sou · H5B380 · 2017-10-25 00:00:00 — Rättsmedi- cinska åldersbedömningar på uppdrag av domstol, allmän åklagare, eller Säkerhetspolisen styrs också av brottsdata- lagens bestämmelser tillsammans med 2 kap. i datalag. 3 § Personuppgifter som behandlas enligt 2 § får även behandlas om det behövs 1.för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, eller 2.för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i och rådets förordning (EU) 2016/679. Att personuppgifter även får behandlas för andra ändamål framgår av artiklarna 5.1 b och 6.4 i och rådets förordning (EU) 2016/679. Paragrafen reglerar tillsammans med 2 och 4 §§ de tillåtna rättsliga grunderna för RMV:s behandling av personuppgifter inom data- skyddsförordningens tillämpningsområde. Utredningens övervägan- den finns i avsnitt 6.5.9. I paragrafens första stycke finns en upplysning om att lag eller förordning kan fastställa en skyldighet att lämna uppgifter. RMV får behandla personuppgifter för att fullgöra en sådan uppgiftsskyl- dighet. Dessutom innehåller förevarande bestämmelse en upplysning om att behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller sta- tistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordning- en inte ska anses vara oförenlig med de ursprungliga ändamålen med behandlingen. Paragrafens andra stycke upplyser om att personuppgifter även får behandlas för vissa andra ändamål, enligt artiklarna 5.1 b och 6.4 i dataskyddsförordningen. 4 § Personuppgifter får även behandlas för de ändamål som framgår av 3 § första stycket när de vid behandlas eller har be- handlats med stöd av brottsdatalagen (2018:000) eller 2 kap. denna lag. Paragrafen reglerar tillsammans med 2 och 3 §§ de tillåtna rättsliga grunderna för RMV:s behandling av personuppgifter inom data- skyddsförordningens tillämpningsområde. Utredningens övervägan- den finns i avsnitt 6.5.9. Personuppgifter som behandlas eller har behandlats med stöd av brottsdatalagen (2018:000) eller 2 kap. i förevarande lag, får behand- las med stöd av dataskyddsförordningen och 3 kap. i denna lag, i de fall då sådan behandling behövs för att fullgöra uppgiftslämnande enligt lag eller förordning, eller för vissa arkivändamål. 5 § Känsliga personuppgifter i bild får, utöver vad som framgår av 1 § 3, behandlas i verksamhet. Paragrafen reglerar RMV:s möjlighet att behandla känsliga person- uppgifter i bild. Utredningens överväganden finns i avsnitt 6.5.10. Känsliga personuppgifter förekommer i mycket stor utsträckning vid RMV. För behandling av känsliga personuppgifter gäller, för- utom dataskyddsförordningen, som utgångspunkt bestämmelser i lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen), om sådan behandling. Därut- över finns ett behov för RMV att behandla känsliga personupp- gifter i bild. Genom förevarande paragraf införs en sådan möjlighet. 6 § Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar sådana känsliga personuppgifter som anges i artikel 9.1 i och rådets förordning (EU) 2016/679. Användning av särskilda beteckningar för identifiering av en viss ärende- typ som sökbegrepp omfattas inte av förbudet i första stycket. Förbudet i första stycket gäller inte vid sökning i en viss handling eller i ett visst ärende. Paragrafen innehåller tillsammans med 7 § bestämmelser om sökning i personuppgifter. Utredningens överväganden finns i avsnitt 6.5.10. Paragrafens första stycke innebär att det vid sökning i personupp- gifter är förbjudet att som sökbegrepp använda uppgifter som av- slöjar sådana känsliga personuppgifter som anges i artikel 9.1 i data- skyddsförordningen. Känsliga personuppgifter är uppgifter som rör ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter om hälsa, sexualliv eller sexuell läggning. Även genetiska uppgifter och bio- metriska uppgifter utgör känsliga personuppgifter. Dataskyddsför- ordningen innehåller i artikel 9.1 ett förbud mot att behandla käns- liga personuppgifter. Bestämmelsen är direkt tillämplig och gäller i medlemsstaterna utan några vidare åtgärder, men från förbudet finns undantag som gör det möjligt att i vissa fall behandla känsliga per- sonuppgifter. Medlemsstaterna får också behålla eller införa ytter- ligare villkor, även begränsningar, för behandling av känsliga person- uppgifter. Genom bestämmelsen i 1 § är regleringen i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) av känsliga personuppgifter, såvitt avser 3 kap. 1– 3 §§, 5 §, 6 § första stycket och 7 § nyssnämnda lag, tillämpliga vid RMV:s personuppgiftsbehandling enligt förevarande lag. lagen innehåller i 3 kap. 4 § ett sökförbud. Detta förbud är däremot inte tillämpligt för RMV:s del. Sökförbudet i aktuell paragrafs första stycke är generellt och mer omfattande än 3 kap. 4 § dataskydds- lagen. De undantag från förbudet som är nödvändiga för RMV:s verksamhet framgår av andra och tredje styckena, liksom av 7 §. Paragrafens andra stycke innehåller undantag från sökförbudet i första stycket. Sökförbudet hindrar inte användningen av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp. Det kan exempelvis röra sig om ärendekoder som används för att klassificera en viss ärendetyp. I paragrafens tredje stycke slås fast att sökförbudet inte heller gäller vid sökning i en viss handling eller i ett visst ärende. 7 § Förbudet i 6 § första stycket gäller inte vid sökningar som grundar sig på hälsa, biometriska uppgifter som används för att identifiera en person eller genetiska uppgifter. Det är också tillåtet att göra sökningar som rör brott eller misstanke om brott. Sökförbudet i 6 § första stycket hindrar inte att uppgifter som beskriver en persons utseende används vid sökning. Paragrafen innehåller tillsammans med 6 § bestämmelser om sökning i personuppgifter. Utredningens överväganden finns i avsnitt 6.5.10. I paragrafens första stycke görs undantag från sökförbudet i 6 § såvitt gäller hälsa, biometriska uppgifter som används för att identi- fiera en person och genetiska uppgifter. Sådana sökningar får således utföras av RMV. Bestämmelsen innebär inte någon förändring i förhållande till vad som gäller . Paragrafens andra stycke innebär att det är tillåtet att göra sök- ningar som rör brott eller misstanke om brott. Personuppgifter som rör lagöverträdelser är inte känsliga personuppgifter i dataskydds- förordningens mening. Av artikel 10 i förordningen framgår dock att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter fastställs. Genom bestämmelsen i förevarande stycke uppfylls kravet i artikel 10 och RMV tillskapas en möjlighet att använda sökbegrepp som avser brott eller misstanke om brott. I aktuellt stycke anges också att sökförbudet i 6 § första stycket inte hindrar att uppgifter som beskriver en persons utseende används vid sökning. För användning av motsvarande sökbegrepp vid den personuppgiftsbehandling som vid RMV sker inom brottsdatalagens (2018:000) tillämpningsområde, finns bestämmelser i 2 kap. 5 §. 8 § Tillgången till personuppgifter ska begränsas till det som varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar tillgången till personuppgifter inom RMV. Ut- redningens överväganden finns i avsnitt 6.5.14. Paragrafen innebär att RMV är skyldig att se till att anställda och andra som deltar i arbetet vid verket, t.ex. praktikanter eller inhyrd personal, endast ges tillgång till personuppgifter i den utsträckning som krävs för att de ska kunna fullgöra sina arbetsuppgifter. Be- stämmelsen syftar till att begränsa spridningen av särskilt integritets- känslig information, men omfattar all personuppgiftsbehandling vid RMV. För den personuppgiftsbehandling vid verket som sker inom brottsdatalagens (2018:000) tillämpningsområde finns en motsvar- ande bestämmelse i 3 kap. 6 § nyssnämnda lag. Hur arbetet med att begränsa tillgången till personuppgifter bör bedrivas inom RMV får bl.a. bedömas med utgångspunkt i vilka behov av personupp- giftsbehandling som finns och hur verkets it-system är utformade. Av 13 § framgår att regeringen eller den myndighet som regeringen bestämmer, kan meddela närmare föreskrifter om tillgången till per- sonuppgifter. 9 § Om den personuppgiftsansvarige bryter mot bestämmelser för be- handling av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet anmäla det till tillsynsmyndigheten. Paragrafen inför en skyldighet för dataskyddsombud att till tillsyns- myndigheten anmäla brister. Utredningens överväganden finns i avsnitt 6.5.14. Dataskyddsförordningen innehåller i artikel 37.1 a en skyldighet för myndigheter att utse ett dataskyddsombud. RMV är således skyldig att utse ett dataskyddsombud. Så är fallet även inom brotts- datalagens (2018:000) tillämpningsområde, vilket framgår av 3 kap. 13 § nyssnämnda lag. Av 3 kap. 15 § brottsdatalagen framgår att ett dataskyddsombud har en skyldighet att till tillsynsmyndigheten an- mäla om den personuppgiftsansvarige bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Bestämmel- sen är mer långtgående än vad dataskyddsdirektivet kräver. Genom förevarande paragraf införs motsvarande anmälningsskyldighet för dataskyddsombudet om RMV vid behandling av personuppgifter med stöd av dataskyddsförordningen bryter mot bestämmelser och inte vidtar rättelse. Dataskyddsombudets skyldigheter är därigenom desamma på respektive område. Om RMV inte följer regelverket för behandling av personuppgifter, ska dataskyddsombudet agera. I första hand bör dataskyddsombudet påpeka det för myndigheten, som ges möjlighet att åtgärda bristen. Om så inte sker, ska bristen anmälas till tillsynsmyndigheten. Dataskyddsombudets skyldighet att agera är lagreglerad och att ett anställt dataskyddsombud gör en anmälan, får inte leda till några arbetsrättsliga konsekvenser. Elektroniskt utlämnande av personuppgifter 10 § Personuppgifter får lämnas ut elektroniskt, om det inte är olämp- ligt. Utlämnande får dock inte ske i form av direktåtkomst. Paragrafen reglerar i vilka fall personuppgifter får lämnas ut elektro- niskt. Utredningens överväganden finns avsnitt 6.5.11. Paragrafens innehåll är identiskt med 2 kap. 6 §. Vad som sägs där, är tillämpligt även för förevarande paragraf. 11 § Om någon begär information och uppgifter enligt artikel 15 i Europa- parlamentets och rådets förordning (EU) 2016/679 oftare än en gång , får ta ut en rimlig avgift eller avslå begäran. Paragrafen innebär en begränsning av rätten till avgiftsfri informa- tion. Utredningens överväganden finns i avsnitt 6.5.14. Den registrerades rätt till viss information framgår av artikel 15 i dataskyddsförordningen. Artikel 23 i förordningen innebär en möjlig- het att i nationell rätt införa bestämmelser som begränsar denna rätt. På brottsdatalagens (2018:000) område finns en bestämmelser i 4 kap. 12 § i nyssnämnda lag, som gör det möjligt att ta ut en rimlig avgift eller avslå en begäran om information, om en sådan begäran framställs oftare än en gång . Genom förevarande paragraf har RMV motsvarande möjlighet när det gäller information på det om- råde där dataskyddsförordningen styr personuppgiftsbehandlingen. Utgångspunkten bör vara att RMV i första hand tar ut en avgift och i andra hand avslår begäran om information. Vilken åtgärd som är lämpligast får avgöras med utgångspunkt i omständigheterna i det enskilda fallet. Avgörande vid denna bedömning är bl.a. hur många framställningar om information som personen har gjort och hur som har gått sedan den senaste framställan gjordes. Även omständigheter som hur preciserad eller komplicerad begäran är och vilka skäl som anges för begäran kan vara av betydelse. Om RMV avser att ta ut en avgift, bör verket först meddela den som begärt informationen detta och fråga om vederbörande vidhåller sin begäran. Avgiften ska vara rimlig. Detta innebär att den inte bör överstiga de faktiska administrativa kostnaderna för att lämna ut informationen. Begränsning av rätten till information 12 § Bestämmelserna om den registrerades rätt enligt artikel 34 i Europa- parlamentets och rådets förordning (EU) 2016/679 att få information om en personuppgiftsincident, gäller inte om , enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. Paragrafen reglerar i vilka fall information till registrerade får be- gränsas. Utredningens överväganden finns i avsnitt 6.5.14. Artikel 34 i dataskyddsförordningen innebär en skyldighet för den personuppgiftsansvarige att under vissa förutsättningar infor- mera om en personuppgiftsincident. Informationsskyldigheten kan begränsas med stöd av artikel 23 i förordningen. informationsskyldigheten gäller enligt 3 kap. 11 § brottsdatalagen (2018:000). Genom förevarande paragraf införs motsvarande begräns- ning för RMV när det gäller dataskyddsförordningens tillämpnings- område. RMV får underlåta att informera om en personuppgiftsincident om verket, enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. Bestämmelsen aktualiseras främst då sekretess eller tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) gäller. I sådana situationer bör i första hand informationen senare- läggas eller begränsas. Om det är absolut nödvändigt, får RMV helt underlåta att informera den registrerade. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om 1.begränsningar av möjligheten att använda de uppgifter som anges i 7 § vid sökning i personuppgifter, 2.tillgången till personuppgifter enligt 8 §, och 3.begränsningar av möjligheterna enligt 10 § att lämna ut personupp- gifter elektroniskt. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om begräns- ningar av möjligheten att använda de sökbegrepp som anges i 7 §, tillgången till personuppgifter enligt 8 §, och om begränsningar av möjligheterna enligt 10 § att lämna ut personuppgifter elektroniskt. Utredningens överväganden finns i avsnitt 6.5.12. 1.Denna lag träder i kraft . 2.Sanktionsavgift enligt 2 kap. 7 § och 3 kap. 1 § 7 får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 3.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats vid behandling av person- uppgifter före ikraftträdandet. Utredningens överväganden finns i avsnitt 6.5.15. Punkten 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet. Bestämmelsen slår så- ledes fast att sanktionsavgift inte får beslutas för en överträdelse som har begåtts före ikraftträdandet, även om sanktionsavgift skulle betraktas som en mildare åtgärd än ett straff. Punkten 3 innebär att bestämmelserna om skadestånd i 48 § personuppgiftslagen (1998:204) fortfarande ska gälla för skada som har orsakats vid behandling av personuppgifter inom denna lags tillämpningsområde före ikraftträdandet. 13.2Förslaget till lag (2018:000) om elimineringsdatabas 1 § får föra ett register över dna-profiler i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser (elimineringsdatabasen) i enlighet med denna lag. Uppgifter i elimineringsdatabasen får endast behandlas för att upptäcka och utreda kontamineringar vid dna-analyser. I paragrafen anges att RMV får föra ett register över dna-profiler kallat elimineringsdatabasen. Utredningens överväganden finns i av- snitt 7.5.1. Av första stycket framgår att elimineringsdatabasen förs i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser. Något krav på att det i ett ärende där uppgifter från eliminerings- databasen används ska finnas någon misstanke om brott finns inte. Elimineringsdatabasen får dock endast användas i RMV:s rättsgene- tiska ärenden. I den mån behovet av dna-analyser och användningen av uppgifter från elimineringsdatabasen uppstår vid andra verksam- hetsområden än det rättsgenetiska, får ärendet internremitteras inom RMV. Detta innebär inte någon förändring gentemot vad som gäller . Paragrafens andra stycke anger att uppgifter i elimineringsdata- basen endast får behandlas för att upptäcka och utreda kontami- neringar vid dna-analyser. Med kontaminering avses här att dna som ska analyseras har sammanblandats med ovidkommande dna från en annan person. Kontamineringen kan ske på flera olika sätt. Dna kan exempelvis överföras från personer som utför dna-analyser. Vid en sådan analys kan kontaminering också ske om det material som används inte är dna-fritt, utan innehåller dna från t.ex. per- soner om förpackat materialet. Ytor och föremål i RMV:s rättsgene- tiska laboratorium kan också bära dna, från personer som arbetar med dna-analyser, men även från viss annan personal, som exem- pelvis lokalvårdare. Av 9 § framgår att dna-profiler som analyseras får jämföras med elimineringsdatabasen för att utesluta att provet blivit kontaminerat. Eftersom databasen endast får användas för att upptäcka och utreda kontamineringar vid dna-analyser, får upp- gifter i databasen inte användas för att utreda brott eller för andra ändamål. Innebörden av vissa uttryck 2 § I denna lag avses med dna-analys: varje förfarande som kan användas för analys av deoxyribo- nukleinsyra i humant material, och dna-profil: resultatet av en dna-analys som presenteras i form av siffror eller bokstäver. I paragrafen definieras begreppen dna-analys och dna-profil. Utred- ningens överväganden finns i avsnitt 7.5.2. Begreppen har samma betydelse som i polisdatalagen (2010:361). Förhållandet till datalag (2018:000) och annan personuppgiftsreglering 3 § Denna lag gäller utöver datalag (2018:000). och rådets förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsför- ordning och brottsdatalagen (2018:000), ska för elimineringsdatabas tillämpas på motsvarande sätt som enligt Rätts- medicinalverkets datalag gäller för övrig personuppgiftsbehandling vid myndigheten. I paragrafen tydliggörs lagens förhållande till datalag (2018:000) och andra bestämmelser som reglerar behandling av personuppgifter. Utredningens överväganden finns i avsnitt 7.5.3. Av paragrafens första stycke framgår att lagen gäller utöver Rätts- medicinalverkets datalag. Det innebär att data- lag gäller för personuppgiftsbehandlingen som sker i anslutning till elimineringsdatabasen. Behandling av personuppgifter förekommer dels vid tagande av prov till elimineringsdatabasen, dels vid varje åtgärd som vidtas med de dna-profiler som finns i databasen. Paragrafens andra stycke slår fast att för personuppgiftsbehandlingen ska dataskyddsförordning- en, lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och brottsdatalagen (2018:000) tillämpas på samma sätt som enligt datalag gäller för personuppgiftsbehandlingen i stort vid verket. Gränsdragningen mellan när vilket regelkomplex är tillämpligt, be- handlas i avsnitt 6.4. 4 § är personuppgiftsansvarig för behandling av personuppgifter i elimineringsdatabasen. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Ut- redningens överväganden finns i avsnitt 7.5.4. RMV är personuppgiftsansvarig för den behandling av person- uppgifter som myndigheten utför med uppgifter i elimineringsdata- basen. 5 § Elimineringsdatabasen får innehålla dna-profiler från personer som anges i 6 och 7 §§ och som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riskerar att kontaminera dessa. En dna-profil som registreras i databasen får endast ge information om identitet. Utöver dna-profiler får elimineringsdatabasen innehålla uppgifter om vem dna-profilen avser. Databasen får också innehålla dna-profiler som har påträffats vid en dna-analys och som inte kan hänföras till en identifierad person. I paragrafen regleras innehållet i elimineringsdatabasen. Utredning- ens överväganden finns i avsnitt 7.5.5. I första stycket anges att elimineringsdatabasen får innehålla dna- profiler från personer som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där så- dana analyser utförs riskerar att kontaminera dessa. Av 6 och 7 §§ framgår vilka personer som avses och att dessa är skyldiga att lämna prov till databasen. Paragrafens andra stycke föreskriver att dna-profiler som registre- ras endast får ge information om identitet, dvs. vem dna-profilen avser. Det är tillåtet att det från dna-profilen går att utläsa om det i profilen ingår X- eller Y-kromosomer, vilket ger information om kön. Vidare framgår att elimineringsdatabasen får innehålla uppgift om vem dna-profilen avser. Regeringen eller den myndighet som reger- ingen bestämmer kan med stöd i 12 § meddela föreskrifter bl.a. om vilka som ska ha tillgång till elimineringsdatabasen. Härigenom kan den personkrets som har tillgång till identitetsuppgifterna i elimi- neringsdatabasen begränsas. Av tredje stycket framgår att elimineringsdatabasen får innehålla dna-profiler som härrör från s.k. okända kontamineringar, dvs. pro- filer som har påträffats vid en analys och som inte härrör från den person vars dna analyseras och inte heller finns i elimi- neringsdatabasen. 6 § Anställda vid och andra som återkommande kan komma i kontakt med och därigenom riskerar att kontaminera mate- rial som används vid dna-analys, prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs, är skyldiga att lämna prov för dna- analys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. Paragrafen reglerar, tillsammans med 7 §, vilka personkategorier som är skyldiga att lämna dna-prov till elimineringsdatabasen. Utred- ningens överväganden finns i avsnitt 7.5.6. Skyldigheten att lämna prov till elimineringsdatabasen gäller för personer som återkommande riskerar att kontaminera material, prover eller lokaler. Det rör sig i första hand om anställda vid . Skyl- digheten att lämna prov gäller dock inte för samtliga av myndig- hetens anställda utan är begränsad till de personer som kan komma i kontakt med och därigenom riskerar att kontaminera material, prover eller lokaler. Sådana anställda ska lämna prov för registrering i elimineringsdatabasen oavsett vilken befattning inom RMV de har och oberoende av vilken organisatorisk tjänsteplacering de har. Även andra än anställda vid kan omfattas av en skyldighet att lämna prov till elimineringsdatabasen. Det rör sig exempelvis om lokalvårdare och hantverkare som vistas i . Avgörande för vilka personer som ska ingå i databasen är hur stor risken för kontaminering är. Även tillfälliga besökare kan enligt 7 § vara skyldiga att lämna prov. Av 12 § framgår att regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om vilka anställda och andra personkategorier som ska ingå i eliminerings- databasen.