sou · H5B380 · 2017-10-25 00:00:00 — Skulle det vid obduk- tionen visa sig att det finns anledning att misstänka att det ligger ett brott bakom den avlidnes död, aktualiseras brottsdatalagens bestäm- melser. I den mån syftet med RMV:s behandling av personuppgifter då i stället är att utreda brott, är brottsdatalagen tillämplig för den fortsatta behandlingen. Någon retroaktiv tillämpning av brottsdata- lagen ska dock inte ske. Vid RMV genomförs rättsmedicinska åldersbedömningar, till led- ning för beslut i ärenden gällande ansökan om uppehållstillstånd, där det är av vikt att avgöra om sökanden är över eller under . Sådana ärenden hör regelmässigt till dataskyddsförordningens tillämpningsområde. När det däremot gäller medicinska åldersbedömningar som genomförs inom ramen för en förundersökning eller ett brottmål, styrs personuppgiftsbehand- lingen i stället av dataskyddsdirektivets och brottsdatalagens bestäm- melser. Rättsmedicinska undersökningar av misstänkta gärningsmän och målsägande genomförs vid RMV, som vi har nämnt, i syfte att i rättsintyg dokumentera skador som kan ha uppkommit i sam- band med brott. De personuppgifter som behandlas i sådana ären- den är hänförliga till dataskyddsdirektivets och brottsdatalagens tillämpningsområde. I den mån rättsodontologiska undersökningar genomförs för identifiering av avlidna personer där det inte finns någon misstanke om brott, är dataskyddsförordningen tillämplig. Inom ramen för en förundersökning kan RMV få i uppdrag att genomföra bitmärkes- eller tandskadeanalyser. I dessa fall är i stället personuppgiftsbehand- lingen styrd av dataskyddsdirektivets bestämmelser och ramlagen ska tillämpas. På det rättsmedicinska verksamhetsområdet omhändertas väv- nader för transplantationsändamål. Prover som tagits i samband med rättsmedicinska undersökningar kan också tas tillvara för att använ- das vid den forskning som bedrivs vid RMV. Det humanbiologiska material som det här är fråga om hanteras således inledningsvis i ett obduktionsärende. Vilka bestämmelser som är tillämpliga på den personuppgiftsbehandling som sker då, avgörs enligt de kriterier som fastställts när det gäller själva obduktionen. Den fortsatta hanter- ingen av vävnaderna, både när det gäller transplantationer och när det gäller forskning, får enligt vår mening anses vara så pass separerad från det tidigare obduktionsärendet, att den behandling av person- uppgifter som därefter sker, inte påverkas av vilka bestämmelser som gällde för behandlingen av personuppgifter vid obduktionen. Syftet med personuppgiftsbehandlingen vid donationsverksamheten och vid forskningen är inte sådant att dataskyddsdirektivet är tillämp- ligt. I stället ska dataskyddsförordningen tillämpas. Inom RMV:s rättspsykiatriska verksamhetsområde genomförs, på uppdrag av domstol, rättspsykiatriska undersökningar enligt lagen (1991:1137) om rättspsykiatrisk undersökning. Dessutom genom- för RMV undersökningar i syfte att lämna ett s.k. § 7-intyg enligt personutredningslagen. Dessa undersökningar är av stor betydelse när domstol, vid en fällande dom, ska bestämma påföljd för en tilltalad. Syftet med behandlingen av personuppgifter i sådana rättspsykiatri- ska ärenden är således att lagföra brott. RMV:s personuppgifts- behandling faller i denna del därför under dataskyddsdirektivets och brottsdatalagens tillämpningsområde. I ärenden enligt lagen om omvandling av fängelse på livstid genomför RMV en utredning med utlåtande om risken för att den dömde återfaller i brottslighet. Behandlingen av personuppgifter i sådana ärenden utförs i syfte att bestämma om ett livstidsstraff ska tidsbestämmas och gäller därför verkställighet av en straffrättslig på- följd. Det är således fråga om ett sådant syfte som avses i dataskydds- direktivet och RMV ska för sådan personuppgiftsbehandling tillämpa brottsdatalagen. Även på det rättspsykiatriska området bedrivs forskning. Tillämp- liga bestämmelser för behandlingen finns i lagen om rättspsykiatriskt forskningsregister. Lagen är föremål för översyn av Forskningsdata- utredningen (U 2016:04), som i sitt delbetänkande Personuppgifts- behandling för forskningsändamål (SOU 2017:50) föreslagit vissa förändringar i lagen. Forskningsresultat på det rättspsykiatriska om- rådet kan förutsättas vara till nytta vid de utredningsuppdrag som RMV genomför på begäran av domstol, men sambandet mellan forsk- ningen och de utlåtanden RMV lämnar är inte så starkt att även per- sonuppgiftsbehandling som sker för forskningsändamål har samband med lagföring av brott eller verkställighet av straffrättsliga påföljder. RMV:s behandling av personuppgifter i samband med forskning på det rättspsykiatriska området ska därför styras av dataskyddsför- ordningen. RMV utför en rad olika analyser av humanbiologiskt material, t.ex. blod och urin, för att undersöka förekomsten av alkohol, narkotika, läkemedel och gifter. Uppdragen på detta område kommer huvud- sakligen från verkets rättsmedicinska enheter, , , och . Analyser genom- förs också på uppdrag av hälso- och sjukvården samt från huvud- män för missbruks- eller ungdomsvård. I ärenden där analyser genomförs som ett led i en utredning avseende misstanke om brott behandlas personuppgifter för sådant syfte som gör dataskyddsdirektivets och brottsdatalagens bestäm- melser tillämpliga. Det kan exempelvis röra s.k. internremisser, då en rättskemisk analys genomförs i samband med en rättsmedicinsk obduktion, eller analyser som görs i samband med att RMV utfärdar Vid sådana internremisser bör de bestämmelser för person- uppgiftsbehandling som gäller för grundärendet gälla även för de analyser som genomförs inom rättskemin, dvs. i de nu lämnade exemplen faller behandlingen av personuppgifter inom dataskydds- direktivets och brottsdatalagens tillämpningsområde. Ytterligare ett exempel på när nyssnämnda regelverk är tillämpligt är då RMV genomför rättskemiska analyser när det t.ex. finns en bakomliggan- de misstanke om narkotikabrott eller rattfylleribrott. Vid toxiko- logiska analyser i samband med kliniska obduktioner är presumtionen däremot den motsatta – som huvudregel är dataskyddsförordningen tillämplig. En kategori av analyser som genomförs inom RMV:s rättskemiska verksamhet är de s.k. drogfrihetsanalyserna (se avsnitt 5.4). Syftet med dessa analyser är att undersöka om ett prov innehåller spår av alkohol, narkotika eller någon annan substans och uppdragsgivare är oftast Kriminalvården, missbruks- eller ungdomsvården, social- tjänsten eller hälso- och sjukvården. I de fall då ett prov visar sig innehålla spår av narkotika eller någon annan otillåten substans, kan det potentiellt vara fråga om ett brott. Syftet med analysen, och därigenom syftet med behandlingen av personuppgifter i samband därmed, är dock regelmässigt inte, menar vi, att upptäcka brottslig verksamhet eller utreda brott. Vissa gränsdragningsproblem kan upp- stå, åtminstone i den inledande fasen efter de nya dataskydds- bestämmelserna trätt i kraft. Som huvudregel bör, enligt vår mening, gälla att i de fall då syftet med drogfrihetsanalysen är närmast av ordningskaraktär, utförs av medicinska skäl eller som ett led i en missbruksvård, ska dataskyddsförordningens bestämmelser tillämpas. Skulle det visa sig att ett analyserat prov innehåller spår av narko- tika eller något annat ämne som är förbjudet att bruka, kan det bli ett polisärende med efterföljande förundersökning. Att så potentiellt kan bli fallet, gör dock inte att behandlingen av personuppgifter redan vid den inledande drogfrihetsanalysen ska anses ha brottsutre- dande syfte. Huvudregeln bör vara den motsatta i de fall då ett prov analy- seras på begäran av Kriminalvården, om provet avser en person som är intagen på kriminalvårdsanstalt eller som på något annat sätt verkställer en straffrättslig påföljd. Provtagningen, som normalt sett inte genomförs av RMV, är ett led i straffverkställigheten och RMV fyller vid analysen av provet från Kriminalvården en sådan stöd- funktion som vi behandlat i avsnitt 6.4.4. RMV:s behandling av personuppgifter i sådana ärenden om drogfrihetsanalyser faller därför inom dataskyddsdirektivets tillämpningsområde. Den rättsgenetiska verksamhetens huvuduppgift är att genom dna- baserade analyser utreda faderskap eller annat släktskap. En viktig ärendetyp utgörs också av identifieringsärenden. På uppdrag av hälso- och sjukvården genomförs dessutom vissa analyser. I den mån RMV:s rättsgenetiska kompetens används vid brotts- utredningar, exempelvis dna-analyser för identifiering av en avliden person som bragts om livet, där andra metoder för identifiering inte är möjlig, ska personuppgiftsbehandlingen styras av dataskydds- direktivets och brottsdatalagens bestämmelser. Dna-analyser som genomförs inom ramen för en faderskaps- eller släktskapsutredning har sällan ett brottsutredande eller motsvarande syfte. Utgångspunkten är därför att dataskyddsförordningen är tillämplig på RMV:s behandling av personuppgifter i sådana ären- den. Så är också regelmässigt fallet med rättsgenetiska undersök- ningar som utförs på uppdrag av hälso- och sjukvården. Personuppgiftsbehandling för i huvudsak administrativa ändamål Vid RMV förekommer behandling av personuppgifter i olika admi- nistrativa system (se avsnitt 5.7). Det gäller främst system och pro- gram som används för att hantera personalfrågor, ekonomiadministra- tion och andra administrativa frågor, som t.ex. inköp av material. För behandlingen av personuppgifter som sker i sådana ärenden gäller dataskyddsförordningen. Behandling av personuppgifter sker vidare i vissa säkerhetsadmi- nistrativa system. Det kan exempelvis gälla uppgifter om besökare. Utgångspunkten för behandling av sådana uppgifter är att de faller under dataskyddsförordningens tillämpningsområde. Vid RMV:s utredningsenheter på det rättspsykiatriska verksamhetsområdet före- kommer sådan kameraövervakning som regleras i kamerövervak- ningslagen (2013:460). Lagen har varit föremål för översyn genom En ny kamerabevakningslag (SOU 2017:55) och ett förslag till ny lag har lämnats. RMV:s behandling av personuppgifter i anslutning till kameraövervakning ska ske i enlighet med vad som gäller enligt tillämplig lag för sådan övervakning. Syftet med behandlingen av per- sonuppgifter i RMV:s rättspsykiatriska ärenden är, som vi tidigare konstaterat, att lagföra brott och personuppgiftsbehandlingen om- fattas därför av dataskyddsdirektivets och brottsdatalagens bestäm- melser. När det gäller säkerhetsadministrativa frågor, som kamera- övervakning eller uppgifter om besökare till de rättspsykiatriska undersökningsenheterna, är syftet med personuppgiftsbehandling i detta avseende nära kopplat till den rättspsykiatriska utrednings- verksamheten och, i förlängningen, domstolens lagföring av brott. För sådan behandling av personuppgifter bör därför brottsdatalagens bestämmelser styra. I den mån personuppgiftsbehandlingen faller inom tillämpningsområdet för särregler i kameraövervakningslagen, eller annan lag som kan komma att ersätta nyssnämnda lag, ska sär- regleringen gälla inom de ramar som brottsdatalagen ställer upp. 6.5En lag om behandling av personuppgifter vid – våra överväganden och förslag 6.5.1Lämplig normgivningsnivå och författningens namn Vårt förslag: Bestämmelserna om behandling av personuppgifter vid ska ha form av lag. Lagens namn ska vara datalag. Författningsstrukturen på området för behandling av personuppgift- er kan vara relativt komplicerad och innefatta en lag, en särskild re- gisterlag, en anknytande registerförordning och därtill föreskrifter med detaljregler utfärdade på myndighetsnivå. Efter den EU-rättsliga dataskyddsreformen har trätt i kraft, kommer regelverket dessutom att innehålla en direkt tillämplig EU-förordning som kompletteras av dataskyddslagen och ett EU-direktiv som genomförs av brotts- datalagen. Det finns anledning att överväga vilken normgivningsnivå som är lämplig för de specialbestämmelser vi föreslår för RMV:s del. Möjligheten att meddela myndighetsspecifika bestämmelser och att överväga i vilken utsträckning en registerförfattning för RMV bör ha lagform, framhålls särskilt i våra kommittédirektiv. Vid sådana överväganden finns en rad faktorer att beakta. Detaljeringsgraden i bestämmelser som reglerar personuppgifts- behandling är ofta hög, vilket kan göra det nödvändigt att ändra bestämmelser relativt ofta. Ju lägre i normhierarkin en bestämmelse är, desto enklare är den regelmässigt att ändra. Denna omständighet talar för att reglerna om dataskydd för personuppgifter som be- handlas vid RMV i så stor utsträckning som möjligt bör införas på lägre nivå i normstrukturen än lagform. Myndighetsregister som innehåller uppgifter om ett stort antal personer eller som har ett särskilt känsligt innehåll, har dock i tidigare lagstiftningsärenden framhållits vara sådana register som ska regleras särskilt i lag. Registerförfattningar som reglerar sådana uppgifter har därför normgivningsmässigt oftast getts lagform. Dessa tidigare överväganden talar således för att även de nu aktuella bestämmel- serna om behandling av personuppgifter i RMV:s verksamhet bör ges form av lag (se bl.a. prop. 1990/91:60, s. 50 och prop. 1997/98:44, s. 40 f.). Ett ytterligare argument som talar i samma riktning, har att göra med åtaganden på området för grundläggande mänskliga fri- och rättigheter, liksom det grundlagsskydd som sådana fri- och rättigheter åtnjuter i 2 kap. regeringsformen. gäller, som vi har redogjort för i avsnitt 4.2, den europeiska kon- ventionen om skydd för de mänskliga rättigheterna och de grund- läggande friheterna () som svensk lag (se lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna). Av artikel 8 i konventionen följer att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikeln skyddar bl.a. mot felaktig behandling av personuppgifter. Inskränk- ningar i de rättigheter som konventionen ger, får endast göras med stöd av lag. Enligt 2 kap. 6 § andra stycket regeringsformen är en- skilda gentemot det allmänna skyddade mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av personliga förhållanden. Av 2 kap. 20 och 21 §§ regeringsformen framgår att inskränkningar i detta skydd endast kan göras genom lag och bara för att tillgodose ända- mål som är godtagbara i ett demokratiskt samhälle. melser om behandling av personuppgifter vid RMV som vi föreslår innebär visserligen att skyddet för den enskilde stärks, inte inskränks, men det rör sig om bestämmelser av sådant slag att det kan vara lämpligt med en reglering i lagform. De särbestämmelser som i förhållande till personuppgiftslagens generella bestämmelser gäller i stället för eller utöver personuppgifts- lagen för de myndigheter som lämnar uppdrag till RMV har, som vi nämnt i avsnitt 6.3.1, normgivningsmässigt getts lagform. Dessa re- gisterförfattningar har varit föremål för översyn med anledning av EU:s dataskyddsreform, främst av Utredningen om 2016 års data- skyddsdirektiv, men i några fall även av . Översynen har inte inneburit något förslag att gällande register- författningar inte längre bör ha lagform. Sammantaget finns, menar vi, goda skäl att reglera särbestämmel- serna för personuppgiftsbehandlingen vid RMV i lag. Lagen bör ha ett så enkelt och tydligt namn som möjligt och namnet bör dessutom inte vara alltför långt. Ett tänkbart alternativ är lagen om personuppgiftsbehandling vid . Ett liknande förslag (lag om behandling av personuppgifter i polisens brottsbekämpande verksamhet) har dock kritiserats av Lagrådet som för långt och intetsägande (se prop. 2009/10:85, s. 66). Ett annat alternativ är att i lagens namn använda ordet datalag. Flera olika registerförfattningar som har tillkommit innehåller ordet datalag (t.ex. polisdatalagen, åklagardatalagen och domstolsdatalagen). Ett sådant namn anknyter också till namnet på det EU-rättsliga regelverket, där såväl förordningen som direktivet innehåller ordet dataskydd. Att använda datalag i benämningen av lagen stämmer också väl överens med namnet på den föreslagna brottsdatalagen. Mot denna bakgrund bör därför, menar vi, lagen benämnas Rätts- medicinalverkets datalag. Det kan ofta vara en fördel om namnet på en lag har en kortform, som kan underlätta hänvisningar till lagen i både tal och skrift. En tänkbar sådan förkortning för Rättsmedicinal- verkets datalag kan vara RDL. 6.5.2Rättsmedicinalverkets datalag gäller utöver brottsdatalagen och i stället för dataskyddslagen Vår bedömning: Såväl dataskyddslagen som brottsdatalagen är subsidiära. En ny lag med bestämmelser om behandling av person- uppgifter vid kan därför gälla i stället för dataskyddslagen och utöver brottsdatalagen. Reglering av behandling av personuppgifter har i svensk rätt skett i form av en generell lag, med särbestämmelser i register- författningar. Så är fallet enligt gällande rätt, där 2 § PuL anger att personuppgiftslagen är subsidiär på så sätt att om det i en annan lag eller i en förordning finns bestämmelser som avviker från lagen, ska de bestämmelserna gälla. Det nya EU-rättsliga regelverket innebär att de generella reglerna för behandling av personuppgifter finns i dataskyddsförordningen. I de fall kompletteringar till eller undantag från dataskyddsför- ordningen bör göras på mer generell nivå, finns bestämmelserna i dataskyddslagen. Av 1 kap. 3 § i nyssnämnda lag framgår att om en annan lag eller en förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskydds- lagen, tillämpas den bestämmelsen. På dataskyddsförordningens om- råde gäller att förordningen är direkt tillämplig och bestämmelserna i dataskyddslagen kompletterar förordningen med tillägg till eller undantag från densamma, i den mån förordningen lämnar utrymme för undantag eller kompletteringar. Särbestämmelser i registerför- fattningar kan ges företräde framför de generella kompletterings- bestämmelserna i dataskyddslagen. Sådana särregleringar måste dock vara i överensstämmelse med dataskyddsförordningen. Principen om unionsrättens företräde medför nämligen att en bestämmelse i en registerförfattning får tillämpas endast om den är förenlig med dataskyddsförordningen och avser en fråga som enligt förordningen får regleras på nationell nivå. Även för brottsdatalagen gäller att (se 1 kap. 5 §) om det i en annan lag eller en förordning finns bestämmelser som avviker från brottsdatalagen, ska de bestämmelserna gälla. Brottsdatalagen är så- ledes, precis som dataskyddslagen, subsidiär, men vid rättstillämp- ningen finns en viktig skillnad mellan de båda lagarna. Brottsdatalagen innehåller de bestämmelser som genomför data- skyddsdirektivet och inte endast bestämmelser som, i likhet med dataskyddslagen, kompletterar direkt tillämpliga bestämmelser. Ut- gångspunkten för brottsdatalagen är, vilket ligger väl i linje med lagens karaktär av ramlag, att i princip alla bestämmelser i brotts- datalagen är tillämpliga i den verksamhet som bedrivs av behöriga myndigheter inom dataskyddsdirektivets tillämpningsområde. Det är inte möjligt att ha registerförfattningar på området som gäller i stället för brottsdatalagen. Dessa registerförfattningar, som exem- pelvis polisdatalagen och åklagardatalagen, kommer därför att anpassas till brottsdatalagen på så sätt att de ska gälla utöver ramlagen och bara innehålla de bestämmelser som innebär undantag eller avvikelser från bestämmelser i ramlagen (se SOU 2017:29, s. 140 f.). Särbestäm- melser i registerförfattningar får inte strida mot bestämmelserna i dataskyddsdirektivet. Vid RMV:s behandling av personuppgifter gäller således, som utgångspunkt, dataskyddsförordningen och dataskyddslagen, såvitt gäller områden som inte omfattas av dataskyddsdirektivet. Den lag om behandling av personuppgifter vid RMV som vi nu föreslår, ska gälla i stället för dataskyddslagen. Vissa bestämmelser i dataskydds- lagen ska dock tillämpas vid personuppgiftsbehandlingen hos RMV. Vilka bestämmelser detta är, framgår uttryckligen av vårt förslag till lag. Vi återkommer till denna fråga i avsnitt 6.5.14. För personupp- giftsbehandling i något av de syften som gör att behandlingen faller inom dataskyddsdirektivets tillämpningsområde, ska brottsdatalagen tillämpas. För RMV:s del gäller således på dataskyddsdirektivets om- råde bl.a. brottsdatalagens grundläggande bestämmelser om rättsliga grunder för behandling av personuppgifter, krav på behandlingen, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, tillsyn över personuppgiftsbehandlingen, administrativa sanktions- avgifter, skadestånd och rättsmedel samt överföring till tredjeland och internationella organisationer. Den föreslagna registerlagen för RMV ska därutöver tillämpas, i den mån lagen innehåller bestäm- melser som avviker från eller kompletterar brottsdatalagen. 6.5.3Några utgångspunkter för vårt förslag till lag Vår bedömning: Bestämmelserna om behandling av personupp- gifter vid bör samlas i en lag, som omfattar både den personuppgiftsbehandling som äger rum på dataskydds- förordningens område och den behandling som faller inom data- skyddsdirektivets tillämpningsområde. Den terminologi som används i lagen, bör så långt det är möjligt stämma överens med de uttryck och begrepp som används i dataskyddsförordningen, dataskyddslagen, dataskyddsdirektivet och brottsdatalagen. Den EU-rättsliga dataskyddsreformen ger upphov till ett regel- komplex som till sin struktur kan uppfattas som relativt komplice- rad. Så är särskilt fallet för myndigheter som RMV, där både data- skyddsförordningens och dataskyddsdirektivets bestämmelser kan vara aktuella. För en del av de myndigheter vars verksamhet till stor del faller under direktivets tillämpningsområde, har Utredningen om 2016 års dataskyddsdirektiv i sitt slutbetänkande Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) föreslagit att respektive registerförfattning ska delas upp. En lag ska således reglera person- uppgiftsbehandlingen på förordningens område och en lag ska inne- hålla motsvarande bestämmelser på direktivets och brottsdatalagens område. Domstolsdatalagen ska därför delas in i en lag som inne- håller bestämmelser hänförliga till brottmålsprocessen (domstolarnas brottsdatalag) och de bestämmelser som gäller tvistemålsprocessen, andra mål och ärenden som inte är brottmål samt domstolarnas administration, ska regleras i domstolsdatalagen. Vi har övervägt om det förslag till bestämmelser som vi nu lämnar bör vara intagna i en lag eller om de föreslagna bestämmelserna i stället bör delas upp i en brottsdatalag för RMV och en datalag för RMV. Enligt vår mening är de särbestämmelser som behövs för RMV:s del till viss del desamma, oavsett om det är fråga om behandling av per- sonuppgifter på förordningens eller på direktivets respektive tillämp- ningsområde. Detta talar för att det kan vara en fördel med en lag, i stället för två som i så fall delvis hade varit likalydande. EU-rättsliga dataskyddsregleringarna kommer dock också att kräva överväganden som i viktiga avseenden skiljer sig åt beroende på i vilket syfte personuppgiftsbehandlingen sker. Sådana särregleringar kan lämpligen placeras i ett kapitel för bestämmelser som gäller ut- över brottsdatalagen och ett kapitel för bestämmelser som komplet- terar dataskyddsförordningen och gäller i stället för dataskydds- lagen. Registerförfattningen för RMV kan därigenom bestå av en lag, inte två, med särbestämmelser uppdelade i olika kapitel. Vid behandling av personuppgifter vid RMV kommer, som vi tidi- gare konstaterat, dataskyddsförordningen, brottsdatalagen, RMV:s registerförfattning, med komplettering av bestämmelser i dataskydds- lagen, att tillämpas. För att underlätta vid rättstillämpningen, är det av stor vikt att de uttryck och begrepp som används i vårt förslag till lag, i så stor utsträckning som möjligt, stämmer väl överens med motsvarande begrepp i övriga regelverk.