sou · H5B380 · 2017-10-25 00:00:00 — Behandling av personuppgifter vid RMV kan emellertid också ske med stöd av någon av de andra rättsliga grunderna i artikel 6.1. I de fall då RMV genomför utredningar på uppdrag av enskilda fysiska personer, som exempelvis i faderskapsärenden som initierats av de inblandade parterna själva, kan grunden för behandling utgöras av samtycke från de registrerade (se artikel 6.1 a). Likaså kan en person- uppgiftsbehandling baseras på att behandlingen är nödvändig för att RMV ska kunna fullgöra en rättslig förpliktelse som åvilar myn- digheten (se artikel 6.1 c). En närmare redogörelse för vad de olika grunderna för behandling innebär, finns i betänkande, se SOU 2017:39, s. 108 f. Gemensamt för bestämmelserna i 2 kap. 1, 3 och 4 §§ dataskydds- lagen, är att de föreslås i lagen, trots att någon sådan reglering på generell nivå inte egentligen behövs i svensk rätt. Bestämmelserna motiveras dock av med att de tydliggör för rättstillämparen. Av skäl 8 i dataskyddsförordningen framgår att sådana bestämmelser är tillåtna, även om de kan sägas utgöra ett in- förlivande av en direkt tillämplig förordningsbestämmelse. Vi instäm- mer i bedömning att det finns goda skäl att, i syfte att göra regleringen tydligare, införa de bestämmelser som föreslås i dataskyddslagen. Den lag vi nu föreslår för behandling av personuppgifter vid RMV bör innehålla en hänvisning till dessa bestämmelser. Av samma skäl, att åstadkomma en lagreglering som är tydlig för tillämparen, bör datalag innehålla en redo- görelse för under vilka förutsättningar personuppgifter får behandlas vid verket. Ett skäl för att införa en sådan bestämmelse i 3 kap. i vårt förslag till lag, är också att motsvarande bestämmelse finns i lagförslagets reglering av personuppgiftsbehandling på brottsdata- lagens område. Genom en sådan reglering innehåller båda delarna av RMV:s föreslagna datalag – både den som är styrd av dataskydds- direktivet och brottsdatalagen å ena sidan och den som är styrd av dataskyddsförordningen å andra sidan – bestämmelser om när person- uppgiftsbehandling är tillåten vid RMV. Lagen ska därför innehålla en reglering av att behandling av personuppgifter är tillåten, under förutsättning att minst ett av de villkor som ställs upp i dataskydds- förordningen är uppfyllt, i RMV:s rättspsykiatriska, rättskemiska, rättsmedicinska och rättsgenetiska verksamhet. Som vi har redogjort för när det gäller personuppgiftsbehandling inom brottsdatalagens tillämpningsområde och den föreslagna bestämmelsen i 2 kap. i RMV:s datalag, preciseras verksamheten närmare i RMV:s instruktion. Enligt vår mening är en sådan reglering som vi nu föreslår tillåten enligt dataskyddsförordningen (se skäl 8 i förordningen). När det gäller behandling för andra ändamål än det ursprungliga, framgår av artikel 6.4 i dataskyddsförordningen att om en behand- ling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller nationell rätt, ska den personuppgiftsansvarige beakta ett antal olika omständigheter för att fastställa om behand- lingen för andra ändamål är förenlig med de ursprungliga ändamålen. Bland de omständigheter som ska beaktas är kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och de nya ända- målen, det sammanhang som personuppgifterna har samlats in i, sär- skilt förhållandet mellan de registrerade och den personuppgifts- ansvarige, samt personuppgifternas art, särskilt om det är fråga om känsliga personuppgifter. Bestämmelsen i artikel 6.4 kompletteras av artikel 5.1 b. Sistnämnda artikel anger att, som vi tidigare konsta- terat, personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ur- sprungliga ändamålen. En upplysning härom bör tas in i Rätts- medicinalverkets datalag, liksom en upplysning om vad som enligt nämnda artikel 89.1 i dataskyddsförordningen gäller för behandling för arkivändamål. Av lag eller förordning kan fastställas en skyldighet att lämna uppgifter. Vårt förslag till lag bör innehålla en upplysning även om detta och om att RMV får behandla personuppgifter för att fullgöra en sådan skyldighet. Som vi har redogjort för (se bl.a. avsnitt 6.4.4) kan person- uppgifter som inledningsvis behandlats med stöd av brottsdatalagen, i ett senare skede behandlas för ändamål utanför brottsdatalagens tillämpningsområde. Dataskyddsförordningen är tillämplig för sådan personuppgiftsbehandling. I artikel 9 i dataskyddsdirektivet regleras vad som gäller när personuppgifter som behandlas med stöd av direk- tivet ska behandlas för ändamål utanför direktivets tillämpnings- område. Så kan vara fallet när en behörig myndighet behöver behandla personuppgifter för andra ändamål än de som gör direktivet tillämp- ligt, men också när sådana myndigheter ska lämna ut uppgifter till andra aktörer, som inte bedriver verksamhet på dataskyddsdirektiv- ets område. Av artikel 9 framgår att personuppgifter som har samlats in för ändamål inom dataskyddsdirektivets tillämpningsområde inte får behandlas för andra ändamål, såvida inte sådan behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. Behandling för nya ändamål, inom brottsdatalagens tillämpnings- område, får ske endast om behandlingen är nödvändig och propor- tionerlig för det nya ändamålet (se 2 kap. 4 § brottsdatalagen). För behandling för ändamål utanför brottsdatalagens tillämpningsområde finns i 2 kap. 22 § brottsdatalagen en upplysning att dataskydds- förordningen ska tillämpas. Vår lag bör innehålla en bestämmelse som slår fast att personuppgifter som behandlas eller har behand- lats med stöd av brottsdatalagen får behandlas med stöd av data- skyddsförordningen och de bestämmelser i vårt lagförslag som rör personuppgiftsbehandling på förordningens område, i de fall då sådan behandling behövs för att fullgöra uppgiftslämnande enligt lag eller förordning, eller för vissa arkivändamål. Behandling för arkivändamål omfattas av dataskyddsförordningens tillämpnings- område, även vad gäller personuppgifter som har behandlats inom ramen för brottsdatalagen (se 2 kap. 17 § andra stycket brottsdata- lagen och SOU 2017:29, s. 287). För annan behandling av person- uppgifter utanför brottsdatalagens tillämpningsområde, dvs. behand- ling som inte görs i syfte att fullgöra uppgiftsskyldighet eller för arkiveringsändamål, gäller de grundläggande bestämmelserna om be- handling av personuppgifter på dataskyddsförordningens område. Behandling av känsliga personuppgifter har en särställning I lagstiftning om behandling av personuppgifter har känsliga person- uppgifter regelmässigt en särställning. Enligt personuppgiftslagen utgörs känsliga personuppgifter av (se 13 § PuL) uppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filo- sofisk övertygelse eller medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv. Huvudregeln är att det inte är tillåtet att behandla känsliga personuppgifter, men från förbudet görs (se 14–19 §§ PuL) undantag. Bland dessa undantag finns att den regi- strerade har lämnat sitt uttryckliga samtycke till behandlingen eller att behandlingen under vissa förutsättningar är nödvändig. Känsliga personuppgifter får också under vissa preciserade förhållanden be- handlas för hälso- och sjukvårdsändamål. De registerförfattningar som gäller för de myndigheter som är RMV:s huvudsakliga upp- dragsgivare, innehåller kompletterande regler om behandling av käns- liga personuppgifter. Såväl dataskyddsdirektivet och brottsdatalagen som dataskydds- förordningen reglerar behandlingen av känsliga personuppgifter. Behovet av att i den lag vi nu föreslår för personuppgiftsbehandling vid RMV reglera behandlingen av känsliga personuppgifter varierar något mellan de båda regelverkens tillämpningsområden. Vi behand- lar därför frågan om känsliga personuppgifter för vart och ett av de båda tillämpningsområdena för sig. Känsliga personuppgifter på brottsdatalagens område Vår bedömning: Några särbestämmelser angående Rättsmedicinal- verkets behandling av känsliga personuppgifter bör, med undan- tag för vad som ska gälla för sökning i sådana personuppgifter, inte införas. Vårt förslag: Sökförbudet i brottsdatalagen som avser känsliga personuppgifter ska inte gälla för . I stället ska gälla att det är förbjudet att göra sökningar som grundar sig på ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexual- liv eller sexuell läggning. Sökningar som rör hälsa, biometriska uppgifter som används för att identifiera en person och gene- tiska uppgifter är tillåtna. Det är också tillåtet att göra sökningar som rör brott, misstanke om brott eller som beskriver en persons utseende. Användning av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp omfattas inte av förbudet. Förbudet gäller inte heller vid sökning i en viss handling eller i ett visst ärende. I dataskyddsdirektivet används begreppet särskilda kategorier av personuppgifter för att beskriva de uppgifter som enligt person- uppgiftslagen kallas känsliga personuppgifter. I såväl brottsdatalagen som dataskyddslagen används dock den i svensk rätt inarbetade termen känsliga personuppgifter, eftersom denna term tydligare talar om vad det är för slags uppgifter som avses. Av samma skäl använder vi begreppet känsliga personuppgifter för att beskriva den kategori av uppgifter som det här är fråga om. För behandling av känsliga personuppgifter ställer dataskydds- direktivet upp ytterligare villkor, utöver de krav (se avsnitt 6.5.9) som gäller för att behandlingen ska vara laglig. Av artikel 10 i direk- tivet framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening, samt behandling av gene- tiska uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person eller uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning endast är tillåten om det är absolut nödvändigt och under förutsättning att det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Dess- utom krävs det att behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, att den utförs för att skydda in- tressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person, eller att behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. I brottsdatalagen har för behandling av känsliga personuppgifter föreslagits strängare regler än vad dataskyddsdirektivet anger. Således föreskriver 2 kap. 11 § brottsdatalagen att känsliga personuppgifter som huvudregel inte får behandlas. Om andra uppgifter om en person behandlas, får sådana uppgifter dock kompletteras med käns- liga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. För genetiska uppgifter och biometriska upp- gifter innehåller brottsdatalagen specialbestämmelser. Med genetiska uppgifter avses enligt dataskyddsdirektivet (se artikel 3.12) alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik informa- tion om denna fysiska persons fysiologi eller hälsa och vilka fram- för allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Brottsdatalagen innehåller en definition som är i stort sett likalydande. Av denna framgår att (se 1 kap. 6 §) genetiska uppgifter är personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i fråga. Främst rör det sig om information som kan tas fram vid dna-analyser. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Själva dna-profilen är endast en siffer- eller bokstavskom- bination, vilket innebär att profilen i sig inte är en genetisk uppgift. Den är i stället en biometrisk uppgift. Biometriska uppgifter är enligt dataskyddsdirektivet (se arti- kel 3.13) personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller be- teendemässiga kännetecken och som möjliggör eller bekräftar unik identifiering av denna fysiska person, såsom ansiktsbilder eller finger- avtrycksuppgifter. Brottsdatalagen innehåller motsvarande definition (se 1 kap. 6 §). Av brottsdatalagen framgår att (se 2 kap. 11 §) biometriska upp- gifter som används för att identifiera en person och genetiska upp- gifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Känsliga per- sonuppgifter får vidare (se 2 kap. 13 § brottsdatalagen) behandlas med stöd av 2 kap. 2 §, dvs. om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en an- mälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Enligt brottsdatalagen får alltså känsliga personuppgifter bara behandlas om uppgifter om personen behandlas av annat skäl och om behandlingen är absolut nödvändig. Denna begränsning är, enligt Utredningen om 2016 års dataskyddsdirektivs mening, en lämplig skyddsåtgärd för behandlingen. Eftersom genetiska och biometriska uppgifter kan innehålla oidentifierade avtryck eller spår fungerar inte huvudregeln att känsliga personuppgifter endast får behandlas om någon annan uppgift om den aktuella personen också behandlas. Detta är den bakomliggande anledningen till särregleringen för gene- tiska respektive biometriska uppgifter (se SOU 2017:29, s. 269 f.). RMV behandlar i stor utsträckning känsliga personuppgifter. En reglering av behandling av känsliga personuppgifter vid RMV kan, med stöd av artikel 1.3 i dataskyddsdirektivet, utformas så att den innebär ett starkare skydd för de registrerade. Förslaget till brotts- datalag innebär en sådan starkare skyddsreglering. En lag om behand- ling av personuppgifter vid RMV kan, enligt vår bedömning, inne- hålla bestämmelser som är mer långtgående än brottsdatalagen och således inskränker RMV:s möjlighet att behandla känsliga person- uppgifter jämfört med den rätt som brottsdatalagen innehåller. Lagen kan också innehålla en bestämmelse som inte är lika långt- gående som brottsdatalagen, så länge en sådan särreglering inte går längre än vad som är tillåtet enligt dataskyddsdirektivet. Den be- handling av känsliga personuppgifter som äger rum vid RMV är som regel absolut nödvändig för att RMV ska kunna fullgöra sina uppgifter. Det rör sig framför allt om uppgifter om hälsa (exem- pelvis i rättsmedicinska ärenden, men även inom rättspsykiatrin) och genetiska respektive biometriska uppgifter. Enligt vår bedömning innebär de föreslagna bestämmelserna om behandling av känsliga personuppgifter i brottsdatalagen inte någon förändring i förutsätt- ningarna för RMV att i sin ärendehantering behandla känsliga per- sonuppgifter gentemot vad som gäller . RMV har ett berättigat behov av att behandla känsliga personuppgifter i samma utsträck- ning som sker . Några särbestämmelser som i förhållande till brottsdatalagen ger RMV en utökad eller inskränkt möjlighet att, i förhållande till andra behöriga myndigheter som tillämpar brottsdatalagen, behandla känsliga personuppgifter bör därför inte införas. En fråga gällande känsliga personuppgifter där det enligt vår mening däremot är befogat med särskilda bestämmelser i förhållan- de till brottsdatalagens huvudregel gäller sökning på känsliga person- uppgifter. Att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter är enligt brottsdatalagen (se 2 kap. 14 §) förbjudet (om utformningen av bestämmelsen, se SOU 2017:29, s. 272 f.). Sökförbudet kompletteras av en bestämmelse om absolut sekretess för sammanställningar grundade på känsliga person- uppgifter. Sekretessbestämmelsen föreslås införas i 35 kap. OSL (se SOU 2017:29, s. 644). Som vi har konstaterat, förekommer känsliga person- uppgifter i mycket hög utsträckning i RMV:s verksamhet. Någon beräkning av i vilken utsträckning de personuppgifter som behand- las vid verket är känsliga personuppgifter finns inte, men uppskatt- ningsvis utgör känsliga personuppgifter en dominerande del av den totala mängden personuppgifter som behandlas där. En begränsning av hur känsliga personuppgifter får behandlas, exempelvis när det gäller sökning, omfattar därför en mycket stor del av den person- uppgiftsmängd som behandlas vid RMV. Sökfunktioner är viktiga för att RMV på ett effektivt sätt ska kunna hitta relevant informa- tion som kan vara betydelsefull för verkets möjlighet att fullgöra de uppgifter som åvilar myndigheten. måste de bestämmelser som reglerar sökningar i känsliga personuppgifter utformas på ett sätt så att risken för integritetsintrång är så begränsad som möjligt. En bestämmelse som gör det möjligt för RMV att göra sökningar som avser vissa känsliga personuppgifter, bör därför vara så snävt formulerad som möjligt, men tillräckligt vidsträckt för att täcka de behov som finns för att RMV ska kunna arbeta under effektiva former. Utgångspunkten för regleringen av sökning i känsliga person- uppgifter bör vara att sådan sökning inte är tillåten, men att vissa undantag bör göras från sökförbudet. Undantagen bör omfatta sök- ningar som rör hälsa, biometriska uppgifter som används för att identifiera en person och genetiska uppgifter. Användning av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp bör inte heller omfattas av förbudet. Förbudet bör inte heller gälla vid sökning i en viss handling eller i ett visst ärende. Enligt dataskyddsförordningen finns, vilket vi återkommer till i det följande, begränsningar för behandling av uppgifter om lagöver- trädelser. Någon sådan begränsning finns inte enligt dataskydds- direktivet och inte heller i brottsdatalagen. RMV bör ha möjlighet att genomföra sökningar avseende brott eller misstanke om brott. Även om det inom brottsdatalagens tillämpningsområde således inte behövs någon sådan reglering, bör RMV:s datalag slå fast att det är tillåtet att genomföra sökningar som rör brott eller misstanke om brott. I framför allt identifieringsärenden vid RMV kan det vara nödvändigt med sökningar som gör det möjligt att söka på en per- sons utseende. En sådan sökning kan exempelvis innefatta uppgift om en persons etniska ursprung. En reglering som gör det möjligt att genomföra en sökning utifrån en persons utseende bör därför införas. Utredningen om 2016 års dataskyddsdirektiv har för uppgift i ett sådant personurval som avses i 2 kap. 14 § brottsdatalagen, dvs. bestämmelsen som innebär ett generellt sökförbud i syfte att få fram ett personurval grundat på känsliga personuppgifter, föreslagit en sekretessreglering i offentlighets- och sekretesslagen. Enligt vår bedömning är de sekretessbestämmelser som gäller inom RMV:s verksamhet tillräckliga även för de bestämmelser om sökning i käns- liga personuppgifter som vi nu föreslår. Behandling av känsliga personuppgifter med stöd av dataskyddsförordningen Vårt förslag: För behandling av känsliga personuppgifter ska dataskyddslagens bestämmelser om sådan be- handling gälla, med undantag för vad dataskyddslagen föreskriver om sökningar som avser känsliga personuppgifter. Dessutom ska lagen innehålla en bestämmelse som gör det möjligt för Rätts- medicinalverket att, utöver de möjligheter som ges i dataskydds- lagen, behandla känsliga personuppgifter i bild. För sökning i känsliga personuppgifter gäller att det vid är tillåtet att göra sökningar som rör hälsa, biometriska uppgifter som används för att identifiera en person och genetiska uppgifter. Det är också tillåtet att göra sökningar som rör brott, misstanke om brott eller som beskriver en persons utseende. I övriga fall är det förbjudet att göra sökningar som grundar sig på känsliga personuppgifter. Användning av särskilda beteck- ningar för identifiering av en viss ärendetyp som sökbegrepp om- fattas dock inte av förbudet. Förbudet gäller inte heller vid sök- ning i en viss handling eller i ett visst ärende. Dataskyddsförordningen innehåller i artikel 9 bestämmelser om be- handling av känsliga personuppgifter och en kompletterande reg- lering finns i dataskyddslagen. I förordningens artikel 9.1 stadgas ett förbud mot att behandla särskilda kategorier av personuppgifter. Det gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening. Även behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning är förbjuden. Förbudet att behandla känsliga personuppgifter är direkt tillämp- ligt och gäller i medlemsstaterna utan några vidare åtgärder. Från förordningens förbud finns dock en rad undantag, som gör det möj- ligt att i vissa fall behandla känsliga personuppgifter. I en del fall kräver dessa undantag nationell lagstiftning. Undantagen är bl.a.: –den registrerade har uttryckligen lämnat sitt samtycke till behand- lingen av personuppgifterna för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt före- skriver att förbudet att behandla personuppgifter inte kan upp- hävas av den registrerade (artikel 9.2 a), –behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på om- rådena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlems- staternas nationella rätt, där lämpliga skyddsåtgärder som säker- ställer den registrerades grundläggande rättigheter och intressen fastställs (artikel 9.2 b), –behandlingen är nödvändig för att skydda den registrerades eller någon annan fysisk persons grundläggande intressen när den regi- strerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (artikel 9.2 c), –behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade (artikel 9.2 e), –behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas döman- de verksamhet (artikel 9.2 f), –behandlingen är nödvändig av hänsyn till ett viktigt allmänt in- tresse, på grundval av unionsrätten eller medlemsstaternas natio- nella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ), –behandlingen är nödvändig av skäl som hör samman med före- byggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhanda- hållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlems- staternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skydds- åtgärder som avses i artikel 9.3 är uppfyllda (artikel 9.2 h), och