sou · H5B380 · 2017-10-25 00:00:00 — Patientdatalagen har varit före- mål för utredning med anledning av den EU-rättsliga dataskydds- reformen (se betänkande Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, SOU 2017:66). I undantagsfall kan RMV också bedriva rättspsykiatrisk vård. Så är exempelvis fallet om en person som undersöks vid RMV redan genomgår rättspsykiatrisk vård och har begått brott under pågående verkställighet av rätts- Även i dessa fall är patientdatalagen tillämplig för behandling av personuppgifter. Bedömningar av risk för återfall i brottslighet Enligt lagen om omvandling av fängelse på livstid får en person som har dömts till livstids fängelse ansöka om omvandling av sitt livstidsstraff till fängelse . En sådan ansökan får också (se 2 § i lagen) göras av Kriminalvården, om det finns särskilda skäl för detta. RMV:s uppgift i sådana ärenden är att genomföra en utred- ning med utlåtande om risken för att den dömde återfaller i brotts- lighet (se 10 §). Som underlag för bedömningen inhämtas bl.a. hand- lingar från Kriminalvården, eventuella tidigare rättspsykiatriska undersökningar eller § 7-intyg, patientjournaler hos vårdgivare och eventuella tidigare utförda riskbedömningar. Vid genomförandet av riskbedömningen registreras vid RMV bl.a. uppgifter om den undersöktes namn och personnummer, brott- målsdomen varigenom den undersökte dömts till fängelse på livstid, psykologundersökning vid RMV, uppgifter om anhöriga och RMV:s utlåtande om risken för återfall i brottslighet. Några eventuella diagnoser registreras inte i ett ärende om bedömning av återfalls- risken, men kan förekomma i underlaget för bedömningen. På det rättspsykiatriska området bedrivs, liksom är fallet på RMV:s samtliga verksamhetsområden, forskning. Tillämpliga bestämmel- ser finns i lagen (1999:353) om rättspsykiatriskt forskningsregister. Av lagen framgår att RMV för de ändamål som preciseras i lagen, med hjälp av automatiserad behandling, får föra ett rättspsykiatriskt forskningsregister (se 1 § i lagen). Registret får (se 3 §) användas för behandling av personuppgifter för forskning inom rättspsykiat- rin, om forskningen och behandlingen har godkänts enligt etikpröv- ningslagen, eller för RMV:s uppföljning, utvärdering eller kvalitets- säkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete). får endast innehålla uppgifter om en person för vilken ett rättspsykiatriskt utlåtande enligt lagen om rättspsykiatrisk undersökning eller ett § 7-intyg enligt personutredningslagen har utfärdats (se 4 § första stycket lagen om rättspsykiatriskt forsk- ningsregister). Motsvarande gäller för personer om vilka det har lämnats ett utlåtande eller intyg enligt äldre lagstiftning. En förut- sättning för att personuppgifter ska få föras in i det rättspsykiatriska forskningsregistret är (se 4 § andra stycket), att den person som uppgifterna avser har dömts för brott i det mål där utlåtandet eller intyget inhämtades. Om åtalet ogillats helt, får inga personupp- gifter föras in i registret. Vilka uppgifter som får registreras framgår av 5–9 §§ i lagen. Däribland finns uppgifter om namn, personnum- mer, kön, frihetsberövanden, brottsmisstanke, brottmålsdomen i ansvarsdelen och den utdömda påföljden. Forskningsdatautred- ningen har i sitt delbetänkande Personuppgiftsbehandling för forsk- ningsändamål, SOU 2017:50, föreslagit vissa justeringar i lagen om rättspsykiatriskt forskningsregister, i syfte att anpassa lagen till de nya EU-rättsliga dataskyddsbestämmelserna. Utöver behandling av personuppgifter som sker för att genomföra undersökningar på det rättspsykiatriska området, hanteras person- uppgifter också i olika säkerhetsadministrativa system. Det kan exempelvis gälla uppgifter om besökare. RMV:s utredningsenheter är underkastade krav enligt föreskrifter (SOSFS 2006:9) om säkerhet vid sjukvårdsinrättningar som ger psykiatrisk vård samt vid enheter för rättspsykiatrisk undersökning. Som ett led i att upprätthålla säkerheten vid de rättspsykiatriska undersök- ningsenheterna förekommer sådan kameraövervakning som regleras i kameraövervakningslagen (2013:460). Lagen gäller (se 6 § kamera- övervakningslagen) i stället för personuppgiftslagen. Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd har i sitt betänkande En ny kamerabevakningslag, SOU 2017:55, föreslagit att kameraövervakningslagen ska upphävas och lämnat förslag till en kamerabevakningslag. Vid RMV förekommer, utöver vad vi redogjort för när det gäller de fyra verksamhetsområdena (se avsnitt 5.3–5.6), behandling av per- sonuppgifter i olika administrativa system. Det rör sig huvudsakligen om system och program som används för att hantera personalfrågor och olika uppgifter som behövs för ekonomiadministration och andra administrativa frågor, exempelvis inköp av material och hantering av kemikalier som används i verksamheten. Personuppgiftsbehand- ling förekommer också när det gäller besökare till RMV, liksom för olika frågor som hör samman med säkerhetsadministration. För att ta fram statistiskt underlag inom RMV sker också be- handling av personuppgifter. RMV är, som statlig myndighet, vidare skyldig att följa arkivlagens (1990:782) bestämmelser. Myndighetens arkiv ska (se 3 § arkivlagen) bevaras, hållas ordnat och vårdas för att tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Även vid åtgärder hänförliga till arkivering av handlingar inom RMV kan det vara aktuellt med behandling av personuppgifter. För personuppgiftsbehandlingen i dessa avseenden gäller personuppgifts- lagen. I stort sett samtliga ärenden vid RMV innefattar behandling av per- sonuppgifter eller uppgifter om avlidna. Dessa uppgifter är ofta känsliga ur integritetshänseende och kan exempelvis röra enskilds hälsa eller misstanke om brott. Många av de myndigheter som lämnar uppdrag till RMV har s.k. registerförfattningar som reglerar respek- tive myndighets personuppgiftsbehandling. Någon sådan författning finns inte för RMV. I syfte att åstadkomma ett starkare integritetsskydd för enskilda, som myndighetens behov av en ändamålsenlig reglering av personuppgiftsbehandlingen tillgodoses, bör en författning om be- handling av personuppgifter vid RMV införas. Författningen bör ha lagform och heta datalag. De två nya EU-rättsliga regelkomplexen på dataskyddsområdet kommer att tillämpas parallellt vid RMV. För behandling av person- uppgifter vid verket gäller som utgångspunkt och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (all- män dataskyddsförordning), nedan dataskyddsförordningen. När RMV som behörig myndighet fullgör ett uppdrag i syfte att stödja sådan brottsutredande och liknande verksamhet som avses i direktivet (EU) 2016/680 om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, nedan dataskydds- direktivet, är i stället brottsdatalagen (2018:000) tillämplig för be- handlingen av personuppgifter. Syftet med personuppgiftsbehand- lingen avgör vilka regler som ska tillämpas. För RMV:s del kommer det, såvitt gäller dataskyddsdirektivets och brottsdatalagens tillämp- ningsområde, vanligtvis vara fråga om åtgärder där personuppgifts- behandlingen sker i syfte att utreda eller lagföra brott eller att verk- ställa straffrättsliga påföljder. Den lag vi nu föreslår ska, med några uttryckligt angivna undan- tag, vara tillämplig på all behandling av personuppgifter vid RMV. Den gäller för behandling av personuppgifter som är helt eller delvis automatiserad, liksom för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register. Lagen gäller i tillämp- liga delar även vid behandling av uppgifter om avlidna personer. Lagen med bestämmelser om behandlingen av personuppgifter vid gäller utöver brottsdatalagen och i stället för lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, nedan dataskyddslagen. Syftet med lagen är dels att ge RMV möjlighet att behandla personuppgifter på ett ända- målsenligt sätt i myndighetens verksamhet, dels att skydda fysiska personer mot att deras personliga integritet kränks vid sådan be- handling. Bestämmelserna i den föreslagna datalagen är fördelade i tre kapitel, där 1 kap. innehåller allmänna regleringar, 2 kap. innehåller bestämmelser om behandling av personuppgifter inom det område som omfattas av brottsdatalagen och 3 kap. bestämmelser om person- uppgiftsbehandling på dataskyddsförordningens område. För RMV:s behandling av personuppgifter inom brottsdatalagens tillämpningsområde innehåller vårt förslag till lag bestämmelser som kompletterar brottsdatalagen. Det rör sig om bestämmelser om de tillåtna rättsliga grunderna för personuppgiftsbehandling, om sök- ning i personuppgifter och om visst utlämnande av personuppgifter. Dessutom finns bestämmelser om administrativa sanktionsavgifter och skadestånd. På dataskyddsförordningens område ska vissa bestämmelser i dataskyddslagen vara tillämpliga på personuppgiftsbehandlingen vid RMV. Därutöver innehåller vårt lagförslag bestämmelser om rättslig grund, sökning, tillgången till personuppgifter, dataskyddsombud, utlämnande av personuppgifter och information. RMV bedriver verksamhet av central betydelse för rättsväsendet. Verket ansvarar för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet och en huvuduppgift för myndigheten är att lämna sakkunnigutlåtanden till rättsväsendets myndigheter. Dessa utlåtanden har ofta stor betydelse för de bedömningar som görs i den dömande verksamheten vid landets domstolar, men även vid andra myndigheters handläggning av ärenden, beslutsfattande och utredningsarbete. Den verksamhet som bedrivs vid RMV är viktig också för aktörer utanför rättsväsendet – både offentliga och privata. Vid RMV utförs en stor mängd utredningar inom snäva tids- ramar. För att kunna bedriva en effektiv verksamhet, med god kva- litet i de utredningar som genomförs och de utlåtanden som lämnas, är det nödvändigt med ändamålsenliga arbetsformer och ett bakom- liggande regelverk som i den mån det är möjligt är anpassat utifrån de behov som finns vid verket. I princip all ärendehantering vid RMV inkluderar i något avseende behandling av personuppgifter. Sådan behandling förekommer således inom samtliga av verkets fyra verksamhetsområden och för ett flertal olika ändamål. Vi har i av- snitt 5, som en bakgrund till våra överväganden och förslag i fråga om regleringen av personuppgiftsbehandlingen vid RMV, beskrivit den behandling av personuppgifter som äger rum vid verket. I många fall är de uppgifter som behandlas särskilt känsliga ur inte- gritetshänseende. De bestämmelser som reglerar hur personuppgift- er får behandlas vid RMV bör innebära en avvägning mellan verk- samhetens intressen och intresset av att upprätthålla ett gott skydd för den enskildes integritet. I rapporten nytt författningsstöd för behandling av personuppgifter, m.m. (Ju2013/08833/Å), har RMV gjort bedömningen att personuppgiftslagen (1998:204), PuL, varken är ett tillräckligt eller ett verksamhetsanpassat författningsstöd för RMV:s personuppgiftsbehandling. Många myndigheter har s.k. registerförfattningar, dvs. särskilda lagar om behandling av personuppgifter. Författningarna gäller på ett avgränsat område och innehåller bestämmelser om personupp- giftsbehandling, särskilt anpassade efter de behov och särskilda om- ständigheter som finns på det aktuella området. Genom registerför- fattningarna är det möjligt att avvika från eller komplettera det integritetsskydd som de generellt tillämpliga reglerna i personupp- giftslagen annars ger. Ett flertal av de myndigheter som lämnar upp- drag till RMV, däribland och Åklagarmyndig- heten, har registerförfattningar som är tillämpliga för myndigheten eller på det område myndigheten är verksam. För RMV finns det däremot inte någon registerförfattning som är tillämplig på myn- dighetens verksamhet i stort. För vissa särskilda delar av den person- uppgiftsbehandling som äger rum vid verket finns särregler, som exempelvis lagen (1999:353) om rättspsykiatriskt forskningsregister och patientdatalagen (2008:355). Merparten av RMV:s verksamhet omfattas dock inte av någon registerförfattning. Enligt RMV:s ovannämnda rapport är ett samlat, ändamålsenligt författningsstöd för behandling av personuppgifter en förutsättning för att verket ska kunna fullgöra sitt uppdrag på ett tillfredsställande sätt. En inledande fråga för oss att ta ställning till är därför om det, för att RMV ska kunna behandla personuppgifter på ett effektivt och rättssäkert sätt som enskilda tillförsäkras ett gott skydd för sin personliga integritet, finns ett behov av en särskild reglering av den personuppgiftsbehandling som äger rum vid RMV. I avsnitt 6.3 behandlar vi frågan om det bör införas en registerförfattning för RMV. Hur en sådan författning bör utformas hänger nära samman med frågan om tillämpningen av det nya EU-rättsliga regelverket om dataskydd. Vi behandlar därför EU-reformens betydelse för RMV:s personuppgiftsbehandling i avsnitt 6.4. Därefter följer, i avsnitt 6.5, våra överväganden om hur en dataskyddsreglering för RMV:s del bör se ut. Övervägandena omfattar frågor om bl.a. skyddet för upp- gifter om avlidna personer, vilken normgivningsnivå som lämpligen bör användas för personuppgiftsregleringen och frågan om utläm- nande av personuppgifter från myndigheten. Vi har i våra övervägan- den beaktat den ovannämnda rapporten från . Våra överväganden och förslag i fråga om hur en lag om behand- ling av personuppgifter för bör se ut, inne- håller inte en komplett genomgång av dataskyddsförordningen och dataskyddsdirektivet i sin helhet, med en redogörelse för vilka rättig- heter och skyldigheter RMV och de registrerade har enligt den nya EU-rättsliga dataskyddsregleringen. För en mer allmän genomgång hänvisar vi i stället till betänkande Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskydds- förordning, SOU 2017:39, samt Utredningen om 2016 års data- skyddsdirektivs delbetänkande Brottsdatalag, SOU 2017:29, och slut- betänkande Brottsdatalag – kompletterande lagstiftning, SOU 2017:74. Våra överväganden är begränsade till de frågor där vi ser behovet av särreglering för RMV:s del. För att säkra kvaliteten vid dna-analyser finns vid RMV en s.k. elimineringsdatabas. Denna databas innehåller dna-profiler för per- soner som riskerar att kontaminera dna-prover. För Polismyndig- hetens elimineringsdatabas finns lagen (2014:400) om Polismyndig- hetens elimineringsdatabas. Frågan om en liknande reglering bör införas för RMV:s del anknyter till de frågor som vi behandlar i detta avsnitt. En redogörelse för RMV:s behov av en lagreglering för elimineringsdatabasen och våra överväganden och förslag i frågan finns i avsnitt 7. 6.3Behövs det en särskild författning om behandling av personuppgifter vid ? för vissa myndigheter och verksamheter I svensk rätt finns en etablerad regleringsmodell på området för persondataskydd. Grundläggande regler ges i en generellt tillämplig lag – enligt gällande rätt personuppgiftslagen – och specifika undan- tag eller andra särbestämmelser tas ofta in i särskilda lagar eller för- ordningar, som kallas registerförfattningar. Det huvudsakliga syftet med registerförfattningar är att reglera inrättandet och användningen av viktigare register eller andra personuppgiftssamlingar inom den offentliga sektorn. En bakomliggande tanke med denna modell för att lagstifta kring personuppgiftsbehandling är att de registerförfattningar som till- skapas, ska innehålla bestämmelser som är så pass detaljerade och i så hög grad utformade utifrån de behov som finns på respektive tillämpningsområde, att det inte är möjligt att ersätta dessa särbe- stämmelser med mer allmänt utformade generella regleringar. Det grundläggande integritetsskyddet finns således i den allmänna lagstift- ningen, medan specialbestämmelserna finns i en registerförfattning. En fördel med att särregler som avviker från det generella inte- gritetsskyddet förs in i en särskild författning, är att behovet av att införa sådana bestämmelser därigenom noga övervägs i den ordning som gäller för författningsgivning (se prop. 1997/98:44, s. 41). Ett bakomliggande skäl till att införa en registerförfattning på ett visst område kan vara att en sådan författning kan ge ett bättre integritetsskydd för särskilt känsliga register eller andra samlingar av personuppgifter. En registerförfattning kan därutöver vara moti- verad när en nödvändig behandling av personuppgifter inte är tillåten enligt personuppgiftslagen. Genom särbestämmelser i en register- författning införs då lagstöd för en myndighet att behandla sådana personuppgifter. Ytterligare ett skäl för att införa registerförfatt- ningar kan vara att personuppgiftslagen visserligen reglerar ett visst förhållande, men lagens bestämmelser kan leda till tolkningsproblem. Genom en registerförfattning kan tydligare bestämmelser införas, i stället för de mer allmänt hållna generella bestämmelserna i person- uppgiftslagen. En registerförfattning som är anpassad för en viss myndighets verksamhet kan därigenom göra det enklare att få kun- skap om vilka regler som avgör vilken behandling av personuppgifter som är tillåten. Detta gäller för såväl rättstillämpare som enskilda personer vars personuppgifter, faktiskt eller potentiellt, behandlas vid myndigheten. Dessutom kan det finnas anledning att införa en registerförfattning som i förhållande till personuppgiftslagen, av inte- gritetsskäl, begränsar möjligheterna till behandling av uppgifter, sär- skilt när det är fråga om känsliga uppgifter (se SOU 2015:39, s. 72). Långt ifrån alla myndigheters behandling av personuppgifter reg- leras dock genom en registerförfattning. Någon klar uppgift om hur stor andel av den offentliga sektorns samlade personuppgiftsbehand- ling som inte är särreglerad finns inte, men i vart fall kan det kon- stateras att den personuppgiftsbehandling som inte regleras i någon registerförfattning är omfattande (se SOU 2015:39, s. 93). Ett flertal av de myndigheter som lämnar uppdrag till RMV har, som vi tidigare nämnt (se avsnitt 6.2), emellertid registerförfatt- ningar som är tillämpliga på respektive myndighets behandling av personuppgifter. Således gäller för polisdatalagen (2010:361), för åklagardatalagen (2015:433) och för domstolarna domstolsdatalagen (2015:728). För Migrations- verkets vidkommande regleras behandlingen av personuppgifter i utlänningsdatalagen (2016:27) och på socialtjänstområdet, där bl.a. rättsgenetiska ärenden om faderskapsfastställelse och rättskemiska ärenden om drogfrihetsanalyser kan ha sitt ursprung, gäller lagen (2001:454) om behandling av personuppgifter inom . Systemet med en generellt tillämplig lag om behandling av person- uppgifter och särskilda registerförfattningar har i olika sammanhang kritiserats. Kritiken har bl.a. bestått i att de registerförfattningar som finns i många avseenden inte har samordnats med varandra, vilket har resulterat i ett spretigt regelverk, med skiftande lagstiftnings- teknik och terminologi som inte är enhetlig. Det finns en risk att sådana brister kan leda till oklarheter vid rättstillämpningen och inne- bära svårigheter för enskilda eller rättstillämpare att få en överblick över gällande rätt. Sådana svårigheter skulle i sin tur kunna medföra att skyddet för den enskildes personliga integritet kan bli lidande. För en rättstillämpande myndighet är det vid behandling av person- uppgifter dessutom nödvändigt att, förutom en eventuell registerlag, beakta bl.a. 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet, eventuella sekretessbestämmelser i offentlighets- och sekretesslagen (2009:400, OSL) och viss förvaltningsrättslig lagstift- ning (se SOU 2015:39, s. 110 f.). 6.3.2Det finns ett behov av en särskild reglering av behandlingen av personuppgifter vid Vår bedömning: Behandlingen av personuppgifter vid Rätts- medicinalverket bör regleras av särskilda bestämmelser, som är av- passade efter verksamheten som bedrivs vid verket. En särskild författning om behandling av personuppgifter vid Rättsmedi- cinalverket bör därför införas. Vid RMV behandlas, som vi tidigare framhållit, i stor utsträckning personuppgifter som är särskilt integritetskänsliga. Det har länge varit lagstiftarens ambition att integritetskänslig registerföring ska regleras i lag, främst eftersom det därigenom finns förutsättningar att uppnå en välavvägd reglering som beaktar såväl integritets- intresset som de intressen som talar för en mer vidsträckt möjlighet att behandla personuppgifter. I samma riktning – att det i en sär- skild författning bör införas bestämmelser om RMV:s behandling av personuppgifter – talar den omständighet att de myndigheter som lämnar uppdrag till RMV, samtliga har registerförfattningar som reglerar behandlingen av personuppgifter. De personuppgifter som behandlas vid RMV är i stor utsträckning samma uppgifter som be- handlas vid de uppdragsgivande myndigheterna. Antingen får RMV del av uppgifterna i samband med att uppdraget lämnas till verket, eller så genereras personuppgiften vid RMV och lämnas ut till upp- dragsgivaren i samband med att RMV:s utredningsarbete är färdigt och uppdraget redovisas. Skyddet för behandling av personuppgifter bör inte vara mindre omfattande vid RMV jämfört med vad som gäller vid de uppdragsgivande myndigheterna. Att så inte är fallet kan bäst säkerställas genom en särskild reglering av personuppgifts- behandlingen vid RMV. Som vi har redogjort för (se bl.a. avsnitt 4.4), pågår inom EU en genomgripande reform av de EU-rättsliga reglerna om person- dataskydd. Med början ska dataskyddsförordningen tillämpas. Även dataskyddsdirektivet ska vara genomfört i svensk rätt . Såväl förordningen som direktivet lämnar visst utrymme för medlemsstaterna att införa bestämmelser som innebär ett starkare integritetsskydd än vad respektive EU-rättsakt innehåller. Av data- skyddsdirektivet framgår att (se bl.a. skäl 15) inget hindrar med- lemsstaterna från att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet för skydd av den registrerades rättigheter och friheter med avseende på behöriga myndigheters behandling av per- sonuppgifter. På dataskyddsförordningens område gäller bl.a. att (se artikel 9.4) medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller bio- metriska uppgifter eller uppgifter om hälsa. De personuppgifter som behandlas vid RMV är i stor utsträckning särskilt integritetskäns- liga, och innefattar bl.a. behandling av genetiska uppgifter och upp- gifter om hälsa. Det finns mot denna bakgrund anledning att över- väga om det för RMV:s del bör införas en särreglering som innebär ett mer vidsträckt skydd för den enskildes personliga integritet när uppgifter om honom eller henne behandlas vid verket. För att RMV ska kunna utföra de uppdrag som myndigheter och andra aktörer lämnar till verket, krävs dock att även mycket integritetskänsliga uppgifter kan behandlas på ett ändamålsenligt sätt. En alltför långt- gående begränsning i möjligheten att behandla personuppgifter kan mot en sådan bakgrund vara för ingripande för att kunna tillgodose de behov av personuppgiftsbehandling som finns från RMV:s sida.