sou · H5B380 · 2017-10-25 00:00:00 — Även ur detta perspektiv framstår det som önskvärt att i en särskild författning om personuppgiftsbehandling vid RMV överväga sär- bestämmelser som innebär en avvägning av den enskildes intresse för integritetsskydd och verkets intresse av ändamålsenliga regler för att kunna bedriva verksamheten på ett effektivt sätt med vidmakt- hållande av god kvalitet i de utlåtanden som lämnas. För enskilda registrerade som vill göra gällande sina rättigheter enligt det dataskyddsrättsliga regelverket är det viktigt att de tillämp- liga bestämmelserna är så begripliga och överblickbara som möjligt. Även för den rättstillämpande myndigheten och dess tjänstmän är det naturligtvis av stort värde att gällande rätt är så användarvänlig som möjligt, särskilt eftersom detta minskar risken för att person- uppgifter behandlas på felaktigt sätt. För RMV:s personuppgifts- behandling kommer, som vi återkommer till i avsnitt 6.4 och 6.5, dataskyddsförordningen att vara direkt tillämplig. Därutöver är den föreslagna dataskyddslagen tillämplig på myndighetens behandling av personuppgifter. Vid personuppgiftsbehandling som genomförs i vissa preciserade syften, kommer den brottsdatalag som föreslagits för att genomföra dataskyddsdirektivet i stället att vara tillämplig. För viss behandling av personuppgifter ska dock annan särlagstiftning som innehåller bestämmelser om personuppgiftsbehandling tillämpas, som exempelvis patientdatalagen i de fall då RMV är att betrakta som vårdgivare. Genom att införa en särskild författning om behand- ling av personuppgifter vid RMV är det möjligt att klargöra för- hållandet mellan dessa regelverk och därigenom bidra till en enklare rättstillämpning och förbättra enskildas förutsättningar att ta del av gällande rätt på området. Enligt vår mening talar övervägande skäl således för att det finns ett behov av en särskild författning som reglerar behandlingen av personuppgifter vid RMV. Av skäl som vi utvecklar i avsnitt 6.5.1 bör denna författning ges form av lag. 6.4Tillämpningen av EU:s dataskyddsrättsliga regelverk på verksamhet Vår bedömning: Dataskyddsförordningen, med den komplet- terande dataskyddslagen, är som utgångspunkt tillämplig på be- handlingen av personuppgifter vid . När fullgör ett uppdrag i syfte att stödja sådan brottsutredande och liknande verksamhet som avses i data- skyddsdirektivet är i stället brottsdatalagen tillämplig för verkets behandling av personuppgifter. För våra överväganden och förslag om hur en författning som reg- lerar RMV:s behandling av personuppgifter bör utformas är det av avgörande betydelse hur de nya EU-rättsliga dataskyddsbestäm- melserna ska tillämpas på personuppgiftsbehandlingen vid RMV. För behandling av personuppgifter i verksamhet som omfattas av unions- rätten gäller antingen dataskyddsförordningens bestämmelser eller de bestämmelser som införts för att genomföra dataskyddsdirek- tivet. De båda EU-rättsliga regelverken kan vara tillämpliga parallellt om samma personuppgift behandlas för olika syften inom en verk- samhet, men de kan inte tillämpas på samma behandling. Det är således nödvändigt för den som behandlar en personuppgift att, för att veta vilket regelverk som styr en viss behandling, ha klart för sig i vilket syfte en viss uppgift behandlas. 6.4.2Dataskyddsförordningen kompletteras av dataskyddslagen Dataskyddsförordningen ska tillämpas och utgör från detta datum den generella regleringen av personupp- giftsbehandling inom EU (se avsnitt 4.4 för en närmare beskrivning av förordningen och dess innehåll). Förordningen är i alla delar bindande och direkt tillämplig i samtliga medlemsstater. Några åt- gärder för att implementera förordningen krävs inte. Det materiella tillämpningsområdet för dataskyddsförordningen omfattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (se artikel 2.1). Vissa undantag från tillämpningsområdet görs dock. Exempelvis ska behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten inte heller omfattas av förordningens bestämmelser (se artikel 2.2). Dataskyddsutredning- en (se nedan) har dock föreslagit att förordningens tillämpnings- område i svensk rätt ska utvidgas till att även omfatta behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten. Ytterligare ett viktigt undantag från dataskyddsförordningens tillämp- ningsområde, som vi återkommer till i det följande, består dessutom i den personuppgiftsbehandling där i stället dataskyddsdirektivets bestämmelser ska tillämpas. Även om förordningens direkta tillämplighet innebär att den ska tillämpas precis som om den vore svensk lag, innehåller den en del bestämmelser som ger utrymme för kompletterande regler. Av för- ordningen framgår bl.a. att (se skäl 10) vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i förordningen ska tillämpas. Förord- ningen ger därigenom medlemsstaterna möjlighet att i sektorsspeci- fika lagar specificera vissa bestämmelser och utesluter inte att det i den nationella rätten fastställs närmare omständigheter för specifika situationer där uppgifter behandlas. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom med- lemsstaternas nationella rätt, kan medlemsstaterna, i den utsträck- ning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (se skäl 8). har haft regeringens uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till (se av- snitt 4.5). Utredningen har lämnat ett förslag till dataskyddslag, med tillhörande förslag till förordning och föreslagit att per- sonuppgiftslagen och personuppgiftsförordningen (1998:1191) ska I sitt betänkande Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39) har ut- redningen dessutom föreslagit att dataskyddsförordningens bestäm- melser i svensk rätt ska vara tillämpliga även på personuppgifts- behandling i verksamhet som inte omfattas av unionsrätten, t.ex. i verksamhet som rör nationell säkerhet eller verksamhet som omfattas av EU:s gemensamma utrikes- och säkerhetspolitik. I dataskyddslagen har samlats de kompletterande bestämmelser till dataskyddsförordningen som behövs och som är av mer generell karaktär, i betydelsen att de rör flertalet myndigheter och andra aktörer. I viss mån gör dataskyddsförordningen, som vi tidigare nämnt, det möjligt för medlemsstaterna att behålla eller införa mer specifika undantag eller kompletteringar till förordningen. För att lämpliga avvägningar ska kunna göras mellan skyddet för den en- skildes personliga integritet och behovet av att kunna behandla per- sonuppgifter, krävs överväganden som tar särskild hänsyn till för- hållandena i en viss typ av verksamhet. I syfte att göra det möjligt att behålla eller införa särbestämmelser i form av registerförfatt- ningar, föreslår därför att dataskyddslagen ska vara subsidiär. Bestämmelser i såväl lagar som förordningar har därigenom företräde framför den generella reglering som dataskydds- lagen innebär. Av 3 § dataskyddslagen framgår således att om en annan lag eller en förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskydds- lagen, tillämpas den andra bestämmelsen. Principen om unionsrättens företräde innebär dock att en bestämmelse i en registerförfattning får tillämpas endast om den är förenlig med dataskyddsförordningen och avser en fråga som enligt förordningen får särregleras eller speci- ficeras i medlemsstaternas nationella rätt. Utgångspunkten för behandling av personuppgifter vid RMV är att sådan behandling omfattas av dataskyddsförordningens bestäm- melser och kompletteras av dataskyddslagen, med möjlighet att genom en särskild författning om dataskydd vid RMV avvika från dataskyddsförordningens och dataskyddslagens bestämmelser i den mån förordningen medger sådana avvikelser. För RMV:s del finns emellertid ett mycket viktigt undantag från denna utgångspunkt. I en relativt stor andel av ärendena vid myn- digheten kommer det i stället att vara dataskyddsdirektivets bestäm- melser om behandling av personuppgifter, genomförda i brotts- datalagen, som styr hur personuppgifter får behandlas vid verket. Dataskyddsdirektivet innehåller (se artikel 1.1) bestämmelser om skydd för fysiska personer med avseende på behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, inklusive att skydda mot samt förebygga och för- hindra hot mot den allmänna säkerheten. Direktivet ska tillämpas på behandling av personuppgifter som utförs av behöriga myndig- heter för de ändamål som anges i artikel 1.1 (se artikel 2.1). Det är tillämpligt på behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt på annan behandling än automa- tiserad behandling av personuppgifter som ingår i eller kommer att ingå i ett register (se artikel 2.2). Direktivet är däremot inte tillämp- ligt på behandling av personuppgifter som utgör ett led i en verksam- het som inte omfattas av unionsrätten eller som utförs av unionens institutioner, organ och byråer (se artikel 2.3). Ett bakomliggande syfte med dataskyddsdirektivets bestämmel- ser är att uppnå effektivitet på det straffrättsliga området, som en enhetlig och hög skyddsnivå för fysiska personers person- uppgifter ska upprätthållas. Direktivet framhåller att det är av av- görande betydelse för att säkerställa ett effektivt straffrättsligt sam- arbete och polissamarbete att man kan upprätthålla en enhetlig och hög skyddsnivå för fysiska personers personuppgifter och under- lätta utbytet av personuppgifter mellan behöriga myndigheter i med- lemsstaterna (se skäl 7). Utredningen om 2016 års dataskyddsdirektiv har haft regeringens uppdrag att föreslå hur direktivet ska genomföras i svensk rätt. Direktivet ska enligt utredningens förslag (se delbetänkandet Brotts- datalag, SOU 2017:29) genomföras i huvudsak genom brottsdata- lagen, som har karaktären av en ramlag. Brottsdatalagen gäller således för (se 1 kap. 2 §) behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Den gäller också för behandling av personupp- gifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Brottsdatalagen är, liksom dataskyddslagen, subsidiär. I den mån det för en myndighet som bedriver verksam- het inom brottsdatalagens tillämpningsområde finns en registerför- fattning med bestämmelser som avviker från brottsdatalagen, ska därför denna registerförfattning tillämpas (se 1 kap. 5 § brottsdata- lagen). Dataskyddsdirektivet hindrar inte, som vi nämnt i avsnitt 6.3.2, medlemsstaterna från att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet för skyddet av den registrerades rättig- heter och friheter med avseende på behöriga myndigheters behand- ling av personuppgifter (se artikel 1.3). Vi återkommer i avsnitt 6.5 till frågan om i vilken utsträckning brottsdatalagen utnyttjar denna möjlighet och i vilken mån registerförfattningen för RMV bör innehålla särbestämmelser i förhållande till brottsdatalagen. 6.4.4I vilket syfte behandlingen av personuppgifter vid utförs avgör vilket regelverk som ska tillämpas RMV kommer, liksom flera andra myndigheter som bedriver verk- samhet som kan omfattas av dataskyddsdirektivets och brottsdata- lagens regelverk, att ställas inför vissa gränsdragningsproblem. Den verksamhet som bedrivs vid RMV omfattar ett flertal olika aktivitet- er för vilka det förefaller klart att de som huvudregel inte har något samband med att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Däribland finns exempelvis det rättsgenetiska verksam- hetsområdets arbete med släktskaps- eller faderskapsanalyser, till- varatagandet av vävnader för transplantationsändamål inom det rätts- medicinska verksamhetsområdet och de toxikologiska analyser som på det rättskemiska verksamhetsområdet genomförs på uppdrag av hälso- och sjukvården. För sådan behandling som inte faller inom dataskyddsdirektivets tillämpningsområde, ska dataskyddsförord- ningen tillämpas. Vid RMV bedrivs emellertid också verksamhet som kan omfattas av dataskyddsdirektivets, och därigenom brottsdatalagens, tillämp- ningsområde. Det är en fråga för rättstillämpningen, i det enskilda fallet den handläggande tjänstemannen, att avgöra vilka regler för dataskydd som ska tillämpas i ett enskilt ärende. Eftersom dataskyddsförordningen, med några undantag som inte är relevanta i detta sammanhang, är tillämplig på all behandling av personuppgifter som inte omfattas av dataskyddsdirektivets be- stämmelser, är det nödvändigt att tydligt avgränsa tillämpningsom- rådet för brottsdatalagen. Som vi nämnt ovan, är ramlagen tillämplig för behandling av personuppgifter som utförs av behöriga myndig- heter i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott eller verkställa straffrättsliga på- följder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Av central betydelse är således om den myndighet som behandlar personuppgifterna är att betrakta som behörig myndighet och om behandlingen utförs i något eller några av de syften som anges i dataskyddsdirektivet och brottsdatalagen. Ramlagen definierar (se 1 kap. 6 §) behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säker- het. Som behörig myndighet ska också förstås en annan aktör som utövar myndighet för något av de syften som nämnts. Myndig- heter som arbetar med bl.a. brottsbekämpande och brottsutredande verksamhet, som exempelvis eller Åklagarmyndig- heten, behöver ibland stöd från myndigheter med annan kompetens än som finns inom den egna verksamheten. Det kan röra sig om medicinsk, psykiatrisk eller viss forensisk kompetens. De myndig- heter som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör anses som behöriga myndigheter när de utför dessa uppgifter. För behand- ling av personuppgifter ska i dessa fall brottsdatalagen tillämpas (se SOU 2017:29, s. 183). RMV ansvarar (se 1 § förordningen [2007:976] med instruktion för ) för rättspsykiatrisk, rättskemisk, rätts- medicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. Verket ska bl.a. (se 2 § i instruktionen) ansvara för rättspsykiatriska under- sökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. (personutrednings- lagen), rättsmedicinska obduktioner och andra rättsmedicinska under- sökningar, utfärdande av intyg enligt lagen (2005:225) om rättsintyg i anledning av brott, rättsmedicinsk medverkan på begäran av dom- stol, allmän åklagare, eller Säkerhetspolisen, rätts- kemiska och rättsgenetiska undersökningar, rättsmedicinska ålders- bedömningar samt utredningar om risk för återfall i brottslighet enligt lagen (2006:45) om omvandling av fängelse på livstid. Den verksamhet som bedrivs vid RMV är av central betydelse för den brottsutredande verksamheten vid och hos allmän åklagare, men också t.ex. för domstolarnas påföljdsbestäm- ning i mål där fråga är om den tilltalade kan dömas till fängelse eller om påföljden i stället bör vara rättspsykiatrisk vård. RMV:s ställning är unik på det viset att många av de uppgifter som verket svarar för inte kan genomföras av någon annan aktör. Samarbetet med de myn- digheter som lämnar uppdrag till RMV är nära. RMV har således en mycket viktig funktion att fylla på det straffrättsliga området, men myndigheten är en självständig aktör och kan inte med självklarhet klassificeras som ett led i en brottsförebyggande, brottsutredande eller brottsbekämpande verksamhet. RMV har en roll av en självstän- dig och oberoende expertmyndighet, fristående från sina uppdrags- givare, som myndigheten inte bedriver någon egeninitierad utredningsverksamhet, utan arbetar inom de ramar som uppdrags- givarna sätter upp när de vänder sig till RMV med en begäran. I RMV:s instruktion finns inget uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Vid utförandet av de uppgifter som nämnts kan RMV dock sägas fylla en stödfunktion för den brottsbekämpande eller brottsutredande verksamhet som bedrivs vid främst och . Även när det gäller domstolarnas påföljdsbestämning kan RMV:s verksamhet med att genomföra rättspsykiatriska undersökningar, i den mån detta är aktuellt i ett mål, sägas utgöra en stödfunktion i syfte att lagföra brott. I ärenden vid RMV där det bakomliggande syftet med be- handlingen är de ändamål som anges i 1 kap. 2 § brottsdatalagen, att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, är därför data- skyddsdirektivet och brottsdatalagen tillämpliga. Så är även fallet då det bakomliggande syftet är att upprätthålla allmän ordning och säkerhet, men sådana ärenden förekommer i princip aldrig (se av- snitt 6.5.5) vid RMV. RMV har möjlighet att genom avtal uppdra åt personer utanför myndigheten att fullgöra uppgifter som åvilar verket. Så kan exempelvis ske när det gäller rättsintyg. Enligt 2 § lagen om rättsintyg i anledning av brott ska rättsintyg inhämtas från läkare vid rättsmedicinsk avdelning inom RMV eller läkare som enligt avtal med verket har åtagit sig att utfärda sådana intyg. I den mån denna möjlighet utnyttjas bör, för den personuppgiftsbehandling som sker vid sådan kontrakterad verksamhet, samma bestämmelser gälla som om RMV utfört uppdraget. Vi instämmer således i den bedömning av vilka bestämmelser som är tillämpliga vid RMV:s behandling av personuppgifter som Utredningen om 2016 års dataskyddsdirektiv har gjort (se SOU 2017:29, s. 189). Att RMV, när verket behandlar personuppgifter i något av de syften som omfattas av dataskyddsdirektivet, som utgångspunkt ska tillämpa brottsdatalagen, stämmer väl överens med det bakomlig- gande syftet med dataskyddsdirektivet (se avsnitt 6.4.3). Genom en sådan tillämpning kan behandlingen av personuppgifter genom hela brottmålsprocessen omfattas av samma regler och samma skyddsnivå kan säkerställas mellan de olika myndigheter som är involverade. En konsekvens av att det är syftet med behandlingen som avgör vilket regelverk som är tillämpligt för en viss personuppgiftsbehand- ling vid RMV, är att om detta syfte ändras, ändras också valet av tillämpliga bestämmelser. Som exempel kan nämnas obduktioner som genomförs vid RMV. En obduktion kan vara rättsmedicinsk eller klinisk (se avsnitt 6.4.5). En rättsmedicinsk obduktion kan utföras i bl.a. de fall då det finns en misstanke om att ett dödsfall har sam- band med ett brott. Behandlingen av personuppgifter i ett sådant rättsmedicinskt obduktionsärende, ska följa dataskyddsdirektivets reglering. Skulle obduktionen visa att den undersökte avlidit av exempelvis sjukdom och det inte längre finns någon misstanke om brott, är syftet med behandlingen av personuppgifter inte längre sådant som avses i dataskyddsdirektivet och brottsdatalagen. Den behandling av personuppgifter som är nödvändig för att avsluta ären- det, får göras enligt de bestämmelser som var tillämpliga då ärendet inleddes, dvs. de bestämmelser som har sitt ursprung i dataskydds- direktivet. Behandlingen av personuppgifter som sker i samband med att RMV lämnar sin rapport till den uppdragsgivande myndigheten är således fortfarande direktivsstyrd. Om däremot ytterligare åtgärder ska vidtas, utöver att avsluta ärendet, ska för en eventuell sådan fortsatt behandling av personuppgifter i stället dataskyddsförord- ningen tillämpas. För arkiveringsändamål gäller dataskyddsförord- ningen. Även andra myndigheter, förutom RMV, kommer att ställas inför liknande problematik. Så är exempelvis fallet, som Utredningen om 2016 års dataskyddsdirektiv framhållit, om tar en viss mängd vitt pulver i beslag i tron att det är fråga om narkotika. Om pulvret efter analys visar sig vara något som inte är straffbart att inneha, är brottsdatalagen inte längre tillämplig. Utöver den behand- ling av personuppgifter som är nödvändig för att avsluta ärende, får uppgifterna inte längre behandlas i den brottsbekäm- pande verksamheten (se SOU 2017:29, s. 185). 6.4.5Några exempel på vilket regelverk som regelmässigt bör tillämpas i vissa ärendetyper På det rättsmedicinska området utgörs verksamheten, som vi tidigare anfört, bl.a. av genomförandet av obduktioner. Rättsmedicinska obduktioner utförs på uppdrag av eller allmän åklagare. Vid majoriteten av de rättsmedicinska obduktionerna är syftet med personuppgiftsbehandlingen sådant att det faller inom dataskyddsdirektivets tillämpningsområde. En rättsmedicinsk obduk- tion kan genomföras bl.a. i de fall då det kan antas vara av betydelse för utredningen av ett dödsfall som inträffat under sådana omstän- digheter att det inte skäligen kan bortses från möjligheten att döds- fallet har samband med ett brott. Det kan också vara aktuellt om det kan misstänkas ha förekommit fel eller försummelse inom hälso- och sjukvården. Behandling av personuppgifter i samband med så- dana obduktioner faller under dataskyddsdirektivets tillämpnings- område. Rättsmedicinska obduktioner kan också genomföras om ett döds- fall kan antas ha orsakats av yttre påverkan och undersökningen behövs för att fastställa dödsorsaken eller vinna upplysningar av sär- skild vikt för miljöskydd, arbetarskydd, trafiksäkerhet eller annat liknande intresse. Det bakomliggande syftet med en sådan obduktion varierar. Det kan tänkas att det vid en obduktion som exempelvis genomförs efter dödsfall i trafiken finns misstanke om trafikbrott eller att det vid en obduktion efter en arbetsplatsolycka finns miss- tanke om arbetsmiljöbrott. Obduktionen kan då vara ett led i en brottsutredning och syftet med personuppgiftsbehandlingen faller därmed under dataskyddsdirektivets tillämpningsområde och brotts- datalagens bestämmelser aktualiseras. En rättsmedicinsk undersökning får också göras för att fastställa en avlidens identitet. I de fall då det från början står klart att det inte finns någon brottsmisstanke, som exempelvis var fallet vid RMV:s identifieringsarbete efter flodvågskatastrofen i , ska dataskyddsförordningen tillämpas på personuppgiftsbe- handlingen. I andra fall, där ett identifieringsärende kan involvera brottsmisstanke, är brottsdatalagen tillämplig. Kliniska obduktioner utförs på uppdrag av en vårdgivare. En sådan obduktion får bl.a. genomföras om det behövs för att fastställa döds- orsaken eller vinna viktig kunskap om sjukdom som den avlidne haft. Utgångspunkten vid behandling av personuppgifter som sker i ärenden om kliniska obduktioner är att behandlingen inte utförs i något sådant syfte som anges i dataskyddsdirektivet och brottsdata- lagen. Dataskyddsförordningen är då tillämplig.