sou · H5B380 · 2017-10-25 00:00:00 — har, vid utformandet av dataskydds- lagen, strävat efter att i möjligaste mån använda termer och uttryck som används i dataskyddsförordningen och annars i unionsrättsliga regelverk (se SOU 2017:39, s. 80). Även Utredningen om 2016 års dataskyddsdirektiv har använt terminologi som stämmer överens med dataskyddsförordningen, i den mån förordningen och dataskydds- direktivet innehåller samma eller liknande artiklar och det inte finns sakliga skäl att välja en annan lösning för direktivets del. Vi har i våra överväganden och förslag till lag haft samma strävan. I den mån det är möjligt är den terminologi vi använder i vårt lagförslag, därför i överensstämmelse med dataskyddsförordningen, dataskyddslagen, dataskyddsdirektivet och brottsdatalagen. Vårt förslag: Syftet med lagen ska vara dels att ge Rättsmedicinal- verket möjlighet att behandla personuppgifter på ett ändamåls- enligt sätt i myndighetens verksamhet, dels att skydda fysiska personer mot att deras personliga integritet kränks vid sådan behandling. Syftet med datalag är tudelat och visar den avvägning vi, inom de ramar som de EU-rättsliga dataskyddsbestäm- melserna sätter, i våra överväganden gjort mellan RMV:s behov att behandla personuppgifter på ett effektivt, ändamålsenligt och rätts- säkert sätt, som de personer som berörs av behandlingen ska tillförsäkras ett gott skydd. Att ange lagens syfte kan få relevans i rättstillämpningen genom att ge vägledning för tolkningen av de materiella bestämmelserna i lagen. Dessutom har syftesbestämmel- sen betydelse genom att den anger att lagen endast innehåller sådana bestämmelser som är av dataskyddsrättslig karaktär (se SOU 2015:39, Lagen bör därför innehålla en syftesbestämmelse. Dataskyddsförordningens syfte återfinns i artikel 1. att förordningen fastställer bestämmelser om skydd för fysiska per- soner med avseende på behandling av personuppgifter och om det fria flödet av personuppgifter. Förordningen ska vidare skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyd- det för fysiska personer med avseende på behandlingen av person- uppgifter. Syftesbestämmelsen i dataskyddsdirektivet är snarlik, men inte helt likalydande. Av artikel 1.2 i direktivet framgår att direktivets syfte är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Dessutom ska direktivet säkerställa att behöriga myndigheters utbyte av person- uppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller nationell rätt, varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av per- sonuppgifter. Mot bakgrund av dataskyddsdirektivets syftesbestäm- melse, har i brottsdatalagen föreslagits en bestämmelse med innebörd att syftet med lagen är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt (se 1 kap. 1 § första stycket). Enligt vår bedömning är vårt förslag till reglering av syftet med datalag förenligt med vad som gäller enligt det EU-rättsliga regelverket och de svenska lagarna i anslutning därtill. Vårt förslag: Lagen är tillämplig vid behandling av personupp- gifter i verksamhet. Den gäller för sådan behandling av personuppgifter som är helt eller delvis automati- serad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. För den behandling av personuppgifter som Rättsmedicinal- verket som behörig myndighet utför i syfte att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, ska brottsdatalagen tillämpas. För sådan behandling av personuppgifter där brottsdatalagen inte är tillämplig, ska dataskyddsförordningen tillämpas. I den ut- sträckning som särskilt anges i datalag, ska vissa bestämmelser i dataskyddslagen gälla vid den personupp- giftsbehandling som sker vid verket. Vår bedömning: Behandling av personuppgifter i syfte att upp- rätthålla allmän ordning och säkerhet förekommer inte i Rätts- medicinalverkets verksamhet. Lagen bör därför inte innehålla några bestämmelser om personuppgiftsbehandling som sker i så- dant syfte. Lagen är, som utgångspunkt och med de undantag som uttryck- ligen anges (se avsnitt 6.5.6), tillämplig för all behandling av person- uppgifter som äger rum vid RMV. Den gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgäng- liga för sökning eller sammanställning enligt särskilda kriterier. Mot- svarande bestämmelser i dataskyddsförordningen (se artikel 2.1) och dataskyddsdirektivet (se artikel 2.2) talar om ”register”, i stället för ”en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier”. Någon skill- nad i sak innebär de olika uttrycken inte. I förslaget till brottsdata- lag (se 1 kap. 3 §) används det senare uttrycket, med motivering att registerbegreppet sedan personuppgiftslagens tillkomst utmönstrats och att merparten av gällande registerförfattningar inte heller talar om ”register”. Vi instämmer i den bedömning som gjorts vid för- slaget till brottsdatalag och menar därför att ordet register inte bör användas. Vi har i avsnitt 6.4 redogjort för tillämpningen av de nya EU- rättsliga dataskyddsbestämmelserna, och den kompletterande svenska lagstiftningen, såvitt är relevant för RMV:s behandling av person- uppgifter. Särskilt har vi uppehållit oss kring gränsdragningen mellan när en viss behandling av personuppgifter sker inom dataskydds- förordningens tillämpningsområde och när det i stället är fråga om personuppgiftsbehandling av RMV som behörig myndighet för de syften som anges i dataskyddsdirektivet och brottsdatalagen. I en del avseenden är regleringen i dataskyddsförordningen i stort sett identisk med dataskyddsdirektivets bestämmelser. De särbestämmel- ser som aktualiseras i registerförfattningen för RMV är i sådana fall desamma, oberoende av om behandlingen av personuppgifter sker på förordningens tillämpningsområde eller inom direktivets ramar. Oavsett om så är fallet, är det nödvändigt att vid rättstillämpningen klargöra om en behandling av personuppgifter vid RMV sker där verket är att anse som behörig myndighet och syftet är sådant som anges i brottsdatalagen, eller om dataskyddsförordningen är tillämp- lig. Vårt förslag till lag är nämligen inte heltäckande, utan innehåller endast särbestämmelser i förhållande till dataskyddsförordningen respektive brottsdatalagen. För de aspekter av personuppgiftsbe- handlingen som inte regleras av den nu föreslagna lagen, ska således dataskyddsförordningen eller brottsdatalagen tillämpas. Att data- skyddslagen och brottsdatalagen är subsidiära och följden härav, har vi behandlat i avsnitt 6.5.2. Brottsdatalagen omfattar, som vi har nämnt, bl.a. personuppgifts- behandling som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (se 1 kap. 2 § brottsdatalagen). Det bakomliggande skälet till bestämmelsen i brottsdatalagen är att data- skyddsdirektivets tillämpningsområde inkluderar personuppgifts- behandling i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. I skäl 12 i direktivet anges att polisens och andra brottsbekämpande myndigheters verksamhet främst är inriktad på att förebygga, förhindra, utreda, avslöja och lagföra brott, men att sådan verksamhet också kan innefatta myndighetsutövning genom vidtagande av tvångsåtgärder vid demonstrationer, större idrottsevenemang och upplopp. Det anges också att verksamheten även omfattar upprätthållande av lag och ordning som en uppgift som anförtros åt polisen eller andra brottsbekämpande myndigheter när det är nödvändigt för att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och mot i lag skyddade grund- läggande allmänna intressen som kan leda till ett brott. Det är framför allt som har i uppdrag att skydda allmänheten mot hot mot den allmänna säkerheten (se SOU 2017:29, s. 164 f.). De uppdrag som RMV utför, och den personuppgiftsbehandling som sker inom ramen för dessa uppdrag, sker regelmässigt inte i syfte att upprätthålla allmän ordning och säkerhet. Tillämpningsområdet för datalag bör inte vara mer vidsträckt än nöd- vändigt och inte omfatta fler situationer än som även i praktiken kan uppstå. Lagen bör därför inte innehålla några bestämmelser om behandling av personuppgifter i syfte att upprätthålla allmän ord- ning och säkerhet. 6.5.6Förhållandet till andra författningar Vårt förslag: Lagen ska inte tillämpas när personuppgifter behand- las med stöd av lagen (1999:353) om rättspsykiatriskt forsknings- register, lagen (2003:460) om etikprövning av forskning som avser människor, patientdatalagen (2008:355) eller kameraövervak- ningslagen (2013:460). Bestämmelser om behandling av personuppgifter finns i lagen om rättspsykiatriskt forskningsregister, lagen om etikprövning av forsk- ning som avser människor, patientdatalagen och kameraövervak- ningslagen. RMV kan inom ramen för sitt uppdrag utföra åtgärder som omfattas av nämnda lagars tillämpningsområde. När så är fallet, ska dessa lagar tillämpas i stället för den nu föreslagna lagen med be- stämmelser om behandling av personuppgifter vid RMV. 6.5.7Lagen ska i tillämpliga delar även omfatta uppgifter om avlidna personer Vårt förslag: Lagen bör i tillämpliga delar även gälla uppgifter om avlidna personer. För behandling av uppgifter om avlidna personer, ska data- skyddsförordningen, dataskyddslagen och brottsdatalagen tilläm- pas, i samma utsträckning som dessa författningar är tillämpliga vid behandling av personuppgifter avseende personer som är i livet. Dataskyddsförordningen gäller inte (se skäl 27) behandling av upp- gifter rörande avlidna personer. Medlemsstaterna får dock enligt för- ordningen fastställa bestämmelser för behandling av uppgifter även rörande avlidna. Dataskyddsdirektivet innehåller inte någon mot- svarande reglering. Enligt sin ordalydelse omfattar direktivets defini- tion av personuppgift (se artikel 3.1) även uppgifter om avlidna. Definitionen av vad som utgör en personuppgift är densamma enligt artikel 3.1 i dataskyddsdirektivet som enligt artikel 4.1 i dataskydds- förordningen. Det finns inte några sakliga skäl att i detta avseende göra skillnad mellan de båda regelverken. Om uppgifter om avlidna personer kan få omfattas av skydd enligt nationell rätt när det gäller behandling av personuppgifter på dataskyddsförordningens område, bör detsamma därför gälla på direktivets. Det framstår som ett förbi- seende att förordningen potentiellt sett kan erbjuda ett mer vid- sträckt skydd än vad direktivet gör. Skyddsintresset för att reglera behandlingen av uppgifter om avlidna är, enligt vår uppfattning, minst lika starkt i de situationer som regleras av dataskyddsdirektivet som i de fall där förordningen är tillämplig. Utredningen om 2016 års dataskyddsdirektiv är av samma uppfattning (se SOU 2017:29, s. 152) och förslaget till brottsdatalag definierar därför personuppgift som varje upplysning om en identifierad eller identifierbar fysisk person som är i livet (se 1 kap. 6 §). Något hinder mot att datalag i tillämpliga delar även ska omfatta uppgifter om avlidna personer finns, enligt vår mening, således inte. Personuppgiftslagen är (se 3 §) endast tillämplig på fysiska per- soner som är i livet. Vid lagens tillkomst behandlades frågan om lagen skulle vara tillämplig även på uppgifter om avlidna. mittén gjorde bedömningen att tillämpningen av personuppgifts- lagen skulle begränsas till att endast avse uppgifter om personer som är i livet. Motiveringen för detta var att bestämmelserna i person- uppgiftslagen är så långtgående att de bör reserveras för de fall där behovet av skydd för personlig integritet är som mest uttalat, näm- ligen när det gäller uppgifter om en levande person som själv kan ha ett eget anspråk på personlig integritet. Kommittén framhöll också att en reglering av skydd för uppgifter om avlidna personer skulle kräva ett antal olika särregler, bl.a. vad gäller den enskildes samtycke. Behovet av skydd beträffande uppgifter om personer som inte är i livet ansåg kommittén inte vara så stort att det motiverade införan- det av sådana särregler (se SOU 1997:39, s. 340). I propositionen med förslag till personuppgiftslag gjordes ingen annan bedömning (se prop. 1997/98:44, s. 116). Även om personuppgiftslagen således inte omfattar uppgifter om avlidna, finns det exempel på författningar där tillämpningsområdet utsträckts till att även omfatta personer som är i livet. Av 1 kap. 1 § andra stycket patientdatalagen framgår att lagen i tillämpliga delar gäller även uppgifter om avlidna personer. Ett skäl härtill är att det i hälso- och sjukvårdens verksamhet förekommer en mängd uppgifter om avlidna och att sådana uppgifter kan vara integritetskänsliga (prop. 2007/08:126, s. 52). Socialförsäkrings- balkens reglering av personuppgiftsbehandling i 114 kap. gäller också (se 2 §), i tillämpliga delar, uppgifter om avlidna personer. Ett skäl till detta är att det inom den verksamhet som bedrivs av socialför- säkringens administration förekommer en mängd uppgifter som är hänförliga till avlidna (se prop. 2000/01:69, s. 19 f.). Vid RMV förekommer uppgifter om avlidna personer i relativt stor utsträckning. Det rör sig ofta om uppgifter som är särskilt inte- gritetskänsliga och kan t.ex. involvera personer som utsatts för mycket grov brottslighet. Det förekommer också uppgifter om enskildas psykiska eller fysiska hälsa, vilket kan innefatta information om exempelvis allvarlig sjukdom. För efterlevande kan det vara bety- delsefullt att sådana uppgifter omfattas av integritetsskyddande be- stämmelser. Det finns också situationer då en uppgift om en avliden person även är en uppgift om en levande person. Så är exempelvis fallet när det gäller uppgifter om en avliden persons arvsanlag. En dna- analys avseende en avliden kan ge upplysningar om den avlidnes nära släktingar. Det innebär att behandling av uppgifter om en av- liden person kan innebära behandling av personuppgifter beträffande en person som är i livet. De uppgifter om avlidna som kan förekomma vid RMV är enligt vår mening regelmässigt så käns- liga ur integritetshänseende att det framstår som angeläget att sådana uppgifter kan omfattas av det integritetsskyddande regelverk som vårt förslag till lag utgör. Att lagen, i tillämpliga delar, gäller även upp- gifter om avlidna personer bidrar till att upprätthålla den frid som bör tillkomma en avliden person (jfr 5 kap. 4 § ). Dess- utom är en sådan reglering väl i linje med de bestämmelser i lagen (1995:832) om obduktion m.m., som tillämpas i RMV:s rättsmedi- cinska verksamhet, och som anger (se 1 § andra stycket) att åtgärder enligt lagen ska fullgöras med respekt för den avlidne. Eftersom dataskyddsförordningen, dataskyddslagen och brotts- datalagen inte omfattar behandling av uppgifter om avlidna personer, bör den lag som vi nu föreslår utsträcka tillämpningsområdet för dessa regelverk när det gäller personuppgiftsbehandling vid RMV. Detta är nödvändigt för att exempelvis bestämmelser om rättslig grund för behandling, den personuppgiftsansvariges skyldigheter och tillsyn ska bli tillämpliga även när det gäller behandling av uppgifter om avlidna personer. Vårt förslag: ska vara personuppgifts- ansvarig för den behandling av personuppgifter som myndig- heten utför. Ett helhetsansvar för personuppgiftsbehandlingen åvilar Begreppet personuppgiftsansvar är centralt inom lagstiftningen gällande dataskydd. Skyldigheten att se till att behandling av person- uppgifter sker i enlighet med tillämpliga bestämmelser åvilar den som är personuppgiftsansvarig och enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Dataskyddsförordningen slår fast att (se artikel 4.7) med person- uppgiftsansvarig avses en fysisk eller juridisk person, offentlig myn- dighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen be- stäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas natio- nella rätt. Förordningen ger således möjlighet att i nationell rätt fast- ställa personuppgiftsansvaret. Den personuppgiftsansvarige har en rad skyldigheter enligt förordningen. Däribland kan nämnas att den personuppgiftsansvarige ska (se artikel 5.2) se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt, att oriktiga uppgifter rättas (se artikel 16) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har inne- burit (se artikel 82). Det åligger vidare den personuppgiftsansvarige att (se artikel 24) genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av person- uppgifter utförs i enlighet med förordningen. Även dataskyddsdirektivet innehåller en definition av vad som avses med att någon är personuppgiftsansvarig. Direktivet anger så- ledes att (se artikel 3.8) med personuppgiftsansvarig avses en behörig myndighet, som ensam eller tillsammans med andra, bestämmer ända- målen och medlen för behandlingen av personuppgifter. Liksom är fallet enligt dataskyddsförordningen, gäller att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlems- staternas nationella rätt kan den personuppgiftsansvarige eller de sär- skilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Således kan, även enligt data- skyddsdirektivet, nationell rätt slå fast vem som är personuppgifts- ansvarig. Av förslaget till brottsdatalag framgår att (se 1 kap. 6 §) med personuppgiftsansvarig avses den behöriga myndighet som en- sam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Eftersom brottsdata- lagen ska vara tillämplig på all behandling av personuppgifter för de syften som anges i lagen, är det inte möjligt att i ramlagen ange vem som är personuppgiftsansvarig för viss behandling. Registerförfattningar innehåller regelmässigt en reglering av vem som är personuppgiftsansvarig. En sådan bestämmelse är, såvitt gäller myndigheter, av störst vikt när det är fråga om en myndighet som är del av en större myndighetsstruktur, om det finns utrymme för tvekan kring vilken myndighet som har ansvaret för behandlingen av personuppgifter. Regleringen kan dock ha ett berättigande även i andra fall, som ett pedagogiskt grepp för att förenkla för rättstilläm- paren och undvika otydligheter. Eftersom båda de EU-rättsliga regelverken gör det möjligt att i nationell författning ange vem som är personuppgiftsansvarig, och det enligt vår mening är viktigt att detta tydligt framgår, bör en bestämmelse införas som anger att RMV är personuppgiftsansvarig för den behandling av personupp- gifter som verket utför. Inget behov av ytterligare bestämmelser om personuppgiftsbiträden Den som är personuppgiftsansvarig är, enligt såväl dataskyddsför- ordningen som dataskyddsdirektivet och brottsdatalagen, ansvarig för all behandling av personuppgifter som utförs under den person- uppgiftsansvariges ledning eller på dennes vägnar. Detta helhetsansvar innebär således (se skäl 74 i dataskyddsförordningen och skäl 50 i dataskyddsdirektivet) att ansvaret för behandlingen sträcker sig till att även omfatta den personuppgiftsbehandling som utförs av ett personuppgiftsbiträde. Inom dataskyddsdirektivets tillämpnings- område finns dessutom en reglering i 3 kap. 1 § i förslaget till brotts- datalag. Bestämmelsen anger att den personuppgiftsansvarige är an- svarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Vid RMV förekommer i ett antal olika delar av verksamheten att personuppgiftsbiträden anlitas. Så är exempelvis fallet när det gäller de rättsmedicinska åldersbedömningar som vi tidigare nämnt (se bl.a. avsnitt 5.3). Fristående leverantörer genomför, efter RMV:s upphand- ling, de undersökningar som ligger till grund för verkets utlåtande i åldersfrågan. I samband med avtalsslutet har RMV, utöver avtal som reglerar själva uppdraget, också ingått s.k. personuppgiftsbiträdes- avtal med dessa leverantörer. Så är fallet även med t.ex. verkets leverantör av it-tjänster. Att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinse- ende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt, framgår av artikel 29 i data- skyddsförordningen. Om en behandling ska genomföras på en per- sonuppgiftsansvarigs vägnar, ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett så- dant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (se artikel 28.1). Personuppgiftsbiträdets hantering av personuppgifter för den per- sonuppgiftsansvariges räkning, ska regleras genom ett avtal eller annan rättsakt som är bindande för biträdet (se artikel 28.3, som också innehåller närmare föreskrifter om vad ett sådant avtal eller en sådan bindande rättsakt ska reglera). Motsvarande bestämmelser på dataskyddsdirektivets område finns i bl.a. artikel 23, som anger att medlemsstaterna ska föreskriva att ett personuppgiftsbiträde och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter enligt instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Likaså finns direktivsbestämmelser (se artikel 22) om anlitande av personuppgiftsbiträden och vad som ska gälla för avtal mellan den personuppgiftsansvarige och ett sådant biträde. Förslaget till brottsdatalag innehåller (se 3 kap. 17–20 §§) bestämmelser om personuppgiftsbiträden. De bestämmelser i dataskyddsförordningen och brottsdatalagen, med kompletterande bestämmelser i förslaget till brottsdataförord- ning, som reglerar vad som gäller när en personuppgiftsansvarig an- litar ett personuppgiftsbiträde är, enligt vår mening, tillräckliga. Något behov av att i vårt förslag till datalag för personuppgiftsbehand- lingen vid RMV införa bestämmelser om personuppgiftsbiträden finns därför inte. 6.5.9Rättslig grund och särskilda ändamål för behandling av personuppgifter För att behandling av personuppgifter ska vara laglig krävs en rättslig grund Den EU-rättsliga dataskyddsregleringen utgår från att varje behand- ling av personuppgifter måste vila på en rättslig grund för att vara laglig. Personuppgifter får därför endast behandlas under de omstän- digheter som särskilt anges i tillämpliga regelverk. En grundläggande princip är dessutom att personuppgifter får samlas in för särskilda, uttryckligt angivna och berättigade ändamål.