sou · H5B350 · 2017-06-09 00:00:00 — Utredningens bedömning: Bestämmelsen i 9 § om vilka person- uppgifter som får finnas i registret kan och bör behållas. I 9 § listas vilka slags uppgifter som får finnas i ett register som förs med stöd av registerlagen. Uppräkningen är uttömmande. Även om det inte uttrycks direkt i lagens uppräkning råder det enligt utred- ningens uppfattning inget tvivel om att uppgifterna som samlas in med stöd av registerlagen utgörs av huvudsakligen känsliga person- uppgifter, enligt definitionen i 13 § personuppgiftslagen där bland annat personuppgifter om hälsa ingår. Utöver uppräkningen anges även i 9 § andra stycket att regeringen eller den myndighet reger- ingen bestämmer meddelar föreskrifter om i vilken utsträckning uppgifter avseende genetiska undersökningar får registreras. Dataskyddsförordningen förbjuder i artikel 9.1 behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Genetiska uppgifter, biometriska uppgifter och uppgifter om sexu- ell läggning är nya kategorier, jämfört med dataskyddsdirektivet och personuppgiftslagen, som har lagts till i dataskyddsförordningen. I artikel 9.2 i dataskyddsförordningen preciseras vissa uttryck- liga undantag från förbudet i artikel 9.1, till exempel om den regi- strerade har lämnat sitt samtycke (artikel 9.2 a) eller om behand- lingen är nödvändig på grund av hänsyn till ett viktigt allmänt intresse (artikel ). Det finns också ett undantag för behandling som är nödvändig för bland annat forskningsändamål (artikel 9.2 j). Förordningen uppställer krav på fastställda lämpliga och särskilda skyddsåtgärder vid tillämpning av undantagen i artikel och artikel 9.2 j. Av artikel 9.4 framgår att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Av skäl 10 i dataskyddsförordningen framgår att förordningen ger medlemsstaterna handlingsutrymme att specificera sina bestäm- melser, även för behandlingen av särskilda kategorier av person- uppgifter, och att förordningen inte utesluter att det i medlems- Anpassningar av vissa registerförfattningar staternas nationella rätt fastställs närmare omständigheter för speci- fika situationer där uppgifter behandlas. I skäl 52 anges bland annat att undantag från förbudet att behandla särskilda kategorier av personuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämpliga skydds- åtgärder för att skydda personuppgifter och övriga grundläggande rättigheter. En förutsättning för sådana undantag är att allmän- intresset motiverar det. Motsvarande förbud mot behandling av känsliga personuppgifter finns i dataskyddsdirektivets artikel 8.1, vilken införlivats i svensk rätt genom 13 § personuppgiftslagen. Undantag från förbudet är bland annat möjligt om den registrerade lämnat sitt uttryckliga sam- tycke (artikel 8.2 a i dataskyddsdirektivet) eller av hänsyn till ett viktigt allmänt intresse, under förutsättning av lämpliga skydds- åtgärder (artikel 8.4 i dataskyddsdirektivet). I förarbetena till registerlagen har regeringen motiverat ett undantag från förbudet att behandla känsliga personuppgifter med att det dels föreligger krav på uttryckligt samtycke, dels att syftet och ändamålet med registerlagen utgör ett sådant viktigt allmänt intresse som avses i dataskyddsdirektivet. De bestämmelser som finns i registerlagen bland annat ifråga om information, samtycke och utplåning av uppgifter ansågs utgöra sådana lämpliga skydds- åtgärder som avses i dataskyddsdirektivet. Regeringen fann således att dataskyddsdirektivet inte hindrade att känsliga personuppgifter får behandlas enligt registerlagen. Eftersom motsvarande möjligheter till undantag finns i data- skyddsförordningen, och kraven i övrigt i förordningen avseende bland annat skyddsåtgärder får anses vara uppfyllda, är det utredning- ens uppfattning att redan gjorda bedömningar i det här avseendet kan och bör kvarstå även med hänsyn taget till dataskyddsförordningens bestämmelser. Stödet för att behandla känsliga personuppgifter en- ligt registerlagen finns således i artikel 9.2 a i dataskyddsförord- ningen. Regeringens bemyndigande att meddela föreskrifter om i vilken utsträckning uppgifter avseende genetiska undersökningar får registreras kan vidare anses vara ett tillåtet villkor enligt dataskydds- förordningen. Anpassningar av vissa registerförfattningar Utredningens bedömning: Bestämmelsen om begränsning av intern elektronisk åtkomst i 10 § kan och bör behållas. I 10 § anges att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till person- uppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Begränsning av åtkomst till personuppgifter av det här slaget utgör en skyddsåtgärd, enligt dataskyddsförordningens termino- logi. Av artiklarna 24.1 och 32 i dataskyddsförordningen framgår generella krav på skyddsåtgärder vid personuppgiftsbehandling. Det är dock upp till den personuppgiftsansvarige att säkerställa lämpliga skyddsåtgärder för att efterleva förordningens krav i alla delar. I vissa fall, till exempel vid behandling av särskilda kategorier av personuppgifter (känsliga personuppgifter enligt personuppgifts- lagens benämning) enligt något av undantagen i artikel 9.2 i data- skyddsförordningen, krävs dessutom att lämpliga och särskilda skyddsåtgärder är fastställda i nationell rätt. Det är utredningens bedömning att bestämmelsen i sak är för- enlig med förordningen och utgör en sådan specifik eller särskild bestämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen är tillåtet att ha i nationell rätt för att närmare fastställa be- handling som grundar sig på bland annat en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Bestämmelsen behöver således inte ändras med anledning av dataskyddsförord- ningen. Utredningens bedömning: Bestämmelsen om förbud mot ut- lämnande genom direktåtkomst i 11 § kan och bör behållas. Utlämnande genom direktåtkomst till personuppgifter i registret får inte förekomma, enligt 11 §. Även denna bestämmelse utgör en skyddsåtgärd enligt dataskyddsförordningens terminologi. Det är utredningens bedömning att bestämmelsen i sak är förenlig med Anpassningar av vissa registerförfattningar förordningen och utgör en sådan mer specifik eller särskild bestäm- melse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att närmare fastställa behandling som grundar sig på bland annat en arbetsuppgift av allmänt intresse enligt artikel 6.1 e dataskyddsförordningen. Bestämmelsen behöver således inte ändras med anledning av dataskyddsförordningen. Utredningens förslag: Terminologin i bestämmelsen om gall- ring i 12 § anpassas till dataskyddsförordningen. Personuppgifter som inte längre behövs för de ändamål som avses i 5 § 1 och 2 ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett en- skilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål, enligt 12 §. Lagring av personuppgifter är enligt dataskyddsförordningens definition i artikel 4.2 en behandling av personuppgifter. Enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter inte för- varas i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Mot- svarande bestämmelse återfinns i artikel 6.1 e i dataskyddsdirektivet, vilket innebär att huvudregeln inte har förändrats genom dataskydds- förordningen. Det kan konstateras att huvudregeln i 12 § registerlagen, dvs. att personuppgifter ska gallras så snart de inte längre behövs, mot- svarar första ledet i artikel 5.1 e dataskyddsförordningen. Det är dock utredningens bedömning att bestämmelsen utgör en sådan nationell bestämmelse om lagringstid som är tillåten enligt artikel 6.3 i dataskyddsförordningen när behandlingen grundas på en uppgift Anpassningar av vissa registerförfattningar av allmänt intresse. bedömningar och avvägningar mellan åena sidan intresset av skydd för den personliga integriteten och åandra sidan intresset av offentlighet och insyn i myndigheternas verksamhet, som motiverade införandet av den särskilda gallrings- bestämmelsen i registerlagen, får även fortsatt anses gälla. Det är därför utredningens bedömning att bestämmelsen om gallring inte behöver ändras i sak. Möjligheten för regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om eller i ett enskilt fall be- sluta att uppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål är inte en bestämmelse med materiellt innehåll. Eftersom de materiella bestämmelserna i lagen har bedömts vara för- enliga med dataskyddsförordningen så kan bemyndigandebestäm- melsen lämnas oförändrad. Formuleringen i artikel 5.1 e dataskyddsförordningen (om person- uppgifter som enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål) skiljer sig i viss mån från den som återfinns i artikel 6.1 e dataskyddsdirektivet (historiska, statistiska eller vetenskapliga ända- mål). Någon skillnad i sak torde omformuleringen dock inte inne- bära. För tydlighets skull bör dock skrivningen i 12 § registerlagen anpassas till dataskyddsförordningen. Utredningens förslag: Bestämmelsen om rättelse i 13 § ska upp- hävas. I 13 § hänvisas till 28 § personuppgiftslagen och att dessa bestäm- melser ska tillämpas på motsvarande sätt vid behandling av person- uppgifter i strid med denna lag. Bestämmelser som hänvisar till personuppgiftslagens reglering om rättelse kan inte vara kvar när personuppgiftslagen upphävs. Den registrerades rätt till rättelse behandlas i artikel 16 i dataskydds- förordningen. I den mån det kommer att finnas generella undantag från förordningens bestämmelser kommer dessa att regleras i data- skyddslagen. Någon specifik hänvisningsbestämmelse till dataskydds- lagen är inte nödvändig. Anpassningar av vissa registerförfattningar Enligt utredningens bedömning är det varken behövligt eller lämpligt att införa en motsvarande specifik bestämmelse med hän- visning till dataskyddsförordningen i fråga om rättelse eftersom förordningens bestämmelser är direkt tillämpliga. Utredningens förslag: Bestämmelsen i 14 § om samtycke och information anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och det i bestämmelsen enbart anges vilken information som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförordningen. Hän- visningen till 26 § personuppgiftslagen ska utgå och ersättas med en hänvisning till artikel 15 dataskyddsförordningen. Av 14 § framgår vilken information som måste ha lämnats till en enskild för att ett uttryckligt samtycke ska kunna ges. Det tydlig- görs också att samtycke är en förutsättning för all behandling av personuppgifter enligt 9 § samma lag. Kravet på samtycke till be- handling i 14 § gäller, enligt 9 §, såväl personuppgifter som inhäm- tas från den registrerade som personuppgifter som inhämtas från annan än den registrerade. I uppräkningen av vilken information som ska lämnas till den enskilde finns en hänvisning till 26 § person- uppgiftslagen. I artikel 13 i dataskyddsförordningen anges vilken information som den personuppgiftsansvarige är skyldig att tillhandahålla om personuppgifter samlas in från den registrerade. Dataskyddsförord- ningens bestämmelse om information är mer utförlig än den som finns i artikel 10 i dataskyddsdirektivet. Den registrerade har såle- des rätt att få mer information än vad som gäller enligt dataskydds- direktivet. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Dataskyddsförordningens bestämmelse om information är mer utförlig än den som finns i artikel 11 i data- skyddsdirektivet. Den registrerade har således rätt att få mer infor- mation än vad som gäller enligt dataskyddsdirektivet. Anpassningar av vissa registerförfattningar Bestämmelsen i artikel 12.1 i dataskyddsförordningen om i vilken form informationen ska lämnas saknar helt motsvarighet i data- skyddsdirektivet, vilket innebär att den registrerades rättigheter har utökats. Dataskyddsdirektivets reglering om vilken information som ska lämnas självmant har genomförts genom 23–25 §§ person- uppgiftslagen. Uppräkningen av vilken information som ska lämnas enligt 14 § registerlagen skiljer sig i viss mån åt från den uppräkning som finns i artiklarna 13 och 14 i dataskyddsförordningen. Viss information som ska lämnas enligt 14 § registerlagen motsvaras av information enligt de direkt tillämpliga bestämmelserna i artiklarna 13 och 14 i dataskyddsförordningen medan vissa punkter i registerlagen inte har någon motsvarighet i dataskyddsförordningen. Bestämmelser i nationell rätt som anger vilken information som självmant ska lämnas till den registrerade får enligt utredningens bedömning behållas med stöd av artikel 6.2 och 6.3 dataskyddsför- ordningen, om den ursprungliga behandlingen grundas på att den är nödvändig för att utföra en uppgift av allmänt intresse. För att undvika dubbelreglering bör dock bestämmelsen anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och det i bestämmelsen anges vilken information som ska lämnas utöver vad som framgår av artiklarna 13 och 14 i dataskyddsförord- ningen. Enligt utredningens bedömning innebär detta att punkt- erna 2, 4, 5, 6 och 10 bör anpassas eller utgå. Hänvisningen till 26 § personuppgiftslagen måste utgå. Motsva- rande bestämmelse återfinns i artikel 15 i dataskyddsförordningen. Detta bör tydliggöras genom en motsvarande hänvisning i 14 § registerlagen. Information om utlämnande till forskning Utredningens bedömning: Bestämmelsen i 15 § om informa- tion till den registrerade om till vilka forskningsprojekt uppgif- ter om denne har lämnats ut kan och bör behållas. Den registrerade har enligt 15 § rätt att på begäran få information om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut. Anpassningar av vissa registerförfattningar Bestämmelsen är en specificering av den rättighet som återges i artikel 15.1 c dataskyddsförordningen, dvs. att den registrerade bland annat ska ha rätt till information om de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska läm- nas ut. Bakgrunden till bestämmelsen är bedömningen att den registrerade kan behöva få tillgång till information om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut i samband med en begäran om utplåning av uppgifter. Bestämmelsen är, enligt utredningens bedömning, en sådan natio- nell specificering som är tillåten enligt skäl 8 samt artikel 6.2 och 6.3 i dataskyddsförordningen. Utredningens förslag: Bestämmelsen om den registrerades rätt till utplåning av uppgifter i 16 § ändras på så sätt att första meningen i paragrafen ersätts med en inledande upplysning om att det i artikel 17 i dataskyddsförordningen finns bestämmelser om rätt till radering. I bestämmelsen ska även begreppet utplåna genomgående ersättas med begreppet radera, i enlighet med terminologin i dataskyddsförordningen. Av 16 § framgår att den registrerade har rätt att när som helst be- gära att uppgifter i registret om honom eller henne ska utplånas. I bestämmelsen lämnas vidare vissa ramar för ett sådant utplånande. I sammanhanget kan noteras att utplåning och gallring är två olika förfaranden, där gallring regleras i arkivsammanhang och utplåning eller radering av uppgifter sker av integritetsskyddsskäl. Rätten till radering återfinns i artikel 17 i dataskyddsförordningen. Bestämmelsen i 16 § registerlagen är mer långtgående än artikel 17 i dataskyddsförordningen såtillvida att den registrerade enligt första meningen i paragrafen har en ovillkorlig rätt att få sina uppgifter ut- plånade. Den registrerades rätt enligt första meningen i 16 § i register- lagen avviker således från vad som anges i den direkt tillämpliga artikeln 17 i dataskyddsförordningen. Denna del av paragrafen är således enligt vår bedömning inte förenlig med dataskyddsförord- ningen. Den första meningen bör därför ersättas med en upplys- ning om att i artikel 17 i dataskyddsförordningen finns det bestäm- Anpassningar av vissa registerförfattningar melser om rätt till radering. Resterande del av paragrafen innehåller bestämmelser som närmare reglerar förfarandet när en registrerad begär att uppgifter om honom eller henne i registret ska utplånas. Denna del är enligt vår bedömning en sådan specificering som enligt artikel 6.2 är tillåten i nationell rätt för att anpassa tillämpningen av bestämmelserna i förordningen och kan därför behållas. I bestämmelsen bör även begreppet utplåna genomgående er- sättas med begreppet radera, i enlighet med terminologin i data- skyddsförordningen. Utredningens förslag: Bestämmelsen om skadestånd i 17 § ska upphävas. I 17 § hänvisas till att bestämmelserna i 48 § personuppgiftslagen om skadestånd ska tillämpas på motsvarande sätt i fråga om behand- ling av personuppgifter som har skett i strid med denna lag. Bestämmelser med hänvisningar till personuppgiftslagen kan inte vara kvar när personuppgiftslagen upphävs. Anledningen till att det i registerlagen finns en hänvisning till personuppgiftslagens bestämmelser om skadestånd är att bestämmelserna annars inte skulle vara tillämpliga. Enligt 48 § personuppgiftslagen är skade- ståndsskyldigheten kopplad till en behandling av personuppgifter i strid med denna lag, dvs. För att bestämmel- sen ska vara tillämplig även vid behandling i strid med registerlagen krävs att den anges gälla på motsvarande sätt i registerlagen. Till skillnad från vad som gäller enligt personuppgiftslagen är dataskydds- förordningen direkt tillämplig även på sådan behandling av person- uppgifter som omfattas av registerlagens tillämpningsområde och det behövs därför ingen hänvisning. I dataskyddsförordningen finns skadeståndsbestämmelsen i artikel 82. Det är inte möjligt att be- gränsa tillämpningen av artikel 82, så det är inte heller av det skälet motiverat att särskilt reglera vad som gäller ifråga om skadestånd. föreslår att en bestämmelse införs i data- skyddslagen som förtydligar att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestäm- Anpassningar av vissa registerförfattningar melser i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen. Bestämmelsen i 17 § registerlagen, med hänvisning till 48 § person- uppgiftslagen, bör därmed upphävas och inte ersättas med någon hänvisning till dataskyddsförordningen. Förordning (2013:833) om vissa register för forskning om vad arv och miljö betyder för människors hälsa Utredningens bedömning: Bestämmelserna i förordningen om vissa register för forskning om vad arv och miljö betyder för människors hälsa kan och bör behållas. I förordningen (2013:833) om vissa register för forskning om vad arv och miljö betyder för människors hälsa finns bestämmelser som kompletterar registerlagen. I 2 § hänvisas till att det i bilagan till förordningen anges vilka statliga universitet eller högskolor som får behandla personuppgifter enligt registerlagen och vilka register enligt lagen som får föras. I 3 § föreskrivs att i ett register som förs enligt registerlagen får uppgifter avseende genetiska undersökningar registreras om de avser individuella variationer i arvsmassan. Utredningen har i föregående avsnitt gjort bedömningen att de bestämmelser i registerlagen som föreskriftsrätten hänför sig till är förenliga med dataskyddsförordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom dessa områden. Bestäm- melserna kan därmed behållas. Utredningens förslag: Ändringarna i lagen ska träda i kraft . Inga övergångsbestämmelser ska införas. Av artikel 99 i dataskyddsförordningen framgår att förordningen ska tillämpas . De föreslagna ändring- arna i registerlagen bör börja tillämpas som dataskydds- förordningen. Anpassningar av vissa registerförfattningar Dataskyddsförordningen innehåller inga övergångsbestämmel- ser som är relevanta för registerlagen. Det är utredningens bedöm- ning att det saknas utrymme att införa övergångsbestämmelser av- seende de föreslagna ändringarna. Se kapitel 16. 15.4Lag (1999:353) om rättspsykiatriskt forskningsregister Lagen (1999:353) om rättspsykiatriskt forskningsregister (register- lagen) trädde i kraft . Registerlagens syfte är att ge () lagligt stöd för att föra ett rättspsykia- triskt forskningsregister för de ändamål som anges i 3 § register- lagen, dvs. forskning inom rättspsykiatrin samt RMV:s uppföljning, utvärdering och kvalitetssäkring av sin verksamhet inom rätts- psykiatrin. RMV är personuppgiftsansvarigt för registret. Bak- grunden till registerlagen var ett behov av förbättrade möjligheter till forsknings- och utvecklingsarbete inom det rättspsykiatriska området, vilket RMV hemställde till regeringen om under tidigt 1990- tal. Regeringen tillsatte en utredning som lade fram betän- kandet Rättspsykiatriskt forskningsregister (SOU 1996:72). Reger- ingen anpassade förslagen i utredningen till den, vid , nya personuppgiftslagen, vilken baseras på det nuvarande data- skyddsdirektivet och trädde i kraft den 24 oktober 1998.9 Register- lagen är således enligt tidigare gjorda bedömningar förenlig med dataskyddsdirektivet. Med anledning av att dataskyddsförordningen blir direkt tillämp- lig i medlemsstaterna måste all nationell reglering också vara anpassad till dataskyddsförordningen och till den gene- rella reglering som har i uppdrag att före- slå. Eftersom det är tills dess att dataskyddsförordningen ska börja tillämpas är det utredningens uppdrag att i ett första skede analysera vilka anpassningar som behöver göras av registerlagen tills dess att dataskyddsförordningen ska börja tillämpas. Från RMV har framhållits att registerlagen inte ger ett adekvat stöd för den rättspsykiatriska forskningen. 9 Se vidare prop. 1998/99:72 s. 12 f. Anpassningar av vissa registerförfattningar RMV bland annat att rättspsykiatrins nuvarande frågeställningar inte låter sig besvaras med stöd av de begränsade personuppgifter som får registreras i registret. Det har därför ifrågasatts om lagen bör vara kvar i sin nuvarande omfattning.10 Utredningen har i ett andra skede i uppdrag att undersöka hur registerlagen används samt analysera om det långsiktigt finns ett behov av en särskild reglering av ett rättspsykiatriskt forskningsregister och, om så be- döms vara fallet, hur en sådan reglering bör utformas. Utredningen ska lämna behövliga författningsförslag i alla delar. Eftersom utredningen har i uppdrag att i ett andra skede utreda och föreslå en långsiktig reglering kommer denna första del av uppdraget i denna del att fokusera uteslutande på lagtekniska an- passningar av registerlagen i relation till dataskyddsförordningens bestämmelser.