sou · H5B350 · 2017-06-09 00:00:00 — Detta innebär att utredningen i detta skede kommer att utgå ifrån att redan gjorda avvägningar och bedömningar i sak bör godtas, i den mån dessa inte är oförenliga med dataskyddsför- ordningen. Analysen är således inriktad på den typ av ändringar som är nödvändiga med anledning av dataskyddsförordningen. Syftet med uppdraget i denna del är sammantaget att registerlagen ska kunna tillämpas även efter att dataskyddsförordningen börjar tilläm- pas och att de befintliga förutsättningarna för att behandla personuppgifter i enlighet med registerlagen i vart fall inte ska försämras. 15.4.2Dataskyddsförordningens utrymme för nationell lagstiftning – övergripande överväganden Utredningens bedömning: Lagen om rättspsykiatriskt forsk- ningsregister utgör tillåten nationell kompletterande reglering till dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men dessa tillåts, enligt artikel 6.2 och 6.3, att behålla eller införa mer specifik nationell reglering för att närmare fastställa hur för- ordningens bestämmelser ska tillämpas när det gäller behandling 10 Se vidare rapporten nytt författningsstöd för behandling av person- uppgifter m.m. (Ju2013/08833/Å). Anpassningar av vissa registerförfattningar som sker med stöd av de rättsliga grunderna fullgörande av rättslig förpliktelse, utförande av uppgift av allmänt intresse eller myndig- hetsutövning, vilka anges i artikel 6.1 c och e. Som tidigare nämnts är det tillåtet att i sådan nationell reglering ha bestämmelser om bland annat de allmänna villkor som ska gälla för den personupp- giftsansvariges behandling, vilken typ av uppgifter som ska behand- las, vilka registrerade som berörs, de enheter till vilka personuppgif- terna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behand- ling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis be- handling m.m. Som utredningen tidigare aviserat kommer vi att i detta skede utgå ifrån redan tidigare gjorda bedömningar, i den mån dessa inte står i strid med dataskyddsförordningen. De bedömningar som föregick införandet av registerlagen baseras på dataskyddsdirektivet, som införlivats i svensk rätt genom personuppgiftslagen. I den proposition som ligger till grund för registerlagen uttalade regeringen att behovet av forsknings- och utvecklingsarbete inom rättspsykiatrin är stort. Regeringen konstaterade vidare att det be- hövs ökade kunskaper om bl.a. effekterna av vård och behandling av psykiskt störda lagöverträdare. Många problemställningar är out- forskade och kräver grundläggande forskning. Sådan forskning kräver tillgång till stora databaser med insamlade och strukturerade personuppgifter av mycket integritetskänslig karaktär. Forsknings- behoven måste därför vägas mot respekten för den enskildes per- sonliga integritet. Endast sådana uppgifter som är nödvändiga bör få förekomma i registret och behovet av olika uppgifter bör prövas noggrant. De uppgifter som får förekomma i registret bör vidare, enligt regeringens bedömning, endast få användas i ett sammanhang med ett verkligt samhällsintresse.11 Det var regeringens bedömning vid införandet av registerlagen att den behandling av personuppgif- ter som lagen omfattade var nödvändig för att utföra en uppgift av viktigt allmänt intresse. Artikel 8.4 i dataskyddsdirektivet ger medlemsstaterna rätt att nationellt lagstifta om undantag från förbudet att behandla känsliga personuppgifter (artikel 8.1) under förutsättning av lämpliga skydds- åtgärder och med hänsyn till ett viktigt allmänt intresse. 1998/99:72 s. 26 f. Anpassningar av vissa registerförfattningar således regeringens och redan gjorda bedömning att ändamålen med registerlagen är ett viktigt allmänt intresse i enlig- het med dataskyddsdirektivet.12 Personuppgiftsbehandlingen enligt registerlagen är enligt utred- ningens bedömning att anse som nödvändig och proportionerlig för att uppfylla ändamålet, dvs. uppgiften som är av allmänt intresse, och därför laglig enligt artikel 6.1 e i dataskyddsförordningen. Detta innebär att utredningens övergripande bedömning är att register- lagen utgör en sådan tillåten specifik nationell reglering för att när- mare fastställa hur förordningens bestämmelse ska tillämpas när det gäller utförande av uppgift av allmänt intresse (artikel 6.1 e) enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Den personuppgifts- behandling som registerlagen omfattar måste vidare uppfylla data- skyddsförordningens övriga krav för att kunna behållas. I det följ- ande kommer utredningen att gå igenom registerlagens förenlighet med dataskyddsförordningen bestämmelse för bestämmelse. Utredningens bedömning: Den inledande bestämmelsen i 1 § om lagens tillämpningsområde och personuppgiftsansvaret för registret kan och bör behållas. I 1 § registerlagen anges att får för de ända- mål som anges i 3 § med hjälp av automatiserad behandling föra ett rättspsykiatriskt forskningsregister. Vidare anges i andra stycket att är personuppgiftsansvarigt för registret. Den inledande bestämmelsens första stycke anger lagens tillämp- ningsområde. Det är utredningens uppfattning att bestämmelser i nationell kompletterande lagstiftning som anger på vilken verksam- het, vilka typer av behandlingar och vilka personuppgifter lagen ska tillämpas inte i sig påverkas av dataskyddsförordningen. Av 1 § framgår vidare att RMV får föra registret med hjälp av automatiserad behandling. Denna formulering motsvarar innehålls- 12 A.a. s. 38. Anpassningar av vissa registerförfattningar mässigt artikel 2.1 i dataskyddsförordningen, vilken är direkt tillämp- lig. Av artikeln framgår att förordningen ska tillämpas på sådan be- handling av personuppgifter som helt eller delvis företas på automa- tisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 4.6 i data- skyddsförordningen definieras register som en strukturerad sam- ling av personuppgifter som är tillgängliga enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Av skäl 8 i dataskyddsförordningen framgår att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt. Skäl 8 ger därmed utrymme för att införliva artikel 2.1 i register- lagen. Det är utredningens bedömning att formuleringen i 1 § första stycket registerlagen kan behållas intakt. I artikel 4.7 i dataskyddsförordningen definieras personuppgifts- ansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån dataskyddförordningen och med utgångspunkt i de faktiska om- ständigheterna i varje enskilt fall. I de situationer ändamålen och medlen för behandlingen bestäms av medlemsstaternas nationella rätt finns dock en möjlighet enligt andra ledet i artikel 4.7 att ange vem som är personuppgiftsansvarig i den nationella rätten. I 1 § andra stycket registerlagen anges att det är RMV som är personuppgiftsansvarig för registret som lagen reglerar. Genom lagens tillämpningsområde och ändamålsbestämmelserna ges en yttersta ram för vilka behandlingar som är tillåtna enligt lagen. Det är den personuppgiftsansvarige som i varje enskild situation ska ta ställning till vilken behandling av uppgifter som ska och kan ske. Dessutom bestäms medlen för behandlingen i registerlagen, dvs. i lagen fastställs att en viss typ av behandling av personuppgifter som görs av en viss myndighet för vissa ändamål på angivet sätt är tillå- ten. Därmed bestäms såväl ändamål som medel för behandlingen i Anpassningar av vissa registerförfattningar registerlagen, vilket gör det tillåtet att ange vem som är personupp- giftsansvarig. Slutligen är det i linje med principerna om laglighet, korrekthet och öppenhet (artikel 5.1 a) att peka ut personuppgiftsansvarig direkt i registerlagen, vilket tydliggör vem som ska hållas ansvarig för den behandling av personuppgifter som görs enligt lagen. Sammanfatt- ningsvis är det utredningens bedömning att bestämmelsen både kan och bör kvarstå i sin helhet. Utredningens förslag: Hänvisningarna till personuppgiftslagen ska tas bort. I 2 § anges att personuppgiftslagen gäller vid behandling av person- uppgifter för det rättspsykiatriska forskningsregistret, om inget annat följer av denna lag. Med anledning av att personuppgiftslagen upphävs ska alla hänvisningar till den lagen utgå. Detta innebär att den allmänna hänvisningen till personuppgiftslagen i 2 § ska tas bort. Vidare innehåller vissa bestämmelser i registerlagen hänvisningar till specifika bestämmelser i personuppgiftslagen. Detta gäller hän- visningen till personuppgiftslagen avseende information som ska lämnas till den registrerade (12 § denna lag), i fråga om rättelse och skadestånd (15 § denna lag) samt hänvisningen till 26 och 28 §§ personuppgiftslagen i bestämmelsen om överklagande (16 § denna lag). Ovan nämnda hänvisningar ska tas bort och, där det bedöms lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskyddsförordningen respektive den nya nationella dataskydds- lagen, se respektive avsnitt nedan. Anpassningar av vissa registerförfattningar Förhållandet till dataskyddsförordningen och dataskyddslagen Utredningens förslag: I registerlagen införs en upplysande be- stämmelse där det tydliggörs att lagen kompletterar dataskydds- förordningen. I registerlagen införs även en upplysande bestäm- melse som anger att lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) gäller vid be- handling av personuppgifter enligt denna lag om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller dataskyddslagen. I syfte att förtydliga registerlagens förhållande till dataskyddsförord- ningen föreslår vi att det i registerlagen införs en upplysande be- stämmelse som tydliggör att registerlagen innehåller komplette- rande bestämmelser till dataskyddsförordningen. På så vis framgår normhierarkin direkt i lagen, och det blir tydligt att registerlagen inte utgör en uttömmande reglering. Bestämmelsen syftar således till att göra relationen mellan de olika regelverken begriplig både för dem som tillämpar registerlagen och de registrerade. Samma syfte har en upplysande bestämmelse om registerlagens förhållande till den nationella kompletterande dataskyddslag som föreslår. Utöver de direkt tillämpliga be- stämmelserna i dataskyddsförordningen kommer det att i data- skyddslagen finnas generella bestämmelser som utgör tillåtna speci- ficeringar och undantag till dataskyddsförordningen. Dataskydds- lagen är subsidiär och dess bestämmelser kommer därmed att gälla i den mån inte registerlagen, eller annan författning, föreskriver annat. Det krävs således inte någon hänvisningsbestämmelse till data- skyddslagen. Att införa en upplysande bestämmelse som tydliggör att registerlagen inte utgör en uttömmande nationell reglering under dataskyddsförordningen underlättar dock för den som ska tillämpa regelverket och för andra att hitta relevanta lagrum. Därför föreslås att det också införs en upplysande bestämmelse i register- lagen som anger att dataskyddslagen gäller om inte annat följer av registerlagen eller föreskrifter som har meddelats med stöd av den- samma eller dataskyddslagen. Anpassningar av vissa registerförfattningar Utredningens bedömning: Ändamålsbestämmelsen i 3 § kan och bör behållas. I registerlagens 3 § anges lagens ändamål. Det rättspsykiatriska forsk- ningsregistret får enligt första punkten endast användas för behand- ling av personuppgifter för forskning inom rättspsykiatrin, om forsk- ningen och behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, eller enligt andra punkten för RMV:s uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete). Ändamålen med personuppgiftsbehandlingen hör samman med registerlagens syfte, tillämpningsområde och den rättsliga grunden för behandlingen av personuppgifter. Genom ändamålsbestämmel- sen fastställs ramarna för att personuppgifterna behandlas i enlighet med de allmänna principer för all personuppgiftsbehandling som framgår av 9 § personuppgiftslagen och artikel 5 i dataskyddsförord- ningen. Detta innefattar bland annat principerna att personuppgif- ter ska behandlas på ett korrekt, lagligt och öppet sätt i förhållande till de registrerade (artikel 5.1 a) och att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b). Avgränsningen av ändamål för vilken personuppgiftsbehand- lingen får ske är betydelsefull när det gäller skyddet för den person- liga integriteten. Regeringen anförde i samband med förslaget till registerlagen att ändamålen bör preciseras så noga som möjligt av flera skäl. Först och främst för att värna om skyddet för den person- liga integriteten. Den internationella utvecklingen uppgavs också gå mot höga krav på precisering av ändamålet, vilket innebär att endast personuppgifter som är direkt relevanta för ändamålet får samlas in eller på annat sätt behandlas.13 Mot bakgrund av detta for- mulerade regeringen ändamål som skulle uppfylla kraven enligt data- skyddsdirektivet och personuppgiftslagen. Beträffande ändamålet forskning ansåg regeringen att det i sam- band med tidigare lagstiftningsarbete fanns viss vägledning för be- 1998/99:72 s. 36 f. Anpassningar av vissa registerförfattningar dömningen att forskning i sig kan utgöra ett godtagbart ändamål och att det vid bedömningen av vad som är ett tillräckligt specifi- cerat ändamål måste beaktas att den föreslagna avgränsningen om- fattade endast forskning inom rättspsykiatrin. Eftersom registret innehåller mycket känsliga personuppgifter underströk regeringen att det är av största vikt att det används bara för sådan forskning som är seriös. Detta innebär att vissa krav avseende vetenskapligt värde och vetenskaplig metod måste uppfyllas av forskningen för att den ska anses vara förenlig med ändamålet. Den bedömningen ansågs behöva göras av en instans med god kompetens för sådana prövningar. Vid prövades i princip alla forsknings- projekt på området av en forskningsetikkommitté. Ett förfarande som utan att vara författningsreglerat vunnit acceptans. Det var där- för regeringens förslag att de forskningsprojekt som skulle använda uppgifterna i registret skulle ha godkänts i en sådan forskningsetisk prövning enligt det befintliga systemet.14 När etikprövningssystemet författningsreglerades genom lagen (2003:460) om etikprövning av forskning som avser människor infördes en hänvisning till den lagen i 3 § registerlagen. Kravet på etikgodkännande för all behandling av personuppgifter för forsk- ning med användning av det rättspsykiatriska forskningsregistret avsågs alltså utgöra en skyddsåtgärd och ett lagenligt undantag från förbudet mot behandling av känsliga personuppgifter, enligt 13 och 19 §§ personuppgiftslagen. När forskningen och personuppgifts- behandlingen godkänts vid en etisk prövning är det RMV:s ansvar att göra en prövning av behandlingens förenlighet med ändamålet. Beträffande ändamålet utvecklingsarbete anförde regeringen i propositionen som ligger till grund för registerlagen att det är av stor vikt att RMV har ett bra underlag för sitt arbete med uppfölj- ning, utvärdering och kvalitetssäkring. Att RMV kan upprätthålla och förbättra kvaliteten och enhetligheten i sina bedömningar ansågs vara viktigt både för samhället och för de enskildas rättssäkerhet. Regeringen fann därför att detta är ett sådant viktigt allmänt intresse att det motiverar ett undantag i enlighet med artikel 8.4 i dataskydds- direktivet från förbudet mot behandling av känsliga personuppgifter. Regeringen gjorde även bedömningen att behandlingen av person- uppgifter i enlighet med den föreslagna lagstiftningen i alla delar är 14 A.a. s. 37. Anpassningar av vissa registerförfattningar förenlig med artikel 8 i Europakonventionen.15 Regeringens slutsats var således att det rättspsykiatriska forskningsregistret borde få an- vändas för RMV:s utvecklingsarbete inom rättspsykiatrin.16 Det är utredningens bedömning att kraven på tillräckligt preci- serade ändamål enligt dataskyddsförordningen inte skiljer sig från kraven i dataskyddsdirektivet. Regeringens och redan gjorda bedömningar är därför fortsatt giltiga och förenliga med dataskyddsförordningen. Det är vidare utredningens bedömning att ändamålsbestämmelsen i 3 § registerlagen även i övrigt är utformad på ett sådant sätt som stämmer överens med dataskyddsförordning- ens krav och utgör tillåten nationell lagstiftning i enlighet med arti- kel 6.2 och 6.3 i dataskyddsförordningen. Ändamålsbestämmelsen i 3 § registerlagen kan och bör därför behållas. Av propositionen till registerlagen framgår att det är regeringens avsikt att uppgifterna i registret endast ska få användas för de före- slagna två ändamålen.17 De uppräknade ändamålen och tillåtna be- handlingarna i lagen är således uttömmande. Detta innebär en be- gränsning av den finalitetsprincip som framgår av 9 § första stycket d samt 9 § andra stycket personuppgiftslagen, vilka baseras på arti- kel 6.1 b i dataskyddsdirektivet. Finalitetsprincipen anger att person- uppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Så länge ett nytt ända- mål är förenligt med det ursprungliga kan alltså vidarebehandling vara tillåten. En behandling av personuppgifter för historiska, statis- tiska eller vetenskapliga ändamål ska inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in, enligt 9 § andra stycket personuppgiftslagen. I dessa fall föreligger således som huvudregel ett förenligt ändamål. I dataskyddsförordningen finns motsvarande formulering i arti- kel 5.1 b, som anger att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behand- 15Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, artikel 8 anger rätten till skydd för privat – och familjeliv. 1998/99:72 s. 38 f. Anpassningar av vissa registerförfattningar las på ett sätt som är oförenligt med dessa ändamål. Ytterligare be- handling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenliga med de ursprungliga ändamålen. I artikel 6.4 i dataskyddsförordningen beskrivs vidare vad den personuppgiftsansvarige bör beakta för att fastställa huru- vida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Mot bakgrund av att ändamålen med personuppgiftsbehandlingen i registerlagen är nödvändiga för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen är det tillåtet enligt artikel 6.2 och 6.3 i förordningen att i nationell rätt behålla sär- skilda bestämmelser som till exempel specificerar ändamålsbegräns- ningar. Det är utredningens bedömning att bestämmelsen i 3 § registerlagen även i det avseendet den begränsar möjligheten till ytterligare behandling är förenlig med dataskyddsförordningen och därmed inte motiverar någon ändring i den delen heller. Utredningens bedömning: Bestämmelserna i 4–9 §§ om inne- håll kan och bör behållas. I registerlagens 4 § anges att registret endast får innehålla uppgifter om en person för vilken ett rättspsykiatriskt utlåtande enligt lagen (1991:1137) om rättspsykiatrisk undersökning, ett intyg enligt 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. eller motsvarande utlåtande eller intyg enligt äldre lagstiftning har utfärdats. I andra stycket anges att uppgifterna inte får föras in i registret förrän domen i det mål i vilket utlåtandet eller intyget in- hämtats har vunnit laga kraft. Har åtalet helt ogillats får inga person- uppgifter från det brottmålet föras in i registret. I 5–9 §§ anges vilka uppgifter för varje person som får registreras i registret. Majoriteten av de slags uppgifter som anges i 5–9 §§ registerlagen utgör sådana uppgifter som kategoriseras som känsliga person- uppgifter enligt 13 § personuppgiftslagen (artikel 8.1 i dataskydds- direktivet) eller personuppgifter om lagöverträdelser m.m. enligt 21 § personuppgiftslagen. Motsvarande bestämmelser finns för sär- Anpassningar av vissa registerförfattningar skilda kategorier av personuppgifter (känsliga personuppgifter) i artikel 9.1 i dataskyddsförordningen och för personuppgifter om lagöverträdelser m.m. i artikel 10 i dataskyddsförordningen. Dataskyddsförordningen förbjuder i artikel 9.1 behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 i dataskyddsförordningen preciseras vissa uttryckliga undantag från förbudet i artikel 9.1, till exempel om behandlingen är nödvändig på grund av hänsyn till ett viktigt allmänt intresse (artikel ). Det finns också ett undantag för behandling som är nödvändig för bland annat forskningsändamål (artikel 9.2 j). Förord- ningen uppställer krav på fastställda lämpliga och särskilda skydds- åtgärder vid tillämpning av undantagen i artikel och 9.2 j. Av artikel 9.4 framgår att medlemsstaterna får behålla eller införa ytterli- gare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Av skäl 10 i dataskyddsförordningen framgår att förordningen ger medlemsstaterna handlingsutrymme att specificera sina bestäm- melser, även för behandlingen av särskilda kategorier av person- uppgifter, och att förordningen inte utesluter att det i medlemsstat- ernas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas. I skäl 52 i dataskyddsförord- ningen anges bland annat att undantag från förbudet att behandla särskilda kategorier av personuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och under- kastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter. En förutsättning för sådana undan- tag är att allmänintresset motiverar det. Av artikel 10 i dataskyddsförordningen framgår att behandling som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får ut- föras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämp- liga skyddsåtgärder fastställts. Motsvarande förbud mot behandling av känsliga personuppgifter finns i dataskyddsdirektivets artikel 8.1, vilken införlivats i svensk Anpassningar av vissa registerförfattningar rätt genom 13 § personuppgiftslagen. Undantag från förbudet är bland annat möjligt av hänsyn till ett viktigt allmänt intresse, under förutsättning av lämpliga skyddsåtgärder (artikel 8.4 i dataskydds- direktivet).