sou · H5B374 · 2017-10-04 00:00:00 — Dna-registren bör på samma sätt som få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, full- göra förpliktelser som följer av internationella åtaganden och underlätta identifiering av avlidna personer. Hur 4 kap. 7 § polisdatalagen som reglerar gallring i dna-regist- ren bör formuleras behandlas i avsnitt 5.5.2. Utredningens förslag: I polisens brottsdatalag ska det anges för vilka syften får föra fingeravtrycks- och sig- nalementsregister. Skälen för utredningens förslag: Enligt 4 kap. 11 § polisdatalagen får föra fingeravtrycks- och signalementsregis- ter. Av 1 kap. 7 § framgår att 2 kap. gäller vid behandling av per- sonuppgifter i register enligt 4 kap. Det innebär att fingeravtrycks- och signalementsregister får föras för de ändamål som anges i 2 kap. 7 § (se prop. 2009/10:85 s. 355). Registren får även föras för att underlätta identifiering av okända personer. På samma sätt som när det gäller dna-registren bör det tydliggö- ras för vilka syften fingeravtrycks- och signalementsregister får föras i stället för att det ska läsas ut genom en hänvisning till be- stämmelser i ett annat kapitel. Fingeravtrycks- och signalements- register bör på samma sätt som få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, fullgöra förpliktelser som följer av internationella åtaganden och underlätta identifiering av okända personer. Registren bör även i likhet med få föras för att kontrollera fingeravtryck som tagit enligt 9 kap. 8 § utlän- ningslagen, vilket motsvarar regleringen i 2 kap. 8 § första stycket 6 polisdatalagen. I avsnitt 5.5.2 behandlar utredningen frågan om hur 4 kap. 14 och 15 §§ som reglerar gallring i fingeravtrycks- och signalements- register bör formuleras. 7.8Personuppgiftsbehandling för forensiska ändamål 7.8.1Vad är forensiska ändamål? Personuppgiftsbehandling vid för forensiska ändamål regleras i 5 kap. polisdatalagen. Forensik är ett samman- fattande begrepp för utveckling och tillämpning av metoder från olika vetenskapliga ämnesområden – t.ex. biologi, kemi eller tekno- logi – på frågeställningar om framför allt olika typer av fysiska spår som undersöks i anledning av misstanke om brott. Särskilda krav ställs på oberoende och vetenskaplig grund. Det är alltså bara de åtgärder som vilar på denna forensiska grund som kan sägas vara forensiska åtgärder. I kravet på oberoende ligger också att forensi- ska undersökningar, analyser och jämförelser hanteras helt separat från annat utredningsarbete under en förundersökning. Vad som görs och hur det dokumenteras är enbart beroende av vilket behov som finns i det enskilda ärendet av att forensiskt undersöka och analysera visst material. För frågan om ett visst föremål eller mate- rial hanteras för forensiska ändamål eller inte saknar det betydelse om det har tagits i beslag. Att en undersökning äger rum inom ramen för en förundersökning är inte heller avgörande för frågan om bevismaterial hanteras för forensiska ändamål eller inte. Gräns- dragningen mellan forensiska ändamål och brottsbekämpande ändamål diskuteras utförligt i förarbetena till 5 kap. (se Den nya polisorganisationen – några frågor om personuppgiftsbehandling m.m., prop. 2014/15:94, s. 56 f.). Behandling för forensiska ändamål vid utförs huvudsakligen av Nationellt forensiskt centrum, men även andra enheter inom myndigheten utför viss sådan behandling. I delbe- tänkandet bedömer utredningen att den behandling för forensiska ändamål som Nationellt forensiskt centrum utför åt den egna myn- digheten och åt andra behöriga myndigheter omfattas av brotts- datalagens tillämpningsområde (se SOU 2017:29 s. 189 f.). Det gäller även motsvarande behandling för forensiska ändamål av per- sonuppgifter vid en annan enhet inom . I förarbetena till 5 kap. anges att syftet med regleringen är att skapa en sammanhållen reglering av den forensiska processen inom (se prop. 2014/15:94 s. 56). De särskilda reg- lerna för personuppgiftsbehandling för forensiska ändamål är så- ledes inte tillämpliga i och Säkerhetspoli- sens verksamhet. 7.8.2Regleringen av forensiska ändamål behålls Utredningens bedömning: Bestämmelserna om för vilka ända- mål personuppgifter får behandlas i den forensiska verksamhe- ten bör behållas. Skälen för utredningens bedömning: I 5 kap. 1–3 §§ polisdata- lagen anges för vilka ändamål personuppgifter får behandlas i den forensiska verksamheten vid . Ändamålen delas upp i primära och sekundära på samma sätt som i 2 kap. 7 och 8 §§ polisdatalagen. De primära ändamålen anger den behandling som utförs för forensiska ändamål vid , medan de sekundära ändamålen anger när uppgifter som behandlas för foren- siska ändamål får användas i andra delar av myndighetens verksam- het eller lämnas ut till andra myndigheter eller organisationer för deras behov. I avsnitt 6.1.3 konstaterar utredningen att vad som i dataskydds- rättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats sam- man. En ändamålsbestämmelse bör enligt utredningens mening ge ledning för prövningen av vilka personuppgifter som är adekvata och relevanta för behandlingen. Utredningen anser att 2 kap. 7 § polisdatalagen inte är en ändamålsbestämmelse i egentlig mening utan att den är en del av den rättsliga grunden och anger ramen för när personuppgifter får behandlas. Bestämmelserna i 5 kap. 1 och 2 §§ polisdatalagen om för vilka ändamål personuppgifter får be- handlas i den forensiska verksamheten är betydligt mer konkreta och ger tydlig ledning för vilka personuppgifter som är adekvata och relevanta för behandlingen. De är således enligt utredningens mening ändamålsbestämmelser. De behöver inte anpassas till reg- leringen i brottsdatalagen utan bör behållas oförändrade. 7.8.3Behandling för nya ändamål Utredningens förslag: Det ska framgå genom en hänvisning att personuppgifter som behandlas för forensiska ändamål ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Enbart personuppgifter som behandlas för vissa forensiska ändamål ska få behandlas för nya ändamål utanför den forensiska verksamheten. Skälen för utredningens förslag Kan den nuvarande regleringen av utlämnande behållas? Den sekundära ändamålsbestämmelsen i 5 kap. 3 § polisdatalagen reglerar som nämnts i vilken utsträckning personuppgifter som behandlas för något primärt forensiskt ändamål även får be- handlas för att lämnas ut till andra för att tillgodose deras behov. Den reglerar alltså behandling för nya ändamål. Enligt paragrafen får personuppgifter som behandlas för vissa av de primära ända- målen även behandlas när det är nödvändigt för att tillhandahålla information som behövs i annan brottsbekämpande verksamhet hos eller i brottsbekämpande verksamhet hos , , , , eller . I ett enskilt fall får personuppgifter som behandlas för forensiska ändamål även be- handlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ända- mål som uppgifterna samlades in för. Innan personuppgifter behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Det innebär att en prövning alltid måste göras innan personuppgifter behandlas för nya ända- mål, oavsett om det är för forensiska ändamål eller för andra ända- mål inom brottsdatalagens tillämpningsområde. Om den sekundära ändamålsbestämmelsen skulle behållas, där utlämnande av person- uppgifter i de flesta fall är tillåtet utan någon annan prövning än om det är nödvändigt att tillhandahålla informationen, skulle prövning- en enligt brottsdatalagen sättas ur spel. En sådan prövning krävs enligt artikel 4.2 i direktivet. Det är således inte förenligt med direktivet att behålla den sekundära ändamålsbestämmelsen med den utformning den har . Bör möjligheterna att lämna ut personuppgifter begränsas på annat sätt? är det som huvudregel bara personuppgifter som behandlas för vissa forensiska ändamål som får behandlas utanför den foren- siska verksamheten för att tillhandahållas de brottsbekämpande myndigheterna. Personuppgifter som behandlas när Nationellt forensiskt centrum begär eller utför forensiska åtgärder åt Rätts- medicinalverket, utländska laboratorier, utländska brottsbekäm- pande myndigheter, mellanfolkliga organisationer eller EU-organ med brottsbekämpande uppgifter, när centrumet begär åtgärder av ett annat expertorgan eller när uppgifter behandlas för forskning och statistik får som huvudregel inte behandlas utanför den foren- siska verksamheten. Skälet till det är enligt förarbetena att det då inte finns skäl att redovisa resultaten för någon annan än uppdrags- givaren (se prop. 2014/15:94 s. 67). Samma begränsningar bör gälla även i fortsättningen. Med hänsyn till kraven på nödvändighet och proportionalitet innan personuppgifter behandlas för nya ändamål finns det dock inte längre skäl att räkna upp till vilka myndigheter uppgifterna får lämnas ut. I ett enskilt fall får också personuppgifter som behandlas för något forensiskt ändamål behandlas för andra ändamål, om det inte är oförenligt med insamlingsändamålet. Det kan avse ändamål både inom och utanför brottsdatalagens tillämpningsområde. Som anges i delbetänkandet bedömer utredningen att finalitetsprincipen inte ska tillämpas vare sig vid behandling inom tillämpningsområdet eller utanför det (se SOU 2017:29 s. 247 f. och 292 f.) Bestämmel- sen kan därför inte behållas. Utredningen föreslår i avsnitt 6.4.3 att en prövning av att be- handlingen är nödvändig och proportionerlig ska göras även när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför brottsdatalagens tillämpningsområde. En så- dan prövning utgör enligt utredningens mening en lämplig avväg- ning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet även när det gäller personuppgif- ter som behandlas för forensiska ändamål. Den föreslagna bestäm- melsen i brottsdatalagen bör därför gälla även vid behandling för forensiska ändamål. 7.8.4Behandling av känsliga personuppgifter Utredningens förslag: Biometriska uppgifter och genetiska uppgifter ska få behandlas för forensiska ändamål enligt de för- utsättningar som anges i brottsdatalagen. Sökförbudet i brottsdatalagen ska inte hindra sökningar i register som regleras särskilt i 5 kap. polisens brottsdatalag i syfte att få fram ett personurval grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter. Skälen för utredningens förslag Behandling av biometriska och genetiska uppgifter I avsnitt 7.3.2 beskrivs vad som avses med biometriska och gene- tiska uppgifter. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Behandling av sådana uppgifter är en viktig del i den forensiska verksamheten, inte minst vid dna-analyser och behandling av personuppgifter i dna-registren och fingeravtrycks- och signalementsregistret. Den tekniska ut- vecklingen ger också nya möjligheter att använda framför allt bio- metri. Det kommer därför sannolikt att finnas ett ökande behov av att kunna behandla biometriska uppgifter för forensiska ändamål. Det bör därför föreskrivas att biometriska och genetiska uppgifter får behandlas för sådana ändamål. Med hänsyn till att sådana uppgifter enligt brottsdatalagen endast får behandlas om det är absolut nödvändigt för ändamålet med behandlingen bedömer utredningen att det inte finns skäl att begränsa möjligheterna att behandla biometriska och genetiska uppgifter ytterligare. Undantag från sökförbudet i brottsdatalagen Sökförbudet i 2 kap. 14 § brottsdatalagen utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sök- ningen tillåten, även om känsliga personuppgifter används vid sök- ningen. Det är Nationellt forensiskt centrum vid som administrerar dna-registren och fingeravtrycks- och signalements- register. Vid sökning i registren används dna-profiler respektive fingeravtryck, vilket är biometriska uppgifter (se SOU 2017:29 s. 265 f.). Sökning på fingeravtryck resulterar alltid i en träfflista, vilket då blir ett personurval grundat på biometriska uppgifter. Det bör därför vara tillåtet att göra sökningar i syfte att få fram ett personurval grundat på biometriska uppgifter i den forensiska verksamheten. Information i forensiska databaser kan användas för att ge övriga delar av spaningsuppslag, s.k. forensiska uppslag. Tanken med det är att de iakttagelser som görs vid foren- siska undersökningar i olika ärenden ska kunna komma till nytta i polisverksamheten som helhet eller i annan brottsbekämpande verksamhet (se prop. 2014/15:94 s. 62 f.). Det går exempelvis att genomföra s.k. familjesökning, vilket innebär att man jämför dna- profiler för att finna släktingar till en viss person, exempelvis en oidentifierad misstänkt. Familjesökning baserar sig på att nära släk- tingar till viss del har överensstämmande arvsmassa och sökningar görs då mellan en dna-profil och registrerade dna-profiler med en längre grad av matchning mellan profilernas str-markörer. Sådana sökningar kan resultera i ett personurval grundat på biometriska uppgifter. Det finns därför skäl att göra undantag från sökförbudet när det gäller behandling av biometriska uppgifter i den forensiska verksamheten. Möjligheterna att ta fram information ur dna-prover utvecklas . Det går att få fram olika personliga egen- skaper som ögonfärg, ärftliga sjukdomar eller en persons biogene- tiska ursprung. Det bör vara tillåtet att göra sökningar i syfte att få fram ett personurval grundat på genetiska uppgifter eller uppgifter som rör hälsa i den forensiska verksamheten. Tullbrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av per- sonuppgifter i brottsbekämpande verksamhet. Lagen trädde i kraft . Vissa bestämmelser behöver dock inte tillämpas före . Vid myndighetens personuppgiftsbehandling i annan operativ verksamhet gäller lagen (2001:185) om behandling av uppgifter i verksamhet. Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De ytterligare anpass- ningar som krävs i tullbrottsdatalagen behandlas i detta kapitel. 8.1.2Tullbrottsdatalagen ges ett nytt namn Utredningens förslag: Tullbrottsdatalagen med tillhörande för- ordning ska benämnas brottsdatalag och brottsdataförordning. Skälen för utredningens förslag: Av de skäl som anges i av- snitt 7.1.2 finns det skäl att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Trots att tullbrotts- datalagen fått sitt namn bör lagen därför enligt utredning- ens mening ges ett nytt namn. Namnet bör knyta an till hur brotts- datalagen benämns. Det bör vara kort och tydligt ange för vem författningen gäller och vad den handlar om. Utredningen föreslår därför att lagen ska benämnas brottsdatalag. Tullbrotts- dataförordningen bör i konsekvens med det benämnas brottsdataförordning. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras. Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar per- sonuppgifter i syfte att bekämpa eller lagföra brott. Skälen för utredningens förslag: I avsnitt 4.4.1 tar utredningen ställning till att registerförfattningarna även i fortsättningen ska innehålla bestämmelser om tillämpningsområdet. Vidare föreslår utredningen i avsnitt 5.2 att registerförfattningarna ska gälla utöver brottsdatalagen. Enligt 1 kap. 2 § tullbrottsdatalagen gäller lagen i brottsbekämpande verksamhet. Tillämpningsområdet måste dock anpassas till brottsdatalagens tillämpningsområde så att det utgår från syftet med behandlingen i stället för i vilken verksamhet be- handlingen utförs. Det bör också framgå att lagen endast gäller när agerar i egenskap av behörig myndighet, eftersom det är en viktig avgränsning för tillämpningsområdet (se SOU 2017:29 s. 159 f.). Som framgår av avsnitt 5.4.6 anses lagföring av brott ingå i begreppet brottsbekämpning, medan det i brottsdatalagen görs skillnad mellan brottsbekämpning och lagföring. Det bör därför klargöras att tillämpningsområdet omfattar personuppgiftsbehand- ling i syfte att bekämpa och lagföra brott. I avsnitt 4.4.2 diskuterar utredningen vad det ändrade tillämp- ningsområdet innebär. 8.3Grundläggande bestämmelser om behandling 8.3.1Tillåtna rättsliga grunder och behandling för nya ändamål Utredningens förslag: ska få behandla personupp- gifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller lagföra brott, eller 3.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege- ringen uppdragit åt myndigheten att ansvara för en sådan upp- gift. Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen. Skälen för utredningens förslag En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 5 § tullbrottsdatalagen bör således behållas, men det ska framgå att det inte är en ändamålsbestäm- melse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Tullver- ket rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2). får behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av inter- nationella åtaganden. bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brotts- datalagens terminologi. brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. Det bör därför på samma sätt som i brottsdatalagen i brottsdatalag föreskrivas att den arbetsuppgift som ska utföras ska framgå av en bindande unions- rättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.). I delbetänkandet behandlar utredningen frågor om hur gränsen ska dras mellan brottsbekämpning och sådan kontrollverksamhet som ligger utanför brottsdatalagens tillämpningsområde. Som utred- ningen påpekar där kan gränsdragningen vara svår när det gäller verksamhet (se SOU 2017:29 s. 198 f.). Det gäller framför allt underrättelseverksamhet, som i stor ut- sträckning ger underlag till de selektiva kontroller av varor och resande som utgör en viktig bas i myndighetens brottsbekämpning, särskilt när det gäller organiserad brottslighet. Den kunskap som upparbetas i underrättelseverksamheten om bl.a. resrutter, metoder för att dölja otillåtna varor och typiska kännetecken för någon som kan vara smugglare läggs sedan till grund för att bedöma vilka kate- gorier av personer som bör underkastas kontroll. Underrättelse- verksamheten hämtar bl.a. information från andra delar av myndig- hetens verksamhet, t.ex. upplysningar om iakttagelser som har gjorts vid kontroller och i samband med att personer har ertappats för smugglingsbrott. Det krävs därför ett nära samarbete mellan dem som bedriver underrättelseverksamhet inom och dem som utför fysiska tullkontroller i syfte att bekämpa brott. En förutsättning för att brottsbekämpning ska vara fram- gångsrik är att personuppgifter kan utbytas mellan underrättelse- verksamheten och dem som utför kontroller i syfte att bekämpa De tillåtna rättsliga grunderna ger samma förutsättningar som för sådant informationsutbyte. Behandling för nya ändamål regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 6 § tullbrottsdatalagen. Utred- ningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekun- dära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdata- lagen säkerställas att behandlingen är nödvändig och proportioner- lig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i brottsdatalag som tydlig- gör att förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av den lagen, för nya ändamål regleras i brotts- datalagen. 8.3.2Behandling av biometriska och genetiska uppgifter Utredningens förslag: ska få behandla biometriska uppgifter enligt de förutsättningar som anges i brottsdatalagen. Utredningens bedömning: bör inte få behandla genetiska uppgifter. Skälen för utredningens förslag och bedömning: I avsnitt 7.3.2 anges vad som avses med biometriska och genetiska uppgifter och vilken betydelse sådana uppgifter har i brottsbekämpningen. Tull- verket bör på samma sätt som polisen ha möjlighet att använda biometriska uppgifter i brottsbekämpningen. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att iden- tifiera en person behandlas bara om det är absolut nödvändigt för ändamålet med behandlingen. Utredningen bedömer att det för närvarande inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare. Det bör därför införas en be- stämmelse i brottsdatalag som medger behandling av biometriska uppgifter enligt de förutsättningar som anges i brotts- datalagen. Det har inte framkommit att har behov av att be- handla genetiska uppgifter. Utredningen anser därför att myndig- heten inte bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i brottsdatalag. 8.3.3Sökning på känsliga personuppgifter Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexual- liv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. Skälen för utredningens förslag Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter