9 §§ registerlagen är därmed förenliga med dataskyddsförordningen, enligt utredningens bedömning, och kan och bör därför behållas som tillåten specificerande nationell regler- ing enligt artikel 6.2 och 6.3 i dataskyddsförordningen. 18 SOU 2017:39 avsnitt 12.4. Anpassningar av vissa registerförfattningar Utredningens bedömning: Bestämmelsen om uppgiftsskyldig- het i 10 § kan och bör behållas. Av 10 § registerlagen framgår att , Kriminalvården re- spektive ska lämna uppgifter enligt 6 § p.7, 8 §, 9 § och 9 a § till det rättspsykiatriska forskningsregistret. Ett skäl för att författningsreglera tillförande av uppgifter till registret angavs i regeringens proposition vara att tillförsäkra att uppgiftslämnandet fungerade i praktiken. En sådan reglering är dock också nödvändig i vissa fall med anledning av sekretessregler.19 Enligt 8 kap. 1 § offentlighets- och sekretesslagen (2009:400) (OSL) får en uppgift för vilken sekretess gäller enligt denna lag inte röjas för enskilda eller för andra myndigheter om inte annat anges i denna lag eller i lag eller förordning som denna lag hänvisar till. Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en annan myndighet om uppgiftsskyldigheten följer av lag eller förordning. Bestämmelsen i 10 § registerlagen är således en sådan sekretessbrytande författningsreglering som gör det möjligt för de aktuella myndigheterna att lämna även sekretessbelagda uppgifter till registret. Bestämmelsen om vilka uppgifter som ska tillföras registret är enligt utredningens uppfattning en sådan tillåten specifik nationell bestämmelse som möjliggörs genom artikel 6.2 och 6.3 i dataskydds- förordningen. Bestämmelsen kan därför behållas. Utredningens bedömning: Bestämmelsen om direktåtkomst i 11 § kan och bör behållas. Endast RMV får enligt 11 § ha direktåtkomst till uppgifter i det rättspsykiatriska forskningsregistret. Direktåtkomst utgör en form av behandling av personuppgifter. Varken i dataskyddsförordningen, dataskyddsdirektivet eller i per- 1998/99:72 s. 46 f. Anpassningar av vissa registerförfattningar sonuppgiftslagen finns det särskilda bestämmelser som direkt rör denna form av behandling. Detta innebär att det, liksom för all behandling av personuppgifter, krävs att behandlingen uppfyller tillämpliga grundläggande krav i artikel 5 i dataskyddsförordningen och har lagligt stöd enligt artikel 6 i dataskyddsförordningen. Säker- hetsåtgärder enligt artiklarna 24.1 och 32 i dataskyddsförordningen ska vara vidtagna och om utlämnandet avser särskilda kategorier av personuppgifter eller personuppgifter om lagöverträdelser m.m. krävs i tillämpliga fall stöd enligt artiklarna 9 och 10 i dataskydds- förordningen. Motsvarande gäller enligt dataskyddsdirektivet. Begränsningen i 11 § registerlagen att enbart RMV får ha direkt- åtkomst till uppgifter i registret kan sägas utgöra en lämplig och sär- skild skyddsåtgärd enligt dataskyddsförordningen. RMV:s behand- ling av uppgifter enligt ändamålen i registerlagen är lagligt grundad i artikel 6.1 e, samt artikel 6.2 och 6.3, i dataskyddsförordningen. Behandling genom direktåtkomst kan därmed ske. Bestämmelsen om direktåtkomst kan således, enligt utredningens bedömning, behållas. Utredningens förslag: Bestämmelsen i 12 § om vilken informa- tion som ska lämnas till den registrerade anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och det i bestämmelsen enbart anges vilken information som ska lämnas utöver vad som framgår av artikel 14 i dataskyddsförord- ningen. Hänvisningen till personuppgiftslagen i punkt 6 ska utgå och ersättas med en hänvisning till dataskyddsförordningen och dataskyddslagen. Av 12 § registerlagen framgår vilken information om behandlingen som RMV ska lämna till den registrerade när personuppgifter i ett mål första gången registreras i det rättspsykiatriska forsknings- registret. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Dataskyddsförordningens bestämmelse om information är mer utförlig än den som finns i artikel 11 i data- skyddsdirektivet. Den registrerade har således rätt att få mer infor- Anpassningar av vissa registerförfattningar mation än vad som gäller enligt dataskyddsdirektivet. Bestämmel- sen i artikel 12.1 i dataskyddsförordningen om i vilken form infor- mationen ska lämnas saknar helt motsvarighet i dataskyddsdirek- tivet, vilket innebär att den registrerades rättigheter har utökats. Dataskyddsdirektivets reglering om vilken information som ska lämnas självmant har genomförts genom 23–25 §§ personuppgifts- lagen. Viss information som ska lämnas enligt 12 § registerlagen mot- svaras av information enligt den direkt tillämpliga bestämmelsen i artikel 14 i dataskyddsförordningen, medan vissa punkter i register- lagen inte har någon motsvarighet i dataskyddsförordningen. Bestämmelser i nationell rätt som anger vilken information som självmant ska lämnas till den registrerade får enligt utredningens bedömning behållas med stöd av artikel 6.2 och 6.3 i dataskyddsför- ordningen, om den ursprungliga behandlingen grundas på att den är nödvändig för att utföra en uppgift av allmänt intresse. För att und- vika dubbelreglering bör dock bestämmelsen anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och det i bestämmelsen anges vilken information ska lämnas ut- över vad som framgår av artikel 14 i dataskyddsförordningen. Enligt vår bedömning innebär detta att punkterna 1, 2, 3 och 4 bör utgå. När det gäller 12 § p. 6 registerlagen återfinns motsvarande be- stämmelse om rätt till information som ska lämnas efter ansökan (rätt till tillgång) och om rätt till rättelse i artikel 14.2 c i dataskydds- förordningen. Dessa delar bör därför utgå. Det som återstår är då rätt till information om skadestånd. Hänvisningen till att bestäm- melserna finns i personuppgiftslagen måste slutligen ersättas med en hänvisning till bestämmelserna i dataskyddsförordningen och data- skyddslagen. Registerlagens 12 § anger också att informationen alltid ska läm- nas och enligt uttalanden i propositionen ska kravet på information vara undantagslöst.20 Artikel 14.5 i dataskyddsförordningen inne- håller däremot undantag från kravet att lämna information. Genom att artikel 14 i dataskyddsförordningen blir direkt tillämplig då för- ordningen träder i kraft kommer även bestämmelserna om undan- tag då information inte behöver lämnas att bli tillämplig när förord- ningen träder i kraft. 1998/99:72 s. 52. Anpassningar av vissa registerförfattningar SOU 2017:50 Utredningens bedömning: Bestämmelsen om utlämnande av uppgifter i 13 § kan och bör behållas. Enligt 13 § registerlagen ska RMV till , Kriminal- vården och , på medium för automatise- rad behandling, lämna de uppgifter som är nödvändiga för att dessa myndigheter ska kunna lämna uppgifter enligt 10 § till det rätts- psykiatriska forskningsregistret. Av 13 § andra stycket framgår att uppgifter från registret får, utöver vad som anges i första stycket, lämnas ut på medium för automatiserad behandling endast om upp- gifterna ska användas för det ändamål som anges i 3 § p. Regeringen anförde i propositionen som föregick införandet av registerlagen att med hänsyn till att det rör sig om ett register med mycket integritetskänsliga uppgifter borde en bestämmelse som begränsar möjligheterna till utlämnande på medium för automatise- rad behandling införas för de fall uppgifterna begärs ut i annat syfte än för forskning inom rättspsykiatrin som godkänts vid etikpröv- ning, t.ex. med stöd av offentlighetsprincipen. Enligt regeringens bedömning förelåg ingen anledning att tillåta utlämnande på medium för automatiserad i andra situationer än när det rör sig om använd- ning i enlighet med registrets ändamål. Bestämmelsen i 13 § andra stycket registerlagen innebär därmed att sådant utlämnande ska få ske endast om mottagarens användning av uppgifterna är förenligt med registerlagens ändamål.21 Beträffande utlämnande för forskning i enlighet med registerlag- ens ändamål ansåg regeringen i stället att det inte fanns något behov av att inskränka möjligheten att lämna ut uppgifter på medium för automatiserad behandling, tvärtom var det regeringens bedömning att en sådan möjlighet borde finnas. Den begränsning av möjligheterna att lämna ut uppgifter ur registret på medium för automatiserad behandling som finns i 13 § andra stycket registerlagen tar främst sikte på sådant utlämnande som sker efter en begäran om att få ta del av en allmän handling. En sådan begäran ska prövas enligt 2 kapitlet tryckfrihetsförordningen 21 A.a. s. 55. Anpassningar av vissa registerförfattningar Det finns inget krav på att utlämnande ska ske på medium för automatiserad behandling enligt det regelverket. Utlämnande av personuppgifter är en behandling enligt såväl dataskyddsförordningen som dataskyddsdirektivet och personupp- giftslagen, så de krav som gäller för all personuppgiftsbehandling måste vara uppfyllda även i den här situationen. Den del av bestämmelsen som framgår av 13 § första stycket syftar till att fastställa att RMV ska underlätta för de berörda myndighet- erna att i sin tur lämna uppgifter till registret enligt 10 § register- lagen, genom att lämna nödvändiga uppgifter för detta ändamål till de berörda myndigheterna på medium för automatiserad behand- ling. En sådan reglering påverkas inte av dataskyddsförordningen. Eftersom begränsningen i 13 § andra stycket registerlagen syftar till att öka skyddet för de integritetskänsliga uppgifterna i registret är åtgärden att anse som en skyddsåtgärd enligt dataskyddsförord- ningen. En sådan skyddsåtgärd bör, enligt utredningens bedömning, rymmas inom den tillåtna specificeringen av nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det är utredningens sammantagna bedömning att bestämmelsen om utlämnande av uppgifter kan och bör behållas. Utredningens bedömning: Bestämmelsen om sekretess i 14 § kan och bör behållas. I 14 § registerlagen hänvisas till att det i OSL finns bestämmelser om begränsningar i rätten att lämna ut uppgifter från det rätts- psykiatriska forskningsregistret. Dessa återfinns i 24 kap. 2 § OSL. Sekretess är en skyddsåtgärd enligt dataskyddsförordningen och dataskyddsdirektivet. Bestämmelsen i 14 § registerlagen bör enligt utredningens bedömning utgöra en sådan tillåten specificering i nationell rätt som möjliggörs genom artikel 6.2 och 6.3 i dataskydds- förordningen. Bestämmelsen kan och bör därför behållas. Anpassningar av vissa registerförfattningar Utredningens förslag: Bestämmelsen i 15 § som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd ska upphävas. I 15 § registerlagen hänvisas till att bestämmelserna i personuppgifts- lagen om rättelse och skadestånd ska gälla vid behandling av person- uppgifter enligt registerlagen. Bestämmelserna om rättelse och skadestånd i personuppgifts- lagen finns i 28 respektive 48 §§. Båda bestämmelserna gäller endast för behandling i strid med personuppgiftslagen om inte hänvisningar görs i annan lagstiftning. För att bestämmelserna skulle vara tillämp- liga även vid behandling i strid med registerlagen krävdes således att de angavs gälla på motsvarande sätt för registerlagen. Det är med anledning av detta som hänvisningen i 15 § registerlagen har in- förts. Bestämmelser som hänvisar till personuppgiftslagens regleringar om rättelse och skadestånd kan inte vara kvar när personuppgifts- lagen upphävs. Till skillnad från vad som gäller enligt personupp- giftslagen är dataskyddsförordningen direkt tillämplig även på så- dan behandling av personuppgifter som omfattas av registerlagens tillämpningsområde och det behövs därför ingen hänvisning av den anledningen. Den registrerades rätt till rättelse behandlas i artikel 16 i data- skyddsförordningen. I den mån det kommer att finnas relevanta undantag från förordningens bestämmelser kommer dessa att regle- ras i dataskyddslagen och forskningsdatalagen. Någon specifik hän- visningsbestämmelse till dataskyddslagen och forskningsdatalagen är inte nödvändig i det här fallet. I dataskyddsförordningen finns skadeståndsbestämmelsen i arti- kel 82. Det är inte möjligt att begränsa tillämpningen av artikel 82, så det är inte heller av det skälet motiverat att särskilt reglera vad som gäller ifråga om skadestånd. föreslår att en bestämmelse införs i dataskyddslagen som förtydligar att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kom- pletterar dataskyddsförordningen. Anpassningar av vissa registerförfattningar Bestämmelsen i 15 § registerlagen, med hänvisning till person- uppgiftslagen, bör därmed upphävas och inte ersättas med någon hänvisning till dataskyddsförordningen. Utredningens förslag: Bestämmelsen om överklagande i 16 § ska upphävas. Enligt 16 § registerlagen får beslut av RMV om information som ska lämnas efter ansökan enligt 26 § personuppgiftslagen och om rättelse enligt 28 § samma lag överklagas hos allmän förvaltnings- domstol. Prövningstillstånd krävs vid överklagande till kammar- rätten. Av propositionen som föregick införandet av registerlagen fram- går att bestämmelsen om skadestånd ursprungligen infördes i registerlagen för att några bestämmelser om överklagande i de an- givna situationerna inte fanns i personuppgiftslagen . Regeringen bedömde att ett beslut av RMV angående behandling av personuppgifter som direkt berörde den enskilde skulle kunna överklagas.22 Sedan bestämmelsen i registerlagen infördes har dock en bestämmelse med motsvarande innehåll införts i personuppgifts- lagen genom 52 §. Någon motsvarande reglering finns dock inte i dataskyddsdirektivet. Enligt artikel 79.1 i dataskyddsförordningen ska varje registre- rad som anser att hans eller hennes rättigheter enligt förordningen har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ha rätt till ett effektivt rättsmedel. I artikel 79.2 i dataskyddsförord- ningen anges var talan i domstol mot en personuppgiftsansvarig eller ett personuppgiftsbiträde får väckas. Någon närmare beskriv- ning av innebörden av begreppet effektivt rättsmedel finns inte i dataskyddsförordningen. Hur dessa processuella möjligheter ska komma till uttryck i nationell rätt är en del av Dataskyddsutred- ningens uppdrag, eftersom frågan är av generell karaktär snarare än sektorsspecifik. 1998/99:72 s. 61. Anpassningar av vissa registerförfattningar I den dataskyddslag som föreslår finns bestämmelser om överklagande som i sak motsvarar 52 och 53 §§ personuppgiftslagen. Eftersom dataskyddslagen ska gälla i den mån inte annat föreskrivs i registerlagen är det inte nödvändigt att ha en överklagandebestämmelse som hänvisar till dataskyddslagen. Det är därför utredningens bedömning att bestämmelsen om överklagande i 16 § registerlagen bör upphävas. Utredningens förslag: Ändringarna i lagen ska träda i kraft . Inga övergångsbestämmelser ska införas. Av artikel 99 i dataskyddsförordningen framgår att förordningen ska tillämpas . De föreslagna ändring- arna i registerlagen bör börja tillämpas som dataskydds- förordningen. Dataskyddsförordningen innehåller inga övergångsbestämmel- ser som är relevanta för registerlagen. Det är utredningens bedöm- ning att det saknas utrymme att införa övergångsbestämmelser avseende de föreslagna ändringarna. Se kapitel 16. Dataskyddsförordningen (EU 2016/679) ska börja tillämpas . I kraft av EU-förordning blir dataskydds- förordningen direkt tillämplig i medlemsstaterna, vilket innebär att nationella författningar som inte är förenliga med förordningen antingen måste upphävas eller anpassas per detta datum. I detta kapitel kommer vi att analysera de artiklar som rör ikraftträdande- och övergångsbestämmelser i såväl dataskyddsförordningen som den dataskyddslag föreslår som komplette- rande nationell lagstiftning på generell nivå. Avslutningsvis redo- visar vi våra egna överväganden och förslag avseende ikraftträdande- och övergångsbestämmelser för vår föreslagna forskningsdatalag och de anpassningar av andra författningar vi också föreslår med anledning av dataskyddsförordningen. 16.2Ikraftträdande- och övergångsbestämmelser i dataskyddsförordningen I dataskyddsförordningen regleras ikraftträdande och tillämpning i förordningens avslutande artikel 99. Av artikel 99.1 följer att data- skyddsförordningen träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Av artikel 99.2 följer att dataskydds- förordningen ska tillämpas . Avslut- ningsvis konstateras att dataskyddsförordningen är till alla delar bindande och direkt tillämplig i alla medlemsstater. I artikel 94 anges att det nuvarande dataskyddsdirektivet (95/46/EG) ska upphöra att gälla med verkan från och med den Hänvisningar till det upphävda direktivet ska anses som hänvisningar till dataskyddsförordningen. Av skäl 171 i dataskyddsförordningen framgår att behandling som redan pågår den dag när dataskyddsförordningen börjar tillämpas bör bringas i överensstämmelse med förordningen av från det att förordningen träder i kraft. Om behandlingen grundar sig på samtycke enligt dataskyddsdirektivet är det inte nödvändigt att den registrerade på nytt ger sitt samtycke för att den personuppgiftsansvarige ska kunna fortsätta med behandlingen i fråga efter det att förordningen börjar tillämpas. En förutsättning för detta är dock att det sätt på vilket samtycket gavs överensstämmer med villkoren i dataskyddsförordningen. Beslut av kommissionen som antagits och tillstånd från tillsynsmyndigheterna som utfärdats på grundval av dataskyddsdirektivet ska fortsatt vara giltiga tills de ändras, ersätts eller upphävs. I artiklarna 95 och 96 finns vissa övergångsbestämmelser avse- ende förhållandet till direktiv /58/EG om integritet och elektro- nisk kommunikation samt internationella avtal. 16.3Ikraftträdande- och övergångsbestämmelser i dataskyddslagen föreslår att dataskyddslagen ska träda i kraft , som personuppgiftslagen ska upphöra att gälla. Personuppgiftslagen föreslås dock fortsatt gälla i den utsträck- ning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den. föreslår vidare att äldre föreskrifter, dvs. personuppgiftslagen, personuppgiftsförordningen och före- skrifter som har meddelats med stöd av dessa, ska fortsatt gälla för ärenden som har inletts hos Datainspektionen men inte avgjorts före ikraftträdandet. Äldre föreskrifter föreslås också gälla för överklagande av beslut som har meddelats med stöd av dessa före- skrifter liksom för överträdelser som har ägt rum vid behandling som har skett före ikraftträdandet. Bestämmelserna om skadestånd i 48 § personuppgiftslagen föreslås gälla för skada som har orsakats före upphävandet.1 1 SOU 2017:39 avsnitt 20.3. Utredningens förslag: Forskningsdatalagen ska träda i kraft . De ändringar som utredningen föreslår med anledning av dataskyddsförordningen i lagen om etikprövning av forskning som avser människor, lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen om rätts- psykiatriskt forskningsregister ska träda i kraft . Utredningens bedömning: Dataskyddsförordningen ger inte utrymme för några övergångsbestämmelser. Enligt artikel 99 i dataskyddsförordningen ska förordningen tillämpas . föreslår att dataskyddslagen, vilken utgör kompletterande nationell lagstiftning på generell nivå, ska träda i kraft och att personuppgifts- lagen ska upphöra att gälla.