sou · H5B380 · 2017-10-25 00:00:00 — Personuppgiftslagen innehåller utöver de bestämmelser som framhållits, även bl.a. bestämmelser om i vilka fall information om be- handling av personuppgifter ska lämnas till den enskilde (se 23–27 §§), om rättelse (se 28 §), om säkerheten vid behandling (se 30–32 §§), om överföring av personuppgifter till tredje land (se 33–35 §§) och om tillsyn (se 36–41 §§ och 43–47 §§). En behandling av person- uppgifter i strid med personuppgiftslagen, kan ge den enskilde rätt till ersättning för skada och kränkning av den personliga integri- teten (se 48 §). 4.4Nya EU-rättsliga instrument om dataskydd Inom EU pågår en genomgripande reform av de EU-rättsliga reg- lerna om skydd för personuppgifter. Reformarbetet har även med- fört ett omfattande nationellt lagstiftningsarbete (se avsnitt 4.5) på området för behandling av personuppgifter. Det huvudsakliga syftet med de nya EU-rättsliga bestämmelserna är att ytterligare harmo- nisera och effektivisera skyddet av personuppgifter inom EU i syfte att förbättra den inre marknadens funktion och öka enskildas kon- troll över sina personuppgifter. antog och rådet förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), i det följande dataskyddsförordningen. Denna förordning gäller inte för behandlingen av personuppgifter i myn- digheters brottsförebyggande eller brottsutredande verksamhet. För den brottsbekämpande sektorn har i stället och rådet antagit direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets ram- beslut /977/RIF (nedan dataskyddsdirektivet). Bestämmelser om behandling av personuppgifter Dataskyddsförordningen ska tillämpas med början och kommer då att vara grunden för generell personuppgifts- behandling inom EU. Detta innebär bl.a. att personuppgiftslagen måste upphävas och att all lagstiftning om personuppgiftsbehand- ling behöver ses över och anpassas till de nya EU-rättsliga bestäm- melserna (se vidare i avsnitt 4.5). Dataskyddsförordningen är, liksom andra EU-förordningar, direkt tillämplig i varje medlemsstat och i alla delar bindande. Den ska tillämpas av enskilda, domstolar och andra myndigheter. Dataskyddsförordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (se artikel 2). Från förordningens tillämpningsområde undantas bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, liksom personuppgiftsbehandling av rent privat natur. Inte heller gäller förordningen för behandling av personuppgifter rörande av- lidna personer. Det står däremot medlemsstaterna fritt att fastställa sådana bestämmelser gällande avlidna (se skäl 27). Med personuppgifter avses i dataskyddsförordningen varje upp- lysning som avser en identifierad eller identifierbar fysisk person (se artikel 4). Av principerna för behandling av personuppgifter fram- går bl.a. (se artikel 5) att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den enskilde. Personupp- gifterna ska samlas in för särskilda, uttryckligt angivna och berätti- gade ändamål. Dessutom ska uppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vidare ska uppgifterna vara korrekta och om nödvändigt uppdaterade. I förordningen fastslås att behandling av personupp- gifter endast är laglig om och i den mån som åtminstone ett av ett antal preciserade villkor är uppfyllt. Ett sådant villkor är att den re- gistrerade har lämnat sitt samtycke till att personuppgifterna behand- las. För behandling av känsliga personuppgifter (i förordningen be- nämnda särskilda kategorier av personuppgifter, se artikel 9), gäller att behandling av personuppgifter som avslöjar ras eller etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv Bestämmelser om behandling av personuppgifter eller sexuella läggning är förbjuden. Förordningen innehåller om- fattande undantag från detta förbud, däribland vid den registrerades samtycke samt för hälso- och sjukvårdsåtgärder. Likheterna mellan dataskyddsförordningen och dataskyddsdirek- tivet (och därigenom personuppgiftslagen) är många. I data- skyddsförordningen har dock den registrerades rättigheter stärkts, för att ge den registrerade ökad kontroll över sina personuppgifter. Detta märks bl.a. i att betydelsen av information till den registre- rade har ökat och att rätten för den registrerade att få åtkomst till sina personuppgifter har stärkts. För personuppgiftsskydd på området för bl.a. brottsbekämpning, lagföring och straffverkställighet gäller, som vi tidigare nämnt, data- skyddsdirektivet. Direktivet ska vara genomfört i nationell rätt . De bakomliggande tankarna med direktivet är dels att skydda fysiska personers grundläggande fri- och rättigheter, sär- skilt deras rätt till skydd av personuppgifter, dels att underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Genom direktivet fastställs be- stämmelser om skydd för fysiska personer med avseende på behand- ling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (se artikel 1.1). Direktivet hindrar inte att medlemsstaterna föreskriver strängare skyddsåtgärder när det gäller registrerades rättigheter och friheter. Tillämpningsområdet för dataskyddsdirektivet består i behand- ling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1 (se artikel 2). Direktivet ska tilläm- pas på helt eller delvis automatiserad behandling av personuppgifter, men även på behandling av personuppgifter som ingår i eller kom- mer att ingå i ett register. De grundläggande principerna för behandling av personuppgifter överensstämmer för direktivets del i många avseenden med vad som gäller enligt dataskyddsförordningen. Således ska personuppgifter bl.a. behandlas på ett lagligt och korrekt sätt, samlas in för särskilda, uttryckligt angivna ändamål, vara adekvata, relevanta och inte för omfattande samt vara korrekta och, om nödvändigt, uppdaterade (se artikel 4). Bestämmelser om behandling av personuppgifter Enligt artikel 6 i dataskyddsdirektivet ska den personuppgifts- ansvarige så långt möjligt göra åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, som misstänkta, dömda, brotts- offer och andra som berörs av brott, exempelvis vittnen. Vidare ska så långt möjligt göras åtskillnad mellan personuppgifter som grundar sig på fakta och uppgifter som grundar sig på personliga bedöm- ningar (se artikel 7). En behandling av personuppgifter är (se artikel 8) laglig endast om och i den utsträckning behandlingen är nödvändig för att behöriga myndigheter ska kunna utföra sådana uppgifter som anges i artikel 1.1 och som grundas på unionsrätt eller natio- nell rätt. Gränsdragningen mellan dataskyddsförordningen och dataskydds- direktivet framgår bl.a. i direktivets artikel 9. Där anges att person- uppgifter som samlats in för något av de i direktivet angivna ända- målen inte får behandlas för något annat ändamål om inte sådan behandling är tillåten enligt unionsrätten eller nationell rätt. När personuppgifter behandlas för andra ändamål ska dataskyddsför- ordningen tillämpas, om inte behandlingen utförs som ett led i en verksamhet som inte omfattas av unionsrätten. Om de behöriga myn- digheterna har andra uppgifter än de som anges i artikel 1.1 ska data- skyddsförordningen tillämpas på behandling för sådana ändamål. För behandling av känsliga personuppgifter på dataskyddsdirek- tivets tillämpningsområde, gäller att sådan behandling ska vara tillåten endast om det är absolut nödvändigt och under förutsättning att det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. En förutsättning är också att behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, att be- handlingen sker för att skydda intressen som är av grundläggande betydelse för den registrerade eller annan fysisk person, eller om be- handlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade (se artikel 10). Även dataskyddsdirektivet innehåller, liksom förordningen, be- stämmelser om den registrerades rättigheter, däribland rätt till in- formation och rätt till tillgång till personuppgifterna (se artiklar- na 12–18). Bestämmelser om behandling av personuppgifter Regeringen gav (dir. 2016:15) en särskild utredare i uppdrag att föreslå de anpassningar och kompletterande författ- ningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Utredningen antog namnet och lämnade sitt betänkande Ny dataskyddslag. Komplet- terande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39. I betänkandet föreslås, utöver att personuppgiftslagen och person- uppgiftsförordningen (1998:1191) ska upphävas, att en ny lag och förordning med bestämmelser som kompletterar dataskyddsförord- ningen på ett generellt plan ska införas. Sektorsspecifika författnings- bestämmelser om behandling av personuppgifter ska enligt förslaget ha företräde framför den nya lagen. Vidare innehåller betänkandet ett förslag att dataskyddsförordningen och den kompletterande nya lag som föreslås, i tillämpliga delar ska gälla även i verksamhet utan- för unionsrättens tillämpningsområde och vid deltagande i den gemensamma utrikes- och säkerhetspolitiken. För att genomföra dataskyddsdirektivet gav regeringen en särskild utredare i uppdrag att föreslå hur direktivet ska genomföras i svensk rätt (dir. 2016:21). Utredningen, som antog namnet Utredningen om 2016 års dataskyddsdirektiv, lämnade delbetänkandet Brottsdatalag, SOU 2017:29 och slutbetänkandet Brottsdatalag – kompletterande lagstiftning, SOU 2017:74. I delbetänkandet föreslås att dataskyddsdirektivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. Lagen ska vara generellt tillämplig inom det område som direktivet reglerar och vara subsidiär. I den mån de myndigheter som bedriver verksamhet inom brottsdatalagens tillämpningsområde har särskilda registerförfattningar ska dessa gälla utöver brottsdatalagen. Lagen ska vid behandling av personuppgifter tillämpas av myndigheter som har till uppgift att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott eller verkställa straffrättsliga på- följder. Dessutom gäller lagen för personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet. De som har sådana arbetsuppgifter betecknas i brottsdatalagen behöriga myndigheter. Lagen ska även tillämpas av andra aktörer som har fått i uppgift att utöva myndighet för något av de nämnda syftena. Bestämmelser om behandling av personuppgifter De behöriga myndigheternas personuppgiftsbehandling styrs dock endast av brottsdatalagen när de behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. I övrig verksamhet vid myndig- heterna kommer dataskyddsförordningen att vara tillämplig. Det som blir avgörande för om brottsdatalagen är tillämplig, eller om i stället dataskyddsförordningen är tillämplig, är dels om det är en behörig myndighet som behandlar personuppgifterna, dels syftet med be- handlingen. Vi återkommer i avsnitt 6.4 till vad denna gränsdrag- ning innebär för RMV:s del. Det närmare innehållet i brottsdata- lagen behandlar vi, i den mån detta är relevant för behandlingen av personuppgifter vid RMV, i avsnitt 6.5. Vid RMV förekommer en rad olika ärendetyper. Gemensamt för i princip samtliga ärenden är att de innefattar behandling av person- uppgifter som i många fall är känsliga ur integritetshänseende, exem- pelvis om enskilds hälsa eller om misstanke om brott. Uppgifterna kommer från bl.a. , och , men det förekommer också uppgifter från andra myndigheter liksom från enskilda personer. En mängd uppgifter gene- reras också vid RMV:s utredningsarbete i de olika ärendetyperna. Merparten av den personuppgiftsbehandling som sker vid RMV regleras av personuppgiftslagens (1998:204, PuL) bestämmelser, men på vissa av myndighetens verksamhetsområden förekommer särskild lagstiftning. Någon särskild lag om behandling av personuppgifter vid RMV finns dock inte. Ett flertal informationsstöd används för RMV:s ärendehandlägg- ning och den informationshantering som äger rum innefattar upp- gifter om både levande och avlidna personer. Inte endast uppgifter om de personer som är föremål för RMV:s undersökningar eller analyser förekommer, utan även uppgifter om anhöriga till dessa per- soner kan behandlas inom ramen för verkets arbete. Bland de upp- gifter som regelmässigt förekommer i samtliga ärendetyper är olika slags uppgifter för att identifiera den person som ärendet gäller, tillsammans med uppgifter om RMV:s utlåtande i ärendet eller analys- resultat, i de ärenden där detta är aktuellt. Efter fullgjort uppdrag redovisas detta till uppdragsgivaren och RMV lämnar därvid i olika omfattning ut personuppgifter till be- ställaren. RMV ansvarar enligt 1 § förordningen (2007:976) med instruktion för för rättspsykiatrisk, rättskemisk, rättsmedi- cinsk och rättsgenetisk verksamhet. En beskrivning av RMV:s verk- samhet finns i avsnitt 3. Behandling av personuppgifter förekommer på samtliga verksamhetsområden och för ett flertal olika ändamål. Behandlingen görs huvudsakligen elektroniskt, med hjälp av olika it-stöd. Ur ett effektivitetsperspektiv är sådan behandling av per- sonuppgifter nödvändig för att RMV ska kunna fullgöra sina upp- gifter. Det gäller för den interna hantering som sker inom RMV, men också för den hantering av personuppgifter som sker vid RMV:s kontakter med andra myndigheter och andra uppdragsgivare. De personuppgifter som förekommer vid RMV är i mycket hög grad integritetskänsliga uppgifter gällande levande och avlidna per- soner. Uppgifterna kommer från bl.a. förundersökningar, läkarjour- naler och olika domstolshandlingar och kan exempelvis avse enskil- das hälsa eller misstanke om brott. Till stor del kommer uppgifterna från olika myndigheter inom rättsväsendet som RMV arbetar på uppdrag av. Det kan vara och Åklagarmyndig- heten, men även , socialnämnder och Statens in- stitutionsstyrelse lämnar integritetskänsliga uppgifter om bl.a. nar- kotikaanvändande, hälsa och sjukdomar till RMV. Många av de myndigheter som lämnar uppgifter till RMV har sär- skilda lagar om behandling av personuppgifter, s.k. registerförfatt- ningar, som gäller för respektive myndighets personuppgiftsbehand- ling. Registerförfattningarna reglerar myndigheternas behandling av personuppgifter och är utformade för att ge ett integritetsskydd som är anpassat utifrån myndighetens hantering av personuppgifter i de fall då det finns behov av att avvika från eller komplettera det integritetsskydd som den generellt tillämpliga personuppgiftslagen annars ger. Någon registerförfattning finns inte för RMV. I huvudsak gäller därför personuppgiftslagen för behandling av personuppgifter vid verket. Det finns däremot särskilda regleringar för vissa specifika verksamheter hos RMV. I rapporten nytt författningsstöd för behandling av personuppgifter, m.m. (Ju2013/08833/Å), som enligt våra kommittédirektiv ska beaktas vid våra överväganden i fråga om det bör införas en särskild register- författning för RMV:s del, finns en översyn av verkets behandling av personuppgifter. RMV gör i rapporten bedömningen att person- uppgiftslagen varken är ett tillräckligt eller verksamhetsanpassat författningsstöd för myndighetens personuppgiftsbehandling. Vi behandlar denna fråga i avsnitt 6. I samma avsnitt tar vi ställning till om och i vilken mån den kommande EU-rättsliga reformen på data- skyddsområdet och de inhemska kommande lagstiftningsåtgärderna (se avsnitt 4.5) gör det nödvändigt med särskilda bestämmelser för personuppgiftshantering vid RMV. Som en bakgrund till våra över- väganden och förslag i dessa delar, lämnar vi här en beskrivning av vilken behandling av personuppgifter som äger rum vid RMV. I avsnitt 5.3 redogör vi för personuppgiftsbehandlingen på det rättsmedicinska verksamhetsområdet. Det rättskemiska området han- teras i avsnitt 5.4, medan det rättsgenetiska respektive det rättspsy- kiatriska behandlas i avsnitt 5.5 och 5.6. Viss annan behandling av personuppgifter, som inte är direkt hänförlig till något av de fyra verksamhetsområdena, redogör vi för i avsnitt 5.7. På respektive område beskriver vi dels vilken behandling av personuppgifter som äger rum, dels i vilken mån det för denna behandling finns annan lagstiftning än personuppgiftslagen som är av betydelse. på det rättsmedicinska området Personuppgiftshanteringen i stort på det rättsmedicinska området På det rättsmedicinska området utgörs verksamheten främst av obduktioner (både rättsmedicinska och kliniska), rättsmedicinska åldersbedömningar och andra rättsmedicinska eller rättsodontologiska undersökningar. Till området hör dessutom verksamhet med utfär- dande av rättsintyg enlig lagen (2005:225) om rättsintyg i anledning av brott. Vid utfärdande av rättsintyg genomförs undersökningar av levande personer, för att dokumentera skador vid vålds- eller sexual- brott. Sådana undersökningar kan avse såväl brottsoffer som miss- tänkta gärningsmän. På de rättsmedicinska enheterna består verk- samheten också i hantering av humanbiologiskt material (se avsnitt 8.5 när det gäller våra överväganden om hur sådant material bör hanteras vid RMV), för bl.a. transplantationsändamål, men även för forskning. Vid i princip all verksamhet på det rättsmedicinska området sker någon form av behandling av personuppgifter avseende levande personer eller uppgifter om avlidna. Det rör sig på det rättsmedicinska området således om ett flertal olika undersökningsformer, vars genomförande aktualiserar olika regelkomplex. Syftet med undersökningarna är ofta att klarlägga dödsorsak och verksamheten består då av undersökningar av avlidna personer. Vid de rättsmedicinska enheterna används ett flertal informa- tionsstöd för den rättsmedicinska undersökningsverksamheten och ärendehandläggningen. Informationsstöden används av RMV:s an- ställda läkare, rättsmedicinska assistenter, biomedicinska analytiker, rättsmedicinska utredare, administratörer och läkare som efter sär- skild överenskommelse med RMV kontrakterats för att skriva rätts- intyg. Informationshanteringen innefattar bl.a. uppgifter om avlidna personer som härrör från resultatet av de rättsmedicinska obduk- tionerna, men det förekommer också uppgifter om levande personer. Så är fallet när det gäller uppgifter om anhöriga till en avliden person, men även då RMV genomför undersökningar i syfte att utfärda rättsintyg eller vid de rättsmedicinska åldersbedömningarna. I sina ärenden registrerar RMV forensiska fynd, provsvar samt rättskemiska, rättsgenetiska och neuropatologiska utlåtanden. Även digitala bilder på levande och avlidna personer registreras och behandlas. En viktig del av verksamheten på det rättsmedicinska området består i att bistå vid identifieringen av en avliden person. Ett av informations- stöden, det s.k. , innehåller funktioner för att söka efter samt för att identifiera enskilda individer. Merparten av de uppgifter som registreras i de rättsmedicinska ärendena utgör integritetskänsliga uppgifter om en levande eller av- liden person. Det kan röra uppgifter om hälsa, lagöverträdelser, alkohol- eller narkotikamissbruk, smittsam sjukdom eller om en avliden person har varit föremål för vård och behandling i hälso- och sjukvården. Den rättsmedicinska verksamheten lämnar huvudsakligen ut upp- gifter till , allmän åklagare, domstol och Migra- tionsverket. I det följande redogör vi närmare för i huvudsak vilka personuppgifter som behandlas vid de olika undersökningsformer som förekommer på det rättsmedicinska området. En undersökningsform av central betydelse på det rättsmedicinska området är obduktioner. Rättsmedicinska obduktioner sker på upp- drag av eller allmän åklagare och kliniska obduk- tioner genomförs på uppdrag av en vårdgivare. Tillämpliga bestäm- melser om när en obduktion får genomföras och hur det ska gå till, finns i lagen (1995:832) om obduktion m.m. (obduktionslagen). En klinisk obduktion får utföras om det behövs för att fastställa döds- orsaken, vinna viktig kunskap om sjukdom som den avlidne haft eller om verkan av behandling som den avlidne gått igenom, eller under- söka förekomsten av skador eller sjukliga förändringar i den avlidnes kropp (se 6 § obduktionslagen). En rättsmedicinsk undersökning, varmed avses rättsmedicinsk obduktion eller rättsmedicinsk likbe- siktning (se 12 § obduktionslagen), får göras under de förutsätt- ningar som anges i 13–15 §§ obduktionslagen. De situationer som avses är då en sådan undersökning kan antas vara av betydelse för utredningen av ett dödsfall som inträffat under sådana omständig- heter att det inte skäligen kan bortses från möjligheten att döds- fallet har samband med ett brott, eller det kan misstänkas ha före- kommit fel eller försummelse inom hälso- och sjukvården. Det kan också vara aktuellt om ett dödsfall kan antas ha orsakats av yttre påverkan och undersökningen behövs för att fastställa dödsorsaken eller vinna upplysningar av särskild vikt för miljöskydd, arbetarskydd, trafiksäkerhet eller annat liknande intresse. En rättsmedicinsk under- sökning får också göras för att fastställa en avlidens identitet. Obduktionslagen innehåller inte några bestämmelser om behand- ling av personuppgifter. Den personuppgiftsbehandling som sker hos RMV, regleras därför av personuppgiftslagen. Vid obduktioner registreras en rad olika uppgifter i RMV:s infor- mationsstöd på området. Det rör sig bl.a. om uppgifter om person- nummer och namn på den avlidne personen, den avlidnes adress, namn och kontaktuppgifter till handläggande förundersöknings- ledare, digitala bilder, resultat från provtagning, diagnos, eventuell smittsam sjukdom, rapport och utlåtande över obduktionen. Dess- utom förekommer uppgifter om huruvida den avlidne genomgått visst eller vissa ingrepp inom hälso- och sjukvården i nära anslutning till sin död. En del av de uppgifter som registreras kommer från Polismyn- digheten, medan andra uppgifter genereras vid RMV. Det rör sig i princip uteslutande om integritetskänsliga uppgifter. På det rättsmedicinska området genomförs också rättsodontologiska undersökningar. Dessa undersökningar avser identifiering av avlidna personer, men även åldersbedömningar, tandskadeanalyser och bit- märkesanalyser förekommer. Vid det rättsodontologiska identifieringsarbetet registreras upp- gifter om avlidna personer, om oidentifierade personer och om för- svunna personer. Det registreras dessutom digitala bilder, t.ex. tandröntgenbilder från avlidna personer. Uppgifter om försvunna personer kan avse både avlidna och levande personer. När det gäller uppgifter om oidentifierade personer, bevaras dessa uppgifter utan tidsbegränsning i de rättsmedicinska informationsstöden.