sou · H5B380 · 2017-10-25 00:00:00 — Utredningen om 2016 års dataskyddsdirektiv har konstaterat att de flesta bestämmelser som föreslås i brottsdatalagen i större eller mindre utsträckning motsvarar reglerna i personuppgiftslagen eller i de behöriga myndigheternas befintliga registerförfattningar. En allmän utgångspunkt har, liksom för , varit att i så stor utsträckning som möjligt föreslå bestämmelser som an- sluter till nuvarande reglering av personuppgiftsbehandling, vilket gör att förslagen inte beräknas få särskilt långtgående konsekvenser (se SOU 2017:29, s. 647 f.). För de behöriga myndigheterna kommer dock förslaget till brotts- datalag att kräva utbildning. Kostnaderna för det bör rymmas inom befintliga anslag. De förslag Utredningen om 2016 års dataskydds- direktiv lägger fram innebär inga skyldigheter för myndigheterna att inrätta nya it-system och några kostnader för det bör, enligt ut- redningens mening, därför inte beräknas med anledning av förslagen. Förslagen förväntas förbättra skyddet för enskildas integritet och ge dem bättre förutsättningar att kunna ta tillvara sina rättigheter. De medför inga ökade kostnader för enskilda. Förbättrat dataskydd ger möjlighet till ökat informationsutbyte mellan brottsbekämpan- de myndigheter, vilket kan förväntas få positiva effekter för det brottsförebyggande arbetet (se SOU 2017:29, s. 649 f.). Vår bedömning: För kommer våra förslag att kräva utbildning. Kostnaderna för det bör rymmas inom be- fintliga anslag. Våra förslag när det gäller en datalag för RMV, en lag om RMV:s elimineringsdatabas och en lag om hantering av humanbiologiskt material vid verket innebär att helt ny lagstiftning kommer att gälla på de områden som förslagen omfattar. Myndighetens tillämpning av dessa bestämmelser kommer självklart att kräva utbildning av de medarbetare som ska tillämpa reglerna. Även våra förslag i övrigt kan kräva vissa utbildningsinsatser, men behovet där är, enligt vår mening, betydligt mer begränsat. Ny lagstiftning kräver regelmässigt utbildningsinsatser. Behovet av sådana insatser är i detta fall inte beroende endast av de förslag vi lämnar, utan på den totala reformen på området för persondataskydd. Kostnader för utbildning innefattas normalt av myndigheters anslag och de förslag vi lämnar får därför rymmas inom befintliga kostnads- ramar för RMV. Den nya lagstiftning som vi föreslår, och som följer av den direkt tillämpliga dataskyddsförordningen, kommer att kräva nya interna föreskrifter och styrande dokument inom RMV. Att ta fram sådant material får anses ingå i de normala uppgifterna för myndigheter. Genom våra förslag att införa en datalag för RMV, en lag om RMV:s elimineringsdatabas och en lag om hantering av humanbio- logiskt material vid RMV får verket lagstiftning som är direkt an- passad – i den utsträckning sådana anpassningar är möjliga – utifrån verksamheten. Även om införandet av framför allt RMV:s datalag åtminstone inledningsvis kommer att, som vi konstaterat, kräva ut- bildning och information om de nya bestämmelserna, bör lagstift- ningen vara mer lättillämpad än som är fallet , när det inte finns några bestämmelser som särskilt tar sikte på RMV:s verk- samhet. Detta bör vara en fördel för myndigheten. Genom verksam- hetsanpassade bestämmelser kan också effektivitetsvinster uppnås. Så är exempelvis fallet med den lag om hantering av humanbiologiskt material som vi föreslår. Genom lagen står det klart hur humanbio- logiskt material ska hanteras av RMV, vilket bör förenkla verkets bedömningar av frågor som har att göra med hanteringen av sådant material. För de myndigheter som lämnar uppgifter om brottsmisstänkta till RMV:s rättspsykiatriska undersökningsverksamhet innebär våra förslag också förenklingar. Genom våra förslag utökas skyldigheten att lämna uppgifter till RMV. Detta kan möjligen leda till en viss ökad ärendemängd, genom att RMV i större utsträckning begär ut uppgifter, men bedömningen av i vilken utsträckning uppgifter kan lämnas ut förenklas betydligt genom de bestämmelser vi föreslår. Några ekonomiska konsekvenser för utlämnande myndighet bör det således inte bli fråga om. 12.5Konsekvenser för skyddet av enskildas integritet Vår bedömning: Förslagen förbättrar skyddet för enskildas per- sonliga integritet. Ett grundläggande syfte med den EU-rättsliga dataskyddsreformen är att stärka integritetsskyddet för enskilda och ge dem bättre möjlig- heter att kunna kontrollera hur behandlingen av personuppgifter sker. Förslaget till brottsdatalag respektive till dataskyddslag syftar också, som vi tidigare nämnt, till att stärka den enskildes personliga integritet. Möjligheterna till behandling av personuppgifter utvidgas inte genom de nyssnämnda lagförslagen, utan innebär i stort sett att behandling är möjlig i motsvarande utsträckning som . Våra förslag, i den del de avser det dataskyddsrättsliga området, ligger väl i linje med förslaget till brottsdatalag respektive dataskyddslag. Enligt vår bedömning kommer våra förslag således att gynna tillvara- tagandet av enskildas personliga integritet. Även vårt förslag till lag om hantering av humanbiologiskt mate- rial vid RMV tar tillvara den enskildes personliga integritet och bidrar till att begränsa hur sådant integritetskänsligt material får hanteras. När det gäller våra förslag på det rättspsykiatriska området, inne- bär den utökade uppgiftsskyldigheten vid rättspsykiatriska undersök- ningar och § 7-undersökningar att uppgifter om enskilda får en ökad spridning jämfört med vad som är fallet . Detta kan visserligen påverka möjligheten att upprätthålla ett skydd för den enskildes personliga integritet. Vi har behandlat denna fråga i avsnitten 9.5.1– Integritetskänsliga uppgifter förekommer i stor utsträckning vid RMV. Det finns således erfarenhet och rutiner för hur sådana uppgifter ska hanteras inom verket. Konsekvenserna för den enskildes personliga integritet bör mot denna bakgrund vara mycket begränsade. 12.6Konsekvenser för brottsligheten och det brottsförebyggande arbetet Vår bedömning: Förbättrat dataskydd vid kan öka möjligheterna för informationsutbyte mellan verket och de brottsbekämpande och brottsutredande myndigheter som lämnar uppdrag till . Detta kan få positiva effekter för det brottsförebyggande och brottsutredande arbetet. Förslagen förväntas inte få några direkta effekter på brottslig- heten. Liksom Utredningen om 2016 års dataskyddsdirektiv har konstaterat, är den pågående dataskyddsreformen av administrativ karaktär och några direkta effekter på brottsligheten kan inte förväntas (se SOU 2017:29, s. 652). Däremot kan förbättrade möjligheter till informa- tionsutbyte mellan RMV och de brottsbekämpande och brottsut- redande myndigheter som lämnar uppdrag till verket få positiva effek- ter för uppdragsgivarnas verksamhet. Vår bedömning: Förslagen förväntas inte få några andra kon- sekvenser. Våra förslag får inte någon betydelse för den kommunala självstyrel- sen. Inte heller kommer våra förslag att ha betydelse för sysselsättning och offentlig service i olika delar av landet eller för småföretags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i för- hållande till större företags. Förslagen är könsneutralt utformade och förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män. De kommer inte att påverka möjligheterna att nå de integrationspolitiska målen. Universitet och högskolor eller andra organisationer där forsk- ning utförs berörs av våra förslag främst när det gäller möjligheter- na att från RMV för forskningsändamål få del av uppgifter, statistik eller annat underlag, som humanbiologiskt material. Våra förslag inne- bär att regelverket som styr i vilken mån RMV kan lämna ut sådant underlag är tydligare och mer anpassat till myndighetens verksamhet än som är fallet , när mer generella bestämmelser i bl.a. person- uppgiftslagen styr utlämnande till dessa aktörer. Tydliga regler är en fördel även för forskningsaktörer, som därigenom bör kunna inrätta sin verksamhet utifrån de förutsättningar som finns att få del av underlag från RMV. Våra förslag inskränker inte möjligheten att få del av forskningsunderlag från RMV och några särskilda kost- nader för universitet, högskolor eller andra som bedriver forskning innebär förslagen inte heller. 13.1Förslaget till datalag (2018:000) 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att ge möjlighet att be- handla personuppgifter på ett ändamålsenligt sätt i sin verksamhet och att skydda fysiska personer mot att deras personliga integritet kränks vid sådan behandling. Paragrafen reglerar syftet med lagen. Utredningens överväganden finns i avsnitt 6.5.4. Syftet med lagen är tudelat. Det ena syftet är att skydda fysiska personer mot att deras personliga integritet kränks vid den behand- ling av personuppgifter som sker vid RMV. Genom formuleringen klargörs att lagens skyddsobjekt är fysiska personer. Lagen innehåller inte några bestämmelser till skydd för juridiska personer. Att lagens bestämmelser också är tillämpliga på behandling av uppgifter om av- lidna personer, framgår av 8 §. Lagens andra syfte är att säkerställa att RMV har möjlighet att på ett ändamålsenligt sätt behandla per- sonuppgifter i sin verksamhet. 2 § Denna lag gäller vid behandling av personuppgifter i Rättsmedicinal- verkets verksamhet. Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Paragrafen innehåller en reglering av lagens tillämpningsområde. Ut- redningens överväganden finns i avsnitt 6.5.5. I paragrafens första stycke slås fast att lagen reglerar den behand- ling av personuppgifter som sker i RMV:s verksamhet. Lagen är all- mängiltig och omfattar behandling av personuppgifter vid RMV, oavsett på vilket verksamhetsområde och i vilken ärendetyp behand- lingen sker. Viss behandling av personuppgifter vid RMV regleras dock i annan lagstiftning, vilket framgår av 7 §. Lagen innehåller inte någon definition av vad som är en personuppgift. Av 3 och 4 §§ fram- går dock att lagen såvitt gäller personuppgiftsbehandling som RMV som behörig myndighet utför i ett visst syfte gäller utöver brotts- datalagen (2018:000), som genomför och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektivet). Begreppet personuppgift ska vid sådan behandling ha samma innebörd som enligt brottsdatalagen. Enligt 1 kap. 6 § nyssnämnda lag är en personuppgift varje upplys- ning om en identifierad eller identifierbar fysisk person som är i livet. Att bestämmelserna i datalag också är tillämpliga på behandling av uppgifter om avlidna personer, framgår av 8 §. För sådan personuppgiftsbehandling där brottsdatalagen inte är tillämplig, gäller Europarlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (all- män dataskyddsförordning), nedan kallad dataskyddsförordningen. Förordningen innehåller i artikel 4.1 en definition av vad som utgör en personuppgift. Formuleringen är inte identisk med vad som gäller enligt brottsdatalagen, men innebörden är densamma. Vid tillämp- ningen av denna lag ska med begreppet personuppgift därför avses samma sak, oavsett om det är fråga om behandling på dataskydds- förordningens område eller på brottsdatalagens område. Paragrafens andra stycke begränsar lagens tillämpningsområde till att avse helt eller delvis automatiserad behandling av personupp- gifter, men även viss behandling omfattas. Så är fallet för annan behandling än automatiserad av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. För automatiserad behandling krävs det inte att de personuppgifter som hanteras är del av något som kan anses ut- göra ett register eller att personuppgifterna annars är ordnade på visst sätt. Även behandling av enstaka personuppgifter i löptext om- fattas således när det är fråga om automatiserad behandling. Mot- satsen gäller för helt behandling. I de fall då det är fråga om helt behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att göra det, är lagen inte tillämplig. Förhållandet till annan reglering om personuppgiftsbehandling 3 § För behandling av personuppgifter som utförs av Rättsmedicinal- verket som behörig myndighet i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder, gäller brottsdatalagen (2018:000). Paragrafen anger att för viss behandling av personuppgifter vid RMV gäller brottsdatalagen (2018:000). Utredningens överväganden finns i avsnitt 6.4 och 6.5.5. EU:s dataskyddsreform innebär att två nya regelkomplex blir tillämpliga – dataskyddsförordningen och dataskyddsdirektivet, som i svensk rätt genomförs genom brottsdatalagen. De båda regel- komplexen ska tillämpas parallellt vid RMV. När RMV som behörig myndighet behandlar personuppgifter i något av de syften som anges i brottsdatalagen är nyssnämnda lag tillämplig på behandlingen. Begreppet behörig myndighet definieras i 1 kap. 6 § brottsdatalagen som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet. En behörig myndighet i brottsdata- lagens mening kan också vara en annan aktör som utövar myndighet för något av de nyssnämnda syftena. Brottsdatalagens tillämpnings- område behandlas i Utredningen om 2016 års dataskyddsdirektivs delbetänkande Brottsdatalag, SOU 2017:29 (se särskilt avsnitt 7.1.1– 7.1.5 och kapitel 8). För att kunna avgöra om en viss behandling av personuppgifter vid RMV ska ske enligt brottsdatalagens bestämmelser eller om data- skyddsförordningen är tillämplig, är det nödvändigt att veta i vilket syfte en viss uppgift behandlas. RMV är en självständig och obero- ende expertmyndighet, som ansvarar för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet. Det finns inte något primärt uppdrag för RMV att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. RMV kan dock sägas fylla en stödfunktion för brottsbekämpande och brottsutredande verksamhet, främst när det gäller uppdrag till verket från och Åklagarmyn- digheten. När det gäller domstolarnas påföljdsbestämning har RMV en stödfunktion i syfte att lagföra brott, särskilt såvitt avser den rättspsykiatriska undersökningsverksamheten. Det förekommer också att RMV behandlar personuppgifter i syfte att utföra utredningar som har betydelse för verkställigheten av straffrättsliga påföljder, exempelvis vid utredningar enligt lagen (2006:45) om omvandling av fängelse på livstid. I förevarande paragraf klargörs att i ärenden vid RMV där det bakomliggande syftet med behandlingen av person- uppgifter är att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, gäller brottsdatalagen. Om syftet med behandlingen är något av de nyssnämnda, är inte brottsdatalagen längre tillämplig. Be- handling av personuppgifter som krävs för att avsluta ärendet får dock fortfarande ske med stöd av brottsdatalagen. Exempel på vilket regelverk – dataskyddsförordningen eller brottsdatalagen – som regel- mässigt bör tillämpas i vissa ärendetyper vid RMV behandlas i av- snitt 6.4.5. Dataskyddsdirektivet och brottsdatalagen omfattar även person- uppgiftsbehandling som en behörig myndighet utför i syfte att upp- rätthålla allmän ordning och säkerhet. RMV utför regelmässigt inte några uppdrag i sådant syfte och lagen innehåller därför inte några bestämmelser om behandling av personuppgifter i detta syfte. Para- grafen är därmed mindre vidsträckt än 1 kap. 2 § brottsdatalagen. 4 § För behandling av personuppgifter i sådant syfte som anges i 3 §, ska denna lag tillämpas utöver brottsdatalagen (2018:000). I paragrafen klargörs lagens förhållande till brottsdatalagen (2018:000). Utredningens överväganden finns i avsnitt 6.5.2. Brottsdatalagen innehåller grundläggande bestämmelser som genomför dataskyddsdirektivet och som reglerar hur personupp- gifter får behandlas inom direktivets och brottsdatalagens tillämp- ningsområde. Genom att denna lag gäller utöver brottsdatalagen, är sistnämnda lags bestämmelser om personuppgiftsbehandling på data- skyddsdirektivets område tillämpliga vid RMV. Förevarande lag inne- håller därför, när det gäller personuppgiftsbehandling på direktivs- området, endast bestämmelser som innebär preciseringar, undantag eller avvikelser från brottsdatalagen. Bestämmelserna i lagen ska, såvitt avser behandling av personuppgifter på direktivets område, läsas tillsammans med brottsdatalagen och tolkas i ljuset av sistnämnda lag. För RMV:s del gäller således för personuppgiftsbehandling inom brottsdatalagens tillämpningsområde bl.a. brottsdatalagens grund- läggande bestämmelser om rättsliga grunder för behandling av per- sonuppgifter, krav på behandlingen, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, tillsyn över personuppgiftsbehand- lingen, administrativa sanktionsavgifter, skadestånd och rättsmedel samt överföring till tredjeland och internationella organisationer, med de kompletterande bestämmelser som finns i 1 och 2 kap. i Rätts- medicinalverkets datalag. 5 § För annan behandling av personuppgifter vid än som avses i 3 §, ska och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning) tillämpas. Kompletterande bestämmelser till och rådets för- ordning (EU) 2016/679 finns i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning. Paragrafen anger att, i de fall då brottsdatalagen (2018:000) inte är tillämplig, ska dataskyddsförordningen tillämpas för behandling av personuppgifter vid RMV. Utredningens överväganden finns i av- snitt 6.4 och 6.5.5. EU:s dataskyddsförordning utgör den generella regleringen av personuppgiftsbehandling inom EU. Förordningen är i alla delar bindande och direkt tillämplig. Av artikel 2.2 d i förordningen fram- går att förordningen inte ska tillämpas på behandling av person- uppgifter som behöriga myndigheter utför i syfte att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dataskyddsförordning- en är således inte tillämplig i de fall då brottsdatalagen är tillämplig. I paragrafens första stycke klargörs att i de fall då personuppgifts- behandlingen vid RMV inte sker med stöd av brottsdatalagen, är data- skyddsförordningen tillämplig. Så är således fallet för personupp- giftsbehandling vid RMV där syftet inte är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Gränsdragningen mellan när en viss behandling sker i sådant syfte eller inte, utvecklas närmare i avsnitt 6.4.4, med exemplifieringar i avsnitt 6.4.5. I paragrafens andra stycke finns en upplysning om att komplet- terande bestämmelser till dataskyddsförordningen finns i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen). 6 § Om inte något annat anges i 3 kap. 1 § gäller denna lag i stället för lagen (2018:000) med kompletterande bestämmelser till EU:s dataskydds- förordning. Paragrafen klargör förhållandet till lagen (2018:000) med komplet- terande bestämmelser till EU:s dataskyddsförordning (dataskydds- lagen). Utredningens överväganden finns i avsnitt 6.5.2. För RMV:s behandling av personuppgifter som inte omfattas av dataskyddsdirektivet och brottsdatalagen, gäller den direkt tillämp- liga dataskyddsförordningen, som kompletteras av dataskyddslagen. Av 1 kap. 3 § dataskyddslagen framgår att om en annan lag eller en förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen, tillämpas den bestämmelsen. Dataskyddslagen är således subsidiär och bestäm- melserna i förevarande lag har företräde framför de generella kom- pletteringsbestämmelserna i dataskyddslagen. Vissa bestämmelser i dataskyddslagen är dock tillämpliga vid RMV:s behandling av per- Vilka bestämmelser det rör sig om framgår av 3 kap. 1 §, vilket aktuell paragraf innehåller en upplysning om. 7 § Denna lag gäller inte då personuppgifter behandlas med stöd av 1.lagen (1999:353) om rättspsykiatriskt forskningsregister, 2.lagen (2003:460) om etikprövning av forskning som avser människor, 3.patientdatalagen (2008:355), eller 4.kameraövervakningslagen (2013:460). Paragrafen klargör lagens förhållande till vissa andra författningar. Utredningens överväganden finns i avsnitt 6.5.6. I de fall då personuppgifter behandlas med stöd av lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor, patientdata- lagen (2008:355) eller kameraövervakningslagen (2013:460) gäller inte förevarande lag. Så kan, såvitt avser patientdatalagen, exempelvis vara fallet när en person som är intagen vid en rättspsykiatrisk undersök- ningsenhet vid RMV är i behov av somatisk vård. I sådana situationer får RMV betraktas vara vårdgivare som bedriver hälso- och sjuk- vård. Tillämpning av kameraövervakningslagen kan aktualiseras vid de rättspsykiatriska undersökningsenheterna, eftersom viss kamera- övervakning sker där. 8 § Denna lag gäller i tillämpliga delar även vid behandling av uppgifter om avlidna personer. För behandling av uppgifter om avlidna personer, ska och rådets förordning (EU) 2016/679, lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen (2018:000) gälla, på samma sätt som enligt denna lag gäller för behandling av personuppgifter avseende personer som är i livet. I paragrafen slås fast att lagen i tillämpliga delar gäller även vid be- handling av uppgifter om avlidna personer och att dataskyddsför- ordningen, lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och brottsdatalagen (2018:000) ska gälla för behandling av uppgifter om avlidna, på samma sätt som gäller för behandling av uppgifter om levande personer. Utredningens överväganden finns i avsnitt 6.5.7. Genom bestämmelsen utvidgas skyddet för uppgifter om avlidna vid RMV i förhållande till vad som gäller . Förevarande lag ska, i tillämpliga delar, gälla även vid behandling av uppgifter om avlidna personer. Så ska också vara fallet med dataskyddsförordningen, data- skyddslagen och brottsdatalagen. De bestämmelser som ska tilläm- pas även för uppgifter om avlidna personer är bestämmelser som avser bl.a. ändamål för behandling, tillåtna rättsliga grunder och grund- läggande krav på behandlingen. Däremot är inte bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt tillämpliga på avlidna personer. Så är exempelvis fallet när det gäller rätten till information, rätten till skadestånd, möjligheten att lämna samtycke till behandling och möjligheten att begära rättelse av registrerade personuppgifter.