sou · H5B380 · 2017-10-25 00:00:00 — Betänkande av Utredningen om dataskydd vid SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare med uppdrag att föreslå hur regelverket för Rättsmedicinal- verket ska anpassas så att verksamheten kan bedrivas med effektiva arbetsformer och stor hänsyn tagen till människors integritet (dir. 2016:75). Utredaren skulle bl.a. ta ställning till möjligheten och be- hovet av att införa en särskild personuppgiftsreglering för Rätts- medicinalverket, se över hur uppgifter kan inhämtas och hanteras i den rättspsykiatriska undersökningsverksamheten och analysera hur regleringen av myndighetens hantering av humanbiologiskt material bör se ut. I uppdraget ingick också att analysera och ta ställning till i vilken utsträckning ska utföra uppdrag på be- gäran av enskilda. Till särskild utredare förordnades f.d. lagmannen . I utredningen har följande experter medverkat: enhetschefen och överläkaren , , verksamhetsexperten , (Nationellt forensiskt centrum), advokaten , juristen , , kanslirådet , och chefsjuristen , . Sekreterare i utredningen har fr.o.m. varit hovrättsassessorn . Utredningen har antagit namnet Utredningen om dataskydd vid (Ju 2016:18). Härmed överlämnar utredningen sitt betänkande Stärkt integritet i verksamhet (SOU 2017:80). Utredningens uppdrag är därmed slutfört. Förslag till datalag (2018:000).......... 1.2Förslag till lag (2018:000) om 1.3 Förslag till lag (2018:000) om hantering av humanbiologiskt material vid ............ 1.4Förslag till lag om ändring i lagen (1991:1137) om 1.5Förslag till lag om ändring i lagen (1991:2041) om särskild personutredning i brottmål, m.m............................. 1.6Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Vårt uppdrag och arbete ............................................. 3.1En myndighet med fyra huvudsakliga Det rättsmedicinska verksamhetsområdet............................ Det rättspsykiatriska verksamhetsområdet .......................... Det rättskemiska verksamhetsområdet................................. Det rättsgenetiska verksamhetsområdet............................... Bestämmelser om behandling av personuppgifter.......... Grundläggande bestämmelser om integritetsskydd ............. Gällande rätt för personuppgiftsbehandling......................... Nya EU-rättsliga instrument om dataskydd ........................ Två viktiga lagstiftningsarbeten............................................. 5.3Personuppgiftsbehandling på det rättsmedicinska 5.4 Personuppgiftsbehandling på det rättskemiska området..... 5.5Personuppgiftsbehandling på det rättsgenetiska Personuppgifter på det rättspsykiatriska området ............... Personuppgiftsbehandling i övrigt ........................................ En datalag för ............................. 6.3Behövs det en särskild författning om behandling av 6.3.1Registerlagar innehåller särregler för vissa myndigheter och verksamheter .............................. 6.3.2Det finns ett behov av en särskild reglering av behandlingen av personuppgifter vid 6.4Tillämpningen av EU:s dataskyddsrättsliga regelverk på Två parallella regelverk.......................................... Brottsdatalagen genomför dataskyddsdirektivet.... 6.4.4I vilket syfte behandlingen av personuppgifter vid utförs avgör vilket regelverk som ska tillämpas .................................. Några exempel på vilket regelverk som regelmässigt bör tillämpas i vissa ärendetyper ..... 6.5 En lag om behandling av personuppgifter vid – våra överväganden och förslag ...... 6.5.1Lämplig normgivningsnivå och författningens 6.5.2Rättsmedicinalverkets datalag gäller utöver brottsdatalagen och i stället för dataskydds- Några utgångspunkter för vårt förslag till lag ..... Förhållandet till andra författningar..................... 6.5.7Lagen ska i tillämpliga delar även omfatta uppgifter om avlidna personer.............................. 6.5.9Rättslig grund och särskilda ändamål för behandling av personuppgifter ............................. 6.5.11 Elektroniskt utlämnande av personuppgifter ...... 6.5.13 Särskilda bestämmelser för behandling av personuppgifter på brottsdatalagens område....... 6.5.14 Särskilda bestämmelser för behandling av 6.5.15 Ikraftträdande och övergångsbestämmelser........ En lag om elimineringsdatabas .... 7.3Rättsmedicinalverket har behov av en 7.3.1Analyser av dna genomförs vid Det finns en risk att dna-prover kontamineras ... 7.5En lag om elimineringsdatabas – våra överväganden och förslag ............................................. Innebörden av vissa uttryck ................................. datalag och annan personuppgiftsreglering......... Användning av elimineringsdatabasen................. Längsta tid för behandling.................................... Ikraftträdande och övergångsbestämmelser........ Sekretess för uppgifter i elimineringsdatabasen.. Hantering av humanbiologiskt material ...................... 8.3Vilken hantering av humanbiologiskt material äger rum Det rättsmedicinska verksamhetsområdet........... Det rättskemiska verksamhetsområdet................ Det rättsgenetiska verksamhetsområdet.............. Det rättspsykiatriska verksamhetsområdet ......... 8.3.5Bevarande av prover av humanbiologiskt 8.4 Gällande rätt.......................................................................... 8.5En lag om hantering av humanbiologiskt material vid – våra överväganden och förslag ...... Utgångspunkter för våra överväganden ............... 8.5.2Lagens tillämpningsområde och vissa 8.5.3Den enskildes inställning till hantering av kvalitets- och utbildningsarbete ........................... 8.5.5Utlämnande av prover av humanbiologiskt 8.5.6Bevarande och förstöring av prover av Anställdas tillgång till prover av Uppgifter för rättspsykiatriska undersökningar ............ 9.3Genomförande av rättspsykiatriska undersökningar och utfärdande av s.k. § 7-intyg .................................................. Undersökningar på uppdrag av domstol.............. Ett underlag för att bestämma påföljd ................. 9.3.4Läkarintyg enligt 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. .......... 9.4 Uppgifter till ............................ 9.4.1En lagstadgad skyldighet för vissa aktörer att lämna uppgifter till ........... 9.4.2Vilka ytterligare uppgifter efterfrågar och i vilken utsträckning får verket del av sådana uppgifter?....................... 9.5En utökad möjlighet till uppgiftsinhämtning – våra överväganden och förslag..................................................... 9.5.1Ett berättigat behov av ytterligare 9.5.2Inhämtande av uppgifter från enskilt bedriven hälso- och sjukvård samt socialtjänst för rättspsykiatriska undersökningar och § 7-intyg Uppgiftsinhämtning från fem ytterligare En mer begränsad uppgiftsinhämtning för undersökningar enligt 7 § personutrednings- lagen än för rättspsykiatriska undersökningar .... Uppdrag från enskilda.............................................. I vilken utsträckning utför Rättsmedicinal- verket uppdrag på begäran av enskilda?...... Synpunkter om behov av en utökad skyldighet för att åta sig uppdrag från enskilda...... Ingen utökad uppdragsverksamhet för – våra överväganden ......................... Tre frågor av betydelse för komplettering av en rättspsykiatrisk 11.3.2 En tillämpning av häkteslagen vid rättspsykiatrisk undersökning – våra överväganden och förslag...................................... Provtagning för att bedöma medicinskt eller 11.4.2 En möjlighet för att ta prover av utredningsskäl – våra överväganden Sekretess för vissa uppgifter om ordning och säkerhet, 11.5.2 Förslag till utökning av sekretessen hos 11.5.3 Utökade sekretessbestämmelser – våra överväganden och förslag...................................... Konsekvenser av förslagen........................................ Konsekvenser av dataskyddsförordningen, dataskyddslagen och brottsdatalagen .................................. Konsekvenser för skyddet av enskildas integritet............... Konsekvenser för brottsligheten och det Konsekvenser i övrigt........................................................... Förslaget till datalag (2018:000) .... Förslaget till lag (2018:000) om Förslaget till lag (2018:000) om hantering av humanbiologiskt material vid .......... Förslaget till lag om ändring i lagen (1991:1137) om Förslaget till lag om ändring i lagen (1991:2041) om särskild personutredning i brottmål, m.m. ......................... Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) .................................................... Läkarintyg enligt 7 § lagen (1991:2041) om särskild personutredning i brottmål, Artikel 29-arbetsgruppen för skydd av (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF ning (EU) 2016/679 av om skydd för fysiska personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförord- Lagen (2018:000) med kompletterande bestämmelser till EU:s dataskydds- förordning, föreslagen av Dataskydds- utredningen i SOU 2017:39 Rådets rambeslut /977/RIF av den om skydd av person- uppgifter som behandlas inom ramen för polissamarbete och straffrättsligt angående skydd för de mänskliga rättigheterna och de grund- Nationellt forensiskt centrum vid personuppgiftslagen (1998:204) råd för vissa rättsliga, sociala och medicinska frågor Vårt uppdrag har varit att föreslå hur regelverket för Rättsmedicinal- verket (RMV) ska anpassas så att verksamheten kan bedrivas med effektiva arbetsformer och stor hänsyn tagen till människors inte- gritet. I uppdraget har ingått att ta ställning till möjligheten och be- hovet av att införa en särskild personuppgiftsreglering för RMV. Upp- draget i den delen har bestått i att identifiera de integritetsintressen och övriga intressen som har betydelse för RMV:s personuppgifts- behandling och behandling av uppgifter om avlidna personer. Vi har dessutom haft till uppgift att analysera möjligheten och behovet av att införa en särskild registerlagstiftning för RMV och ta ställning till i vilken utsträckning denna i så fall bör ha lagform. En särskild fråga har varit om det behövs ett starkare skydd för uppgifter om avlidna. I vårt uppdrag har också ingått att anpassa våra förslag till det pågående reformarbetet inom Europeiska unionen när det gäller att reglera behandlingen av personuppgifter. Inom RMV:s rättsgenetiska verksamhetsområde förs en eliminer- ingsdatabas, som används för att upptäcka och utreda kontaminering- ar i samband med rättsgenetiska dna-analyser. Vi har haft i uppdrag att ta ställning till behovet av att författningsreglera eliminerings- databasen. Vid RMV hanteras humanbiologiskt material (ben, blod, vävnad, hår, saliv, tänder, urin, dna och andra samlingar av celler från män- niskokroppen) från både levande och avlidna för olika undersöknings- ändamål. I vårt uppdrag har ingått att analysera hur denna hantering bör se ut och föreslå en reglering för RMV:s hantering av humanbio- logiskt material. Till ledning för valet av påföljd i ett brottmål genomför RMV rättspsykiatriska undersökningar enligt lagen (1991:1137) om rätts- psykiatrisk undersökning och undersökningar för att utfärda läkar- intyg enligt 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. (personutredningslagen). Vi har haft i uppdrag att ta ställning till vilka uppgifter som RMV i sin rättspsykiatriska under- sökningsverksamhet behöver ha tillgång till för att de utlåtanden som lämnas ska hålla tillräckligt hög kvalitet. Inom det rättspsykiatriska verksamhetsområdet har vi också tagit ställning till vissa frågor som rör ordning och säkerhet i samband med rättspsykiatriska under- sökningar och provtagning av utredningsskäl i anslutning till under- sökningarna. Dessutom har vi behandlat vissa frågor om sekretess inom RMV för bl.a. uppgift om åtgärd som har till syfte att hindra rymning eller fritagning i RMV:s rättspsykiatriska undersöknings- verksamhet. RMV får enligt sin instruktion (se 3 § förordningen [2007:976] med instruktion för ), utöver sitt huvuduppdrag, utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. Vi har haft i uppdrag att ta ställning till hur myndig- heten ska bedriva sin uppdragsverksamhet. Det finns ett behov av en registerförfattning för RMV bedriver verksamhet av central betydelse för rättsväsendet. Verket ansvarar för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet och en huvuduppgift för myndigheten är att lämna sakkunnigutlåtanden till rättsväsendets myndigheter. Främst rör det sig om utredningar i form av analyser och utlåtanden till polis, allmän åklagare och domstol. Utredningarna är ofta viktiga be- ståndsdelar i brottsutredningar, men verksamheten innefattar också uppdrag som inte rör brottsbekämpande eller liknande verksamhet. Ett exempel på sådan verksamhet är fastställande av faderskap eller annat släktskap, liksom rättsmedicinska åldersbedömningar på be- gäran av . Vid RMV förekommer en rad olika ärendetyper. Gemensamt för i princip samtliga ärenden är att de innefattar behandling av person- uppgifter som i många fall är känsliga ur integritetshänseende. gifterna kommer från bl.a. , och , men det förekommer också uppgifter från andra myndigheter liksom från enskilda personer. En mängd upp- gifter genereras också vid RMV:s utredningsarbete i de olika ärende- typerna. Merparten av den personuppgiftsbehandling som sker vid RMV regleras av personuppgiftslagens (1998:204) bestämmelser. Någon särskild lag om behandling av personuppgifter vid RMV finns inte. I syfte att åstadkomma ett starkare integritetsskydd för en- skilda, som RMV:s behov av en ändamålsenlig reglering av personuppgiftsbehandling tillgodoses, föreslår vi att en författning om behandling av personuppgifter vid RMV införs. Vi föreslår att författningen ska ha lagform och heta datalag. De EU-rättsliga dataskyddsbestämmelsernas tillämpning på personuppgiftsbehandling Behandlingen av personuppgifter är föremål för ett omfattande unionsrättsligt reformarbete. Grunden för generell personuppgifts- behandling inom EU utgörs enligt reformen av och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordning- en. Förordningen är direkt tillämplig i och ska tillämpas . Det finns ett visst utrymme för komplet- terande nationella bestämmelser. har i sitt betänkande Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39, lämnat förslag till lag med kom- pletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen). Dataskyddsförordningen omfattar inte behandling av person- uppgifter i myndigheters brottsförebyggande och brottsutredande verksamhet. På det området gäller i stället och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana upp- gifter och om upphävande av rådets rambeslut /977/RIF, nedan Utredningen om 2016 års dataskydds- direktiv har haft regeringens uppdrag att föreslå hur dataskyddsdirek- tivet ska genomföras i svensk rätt. I sitt betänkande Brottsdatalag, SOU 2017:29, har utredningen föreslagit att dataskyddsdirektivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. De båda EU-rättsliga regelkomplexen på dataskyddsområdet kom- mer att tillämpas parallellt vid RMV. För behandling av personupp- gifter vid verket kommer som utgångspunkt dataskyddsförordning- en att gälla. När RMV som behörig myndighet fullgör ett uppdrag i syfte att stödja sådan brottsutredande och liknande verksamhet som avses i dataskyddsdirektivet, är i stället brottsdatalagen tillämplig. Syftet med personuppgiftsbehandlingen avgör vilka regler som ska tillämpas. Huvuddragen i förslaget till datalag datalag ska, med några uttryckligt angivna undantag, vara tillämplig på all behandling av personuppgifter vid RMV. Lagen gäller utöver brottsdatalagen och i stället för dataskydds- lagen. Bestämmelserna är fördelade i tre kapitel, där 1 kap. innehåller allmänna regleringar, 2 kap. innehåller bestämmelser om behandling av personuppgifter inom det område som omfattas av brottsdata- lagen och 3 kap. bestämmelser om personuppgiftsbehandling på data- skyddsförordningens område. Lagen gäller i tillämpliga delar även vid behandling av uppgifter om avlidna personer. På dataskyddsdirektivets område innehåller datalag bestämmelser som kompletterar brottsdatalagen. Det rör sig om bestämmelser om de tillåtna rättsliga grunderna för personupp- giftsbehandling, om sökning i personuppgifter, elektroniskt utläm- nande av personuppgifter, administrativa sanktionsavgifter och skade- stånd. För RMV:s personuppgiftsbehandling på dataskyddsförordning- ens område ska vissa bestämmelser i dataskyddslagen vara tillämp- liga. datalag innehåller därutöver bestämmelser om rättslig grund för personuppgiftsbehandling, behandling av käns- liga personuppgifter i bild, sökning i personuppgifter, tillgången till personuppgifter, anmälningsskyldighet för dataskyddsombud, elek- troniskt utlämnande av personuppgifter och rätt till information. En lag om elimineringsdatabas Vid RMV:s rättsgenetiska enhet genomförs dna-analyser. Sådana genetiska analyser är normalt sett mycket tillförlitliga, men det finns en risk att dna-prov kontamineras. Resultatet av en dna-analys kan därigenom bli felaktigt och missvisande. För att upptäcka och utreda kontamineringar för RMV en elimineringsdatabas. Möjligheten att genom jämförelser med dna-profiler i en elimineringsdatabas upp- täcka och utreda kontamineringar är av avgörande betydelse för att RMV:s arbete med dna-analyser ska hålla fullgod kvalitet. Grunden för registrering i databasen är samtycke från de personer vars dna-profiler registreras. Det kan ifrågasättas om detta är en tillräcklig rättslig grund för förandet av databasen. Rättsliga för- utsättningar för att RMV ska kunna föra en elimineringsdatabas bör införas och vi föreslår därför en lag om elimineringsdatabas. I lagen slås fast att RMV får föra en elimineringsdatabas i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna- analyser. Databasen får innehålla dna-profiler från personer som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riske- rar att kontaminera dessa. Den får också innehålla dna-profiler som har påträffats vid en dna-analys och som inte kan hänföras till en identifierad person. En profil från ett dna-prov som analyserats vid RMV får jämföras med dna-profiler i elimineringsdatabasen. Jäm- förelser får också göras mellan dna-profiler som har tagits fram för att kvalitetssäkra dna-analyser och dna-profiler i databasen. Anställda vid och andra som återkommande kan komma i kontakt med och därigenom riskera att kontaminera material som används vid dna-analys, prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs, ska vara skyldiga att lämna prov för dna-analys i syfte att dna-profilen ska registreras i eliminer- ingsdatabasen. Detsamma ska gälla även för andra personer, om de ska få tillträde till en lokal där RMV hanterar eller förvarar dna- prover som ska analyseras. Uppgifter i elimineringsdatabasen får inte behandlas när de inte längre behövs för att utreda om en persons dna kan ha kontaminerat material, prover eller lokaler. En lag om hanteringen av humanbiologiskt material vid Hanteringen av humanbiologiskt material är mycket betydelsefull för merparten av verksamheten vid RMV. Materialet innehåller ofta integritetskänslig information och den lagreglering som finns på om- rådet är inte tillräcklig. Vi har därför lämnat ett förslag till lag om hantering av humanbiologiskt material vid . Lagen omfattar frågor om bevarande, utlämnande och förstöring av prov som utgör humanbiologiskt material. Med humanbiologiskt material avses i sammanhanget mänskligt biologiskt material som har tagits från en levande eller avliden person eller ett . Humanbiologiskt material får enligt den föreslagna lagen som huvudregel hanteras även om den enskilde, eller närstående till en avliden, motsätter sig hanteringen. Vid sådana uppdrag som RMV har åtagit sig som förutsätter den enskildes samtycke, får däremot hantering av humanbiologiskt material endast ske om den från vilken provet härrör samtycker till en sådan hantering. Om ett lämnat sam- tycke återkallas, ska materialet förstöras. Bestämmelser om när RMV får ta emot, ta, undersöka och analy- sera prov av humanbiologiskt material regleras i andra författningar. Genom lagen ges RMV därutöver en rätt att bevara, undersöka och analysera prover av humanbiologiskt material för systematisk utvär- dering, utveckling och säkring av kvaliteten, utbildning i undersök- ningsverksamheten samt forskning inom verket. Lagen innehåller en bestämmelse om i vilka situationer RMV, ut- över när det framgår av annan lag, får lämna ut prover av humanbio- logiskt material som verket har tagit eller tagit emot för undersök- ning och analys. Prover av humanbiologiskt material har olika hållbarhet och be- hovet av att spara proverna varierar. Hur länge materialet ska bevaras och vad som ska gälla för förstöring av prover, ska regleras av regeringen eller den myndighet som regeringen bestämmer. Uppgifter till rättspsykiatriska undersökningar I RMV:s rättspsykiatriska undersökningsverksamhet är det av stor vikt att myndigheten har ett fullgott underlag för att kunna lämna ett utlåtande till ledning för domstolens påföljdsbestämning. Upp- gifter som kan vara betydelsefulla vid utredningarna på det rätts- psykiatriska området finns framför allt inom hälso- och sjukvården samt . Den person som utredningen avser kan också ha haft kontakt med ett antal myndigheter, som kan ha viktig infor- mation att lämna. Främst rör det sig om uppgifter från Migrations- verket, Kriminalvården, Arbetsförmedlingen, och Totalförsvarets rekryteringsmyndighet. Vid genomförandet av rättspsykiatriska undersökningar och s.k. § 7-undersökningar begär RMV regelmässigt in uppgifter från hälso- och sjukvården samt , liksom från en del av de nyssnämnda myndigheterna. ning och personutredningslagen innehåller bestämmelser som gör det möjligt för RMV att få del av uppgifter från offentligt bedriven hälso- och sjukvård samt socialtjänst. Med stöd av främst dessa be- stämmelser, men även av 10 kap. 27 § offentlighets- och sekretess- lagen (2009:400) får RMV i varierande omfattning även del av upp- gifter från några av de aktuella myndigheterna. Uppgiftsinhämtning från enskilt bedriven hälso- och sjukvård samt socialtjänst som drivs av privata utförare förutsätter dock som regel den undersöktes sam- tycke. Det är vanligt förekommande att den person som ska genom- gå en rättspsykiatrisk undersökning eller en § 7-undersökning inte lämnar något sådant samtycke.