sou · H5B380 · 2017-10-25 00:00:00 — Även enligt nu gällande lagstiftning finns ett krav på att det alltid ska finnas en rättslig grund för behandlingen av personuppgifter. Av 10 § PuL framgår att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om be- handlingen är nödvändig för vissa särskilt angivna situationer. Där- ibland anges att behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, att en arbetsuppgift av allmänt intresse ska kunna utföras, eller att den per- sonuppgiftsansvarige ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Regleringen på dataskyddsförordningens och dataskyddsdirek- tivets respektive område skiljer sig i detta avseende åt. Medan data- skyddsförordningen innehåller en uttömmande uppräkning av de rättsliga grunderna för behandling enligt förordningen (se arti- kel 6.1), finns någon sådan uppräkning inte i dataskyddsdirektivet. För direktivets del anges i stället förutsättningarna för att en be- handling ska vara laglig (se artikel 8.1). Vi behandlar frågan om rättslig grund och ändamål för behandling av personuppgifter för vart och ett av de båda tillämpningsområdena för sig. Rättslig grund och ändamål för behandling av personuppgifter inom brottsdatalagens tillämpningsområde Vårt förslag: får behandla personuppgifter om det är nödvändigt för att myndigheten, i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller fullgöra förpliktel- ser som följer av internationella åtaganden, ska kunna utföra en arbetsuppgift i sin rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regering- en uppdragit åt att ansvara för en sådan uppgift. I lagen tas in en upplysning om att förutsättningarna för att behandla personuppgifter för nya ändamål regleras i brottsdata- lagen (2018:000). I dataskyddsdirektivet finns i artikel 8 bestämmelserna om vilken behandling av personuppgifter som är laglig. Personuppgifter får en- dast behandlas om och i den mån det är nödvändigt för att en be- hörig myndighet ska kunna utföra en arbetsuppgift för de syften som omfattas av direktivet (se artikel 1.1), dvs. i syfte att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, inklusive att skydda mot samt förebygga och för- hindra hot mot den allmänna säkerheten. Behandlingen ska ske på grundval av unionsrätt eller medlemsstaternas nationella rätt. För att uppfylla detta krav är det således nödvändigt att, i den mån det inte finns tillämpliga unionsrättsliga bestämmelser, i svensk rätt ange ramarna för när behandling av personuppgifter är tillåten. Av förslaget till brottsdatalag framgår att (se 2 kap. 1 §) person- uppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Personuppgifter får dessutom (se 2 kap. 2 § brottsdatalagen) behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Rekvisitet att personuppgiftsbehand- lingen ska vara nödvändig ska tolkas som att det är fråga om något som behövs (se SOU 2017:29, s. 237, med redogörelse för EU- domstolens dom av , Huber, C-524/06). För att RMV ska få behandla en personuppgift inom dataskydds- direktivets tillämpningsområde krävs således, enligt huvudregeln i 2 kap. 1 § brottsdatalagen, att det är nödvändigt för att RMV som behörig myndighet ska kunna utföra en arbetsuppgift i något av de syften som gör brottsdatalagen tillämplig. De arbetsuppgifter som det är fråga om ska framgå av antingen en bindande unionsrättsakt eller av en svensk författning av visst slag. Den rättsliga grunden för att RMV ska kunna lagligt behandla personuppgifter finns alltså i regleringen av myndighetens arbetsuppgifter. För RMV:s del anges i 2 § i förordningen med instruktion för vilka uppgifter verket ansvarar för. Av 3 § i instruktionen framgår dess- utom att RMV får utföra även andra uppdrag inom sitt ansvars- område, om verksamheten i övrigt medger det. Vårt förslag till lag bör innehålla en bestämmelse av innebörd att RMV får behandla personuppgifter om det är nödvändigt för att verket, i något av de syften som gör brottsdatalagen tillämplig, ska kunna utföra en sådan arbetsuppgift som myndigheten enligt sin instruktion ansvarar för. Det bakomliggande syftet med RMV:s behandling av person- uppgifter varierar, men i merparten av fallen är syftet antingen att utreda eller lagföra brott eller att verkställa en straffrättslig påföljd. Exempelvis är, när det gäller ärenden som utförs på uppdrag av Polis- myndigheten eller allmän åklagare, syftet oftast brottsutredande eller för lagförings skull. I de fall då det är fråga om rättspsykiatriska undersökningar eller s.k. § 7-intyg är det bakomliggande syftet lag- föring av brott eftersom sådana yttranden från RMV används vid påföljdsbestämningen. När RMV genomför riskbedömningar enligt lagen om omvandling av fängelse på livstid är det bakomliggande syftet i stället verkställighet av en straffrättslig påföljd. Betydligt mer sällan förekommer behandling av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. RMV:s roll som en myndighet med en stödfunktion för brotts- utredande och annan verksamhet (se avsnitt 6.4.4) innebär dock att det inte kan uteslutas att sådana syften med personuppgiftsbehand- ling kan förekomma inom ramen för de arbetsuppgifter som verket ansvarar för. Enligt vår mening bör därför bestämmelsen om rätts- lig grund för RMV:s behandling av personuppgifter inom brotts- datalagens tillämpningsområde innehålla även sådana syften. Däremot finns det inte, som vi har utvecklat i avsnitt 6.5.5, skäl att lagen ska omfatta även behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. Den rättsliga grunden bör således uttryckas som att person- uppgifter får behandlas om det är nödvändigt för att RMV, i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, ska kunna utföra en arbetsuppgift i sin rättspsykiatriska, rättskemiska, rättsmedi- cinska eller rättsgenetiska verksamhet. Det förekommer dessutom att RMV har vissa internationella förpliktelser, bl.a. i s.k. DVI- ärenden (se avsnitt 3.2) eller i rättsmedicinska uppdrag med att lämna s.k. second opinion på begäran från utlandet. I likhet med flera andra registerförfattningar på brottsdatalagens område, bör fullgörande av internationella förpliktelser vara en tillåten rättslig grund för RMV:s personuppgiftsbehandling. En upplysning om att de aktuella arbetsuppgifterna ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen upp- dragit åt RMV att ansvara för en sådan arbetsuppgift, bör också tas in i lagen. Primärt framgår dessa arbetsuppgifter av 2 och 3 §§ i RMV:s instruktion. Vi har övervägt att i förslaget till datalag för RMV i större detalj precisera de aktuella arbetsuppgifterna. Även om detta vore en fördel på så vis att det därigenom direkt ur lag- texten skulle vara möjligt att utläsa grunden för en viss personupp- giftsbehandling, skulle en sådan ordning vara mindre lämplig vid ändringar i RMV:s instruktion. Ett bakomliggande skäl till att myn- digheters närmare ansvarsområden och arbetsuppgifter vanligtvis inte preciseras i form av lag, är att det är mer ändamålsenligt att ha bestämmelser med högre detaljeringsgrad i en förordning. Ändringar i myndighetsinstruktionen kan ibland behöva göras med kort varsel, vilket för RMV:s del var fallet när det gäller uppdraget att genomföra rättsmedicinska åldersbedömningar. Om en sådan instruk- tionsändring skulle göras, finns det en risk att motsvarande författ- ningsändring i datalagen tar och att det därför kan komma att saknas rättslig grund för personuppgiftsbehandling- en. Lagen som reglerar RMV:s personuppgiftsbehandling bör mot denna bakgrund därför inte innehålla en uppräkning av verkets arbets- uppgifter. Planering, uppföljning och utvärdering av en verksamhet ska anses vara en integrerad del av själva verksamheten och inte en fristående aktivitet som behöver regleras särskilt i registerförfattningar (se Lag- rådets yttrande till prop. 2004/05:165, s. 179). Att uppgifter som får användas i verksamheten också får användas för planering m.m. behöver därför inte regleras i vårt förslag till datalag för RMV. Den omständighet att en viss behandling av personuppgifter är rättsligt grundad innebär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Dataskydds- direktivet ställer upp ett antal principer för personuppgiftsbehand- ling som, utöver kravet på rättslig grund, ska vara uppfyllda för att behandlingen ska få utföras. Av artikel 4.1 framgår bl.a. att person- uppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De personuppgifter som behandlas ska dessutom vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas. Sådana grundläggande krav på behandling av personuppgifter genomförs i brottsdatalagen genom 2 kap. 3–8 §§. Därav framgår bl.a. att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål (se 2 kap. 3 §). Innan person- uppgifter får behandlas för ett nytt ändamål ska det säkerställas att det finns en tillåten rättslig grund för den nya behandlingen och att behandlingen är nödvändig och proportionerlig för det nya ända- målet (se 2 kap. 4 §). I den mån skyldighet att lämna ut uppgifter följer av lag eller förordning behöver någon prövning av om behand- lingen är nödvändig och proportionerlig för det nya ändamålet där- emot inte göras. En prövning ska dock göras i de fall där utläm- nande görs med stöd av 6 kap. 5 § OSL. En behörig myndighet får vidare (se 2 kap. 5 §) behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål. Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt (se 2 kap. 6 §). De ska vara korrekta och, om det är nödvändigt, uppdaterade (se 2 kap. 7 §). Personuppgifter som behandlas ska dessutom vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler person- uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till dessa ändamål (se 2 kap. 8 §). När det gäller behandling av personuppgifter för ett nytt ända- mål, är även brottsdatalagens bestämmelser i 2 kap. 4 och 22 §§ av betydelse. Därav framgår att innan personuppgifter som behandlas med stöd av lagen behandlas för ett ändamål utanför lagens tillämp- ningsområde, ska det säkerställas att behandlingen är nödvändig och proportionerlig för det ändamålet. I den utsträckning en skyldighet att lämna ut uppgifter följer av lag eller förordning behöver en sådan prövning däremot inte göras. Det gäller dock inte utlämnande som sker med stöd av 6 kap. 5 § OSL. De förutsättningar som inom dataskyddsdirektivets och brotts- datalagens tillämpningsområde gäller för behandling av personupp- gifter vid RMV för annat ändamål än det ursprungliga, regleras enligt vår mening tillfyllest av brottsdatalagens bestämmelser. För tydlighets skull bör dock en upplysning tas in i vårt förslag till lag om behandling av personuppgifter vid RMV, av innebörd att förut- sättningarna för att behandla personuppgifter för nya ändamål regle- ras i brottsdatalagen. Rättslig grund och ändamål för behandling av personuppgifter på dataskyddsförordningens tillämpningsområde Vår bedömning: Den behandling av personuppgifter inom data- skyddsförordningens tillämpningsområde som vid Rättsmedicinal- verket är nödvändig, kan ske med stöd av nämnda förordning. Vårt förslag: får, under förutsättning att minst ett av de villkor som anges i artikel 6.1 i dataskyddsförord- ningen är uppfyllt, behandla personuppgifter i sin rättspsykiatri- ska, rättskemiska, rättsmedicinska och rättsgenetiska verksamhet. Personuppgifter får även behandlas om det behövs 1.för att fullgöra uppgiftslämnande som sker i överensstäm- melse med lag eller förordning, eller 2.för arkivändamål av allmänt intresse, vetenskapliga eller histo- riska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Personuppgifter får även behandlas för dessa nyssnämnda ända- mål när de vid behandlas eller har behandlats med stöd av brottsdatalagen (2018:000) eller Rättsmedicinal- verkets datalag. En upplysning om att personuppgifter enligt artiklarna 5.1 b och 6.4 i dataskyddsförordningen även får behandlas för andra ändamål ska tas in i lagen. Även dataskyddsförordningen ställer upp krav som måste vara upp- fyllda för att behandling av personuppgifter ska vara laglig. Dessa krav framgår huvudsakligen av artikel 6 och stämmer i stora drag överens med vad som gäller enligt 10 § PuL. Av artikel 6.1 framgår att behandlingen endast är laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förplik- telse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Detta led får dock inte åberopas till stöd för behandling som utförs av offentliga myn- digheter när de fullgör sina uppgifter. Uppräkningen i artikel 6.1 är uttömmande. Om inget av villkoren är uppfyllt, är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande och flera rättsliga grunder kan vara tillämpliga för en och samma behandling. Behand- lingen av en personuppgift kan exempelvis vara laglig eftersom den är nödvändig som ett led i den personuppgiftsansvariges myndig- hetsutövning, men också laglig eftersom den registrerade har lämnat sitt samtycke till behandlingen. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. Begreppet nödvändig ska inte heller enligt mening (se SOU 2017:39, s. 105 f.), precis som Utredningen om 2016 års dataskyddsdirektiv slagit fast, innebära att någonting absolut fordras eller inte kan underlåtas. Det krävs således inte att det är omöjligt att utföra en uppgift utan att behandlingsåtgärden vidtas utan är tillräckligt att en viss behand- ling bidrar till effektivitetsvinster. Liksom är fallet på dataskyddsdirektivets område, innebär inte det faktum att det finns en godtagbar rättslig grund för behandlingen att vilka uppgifter som helst får behandlas eller att behandlingen får göras på helt valfritt sätt. I artikel 5 ställs ett antal allmänna prin- ciper för behandlingen upp. Däribland kan nämnas att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Uppgifterna ska vidare vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de be- handlas. De ska vara korrekta och, om nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte senare, vilket vi återkommer till i det följande, behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Vidare får per- sonuppgifter inte förvaras än vad som är nöd- vändigt och måste behandlas på ett sätt som säkerställer lämplig säkerhet. Artiklarna 5 och 6 är grundläggande och kumulativa. Det innebär att någon av de rättsliga grunderna i artikel 6.1 måste vara tillämplig, som samtliga principer i artikel 5.1 ska följas. För RMV:s del är, förutom möjligheten att behandla person- uppgifter med stöd av samtycke, de förutsättningar som anges i leden c och e av särskilt intresse, dvs. behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personupp- giftsansvarige och behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Medlemsstaterna får (se artikel 6.2) fastställa specifika krav för uppgiftsbehandlingen och andra åtgär- der för att säkerställa en laglig och rättvis behandling för att efter- leva punkterna 6.1 c och 6.1 e. Den grund för behandlingen som avses i dessa båda punkter ska (se artikel 6.3) fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Kravet på att grunden för behandlingen ska fastställas innebär inte (se SOU 2017:39, s. 111 f.) att det krävs en särskild reglering med anledning av dataskyddsförordningens ikraftträdande . Förekomsten av en sådan reglering avgör dock i vilken utsträckning personuppgiftsansvariga kan åberopa de rättsliga grunderna i 6.1 c och 6.1 e till stöd för en behandling av personuppgifter. Kravet på att grunden för behandlingen ska vara fastställd i enlighet med unions- rätten eller den nationella rätten utgör således ett villkor som måste vara uppfyllt för att bestämmelserna i artikel 6.1 c och e ska vara tillämpliga. Rättsliga förpliktelser (6.1 c), uppgifter av allmänt intresse (6.1 e) och myndighetsutövning (6.1 e) som inte är rättsligt förank- rade i enlighet med unionsrätten eller nationell rätt, kan därmed inte åberopas som rättsliga grunder för behandling av personuppgifter. Behandling av personuppgifter enligt artikel 6.1 c är således laglig om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som är fastställd antingen i enlighet med unionsrätten eller svensk rätt och som åvilar den personuppgiftsansvarige. För artikel 6.1 e gäller att behandling av personuppgifter är laglig om behandlingen är nödvändig för att kunna utföra en uppgift av allmänt intresse som är fastställd i enlighet med unionsrätten eller svensk rätt eller om behandlingen är nödvändig som ett led i den personuppgifts- ansvariges myndighetsutövning som är fastställd i unionsrätten eller svensk rätt. Av skäl 41 till dataskyddsförordningen framgår kravet att i den mån grunden för behandling fastställs i nationell rätt, måste dessa nationella bestämmelser vara tillräckligt precisa. Förslaget till dataskyddslag innehåller i 2 kap. bestämmelser om rättslig grund. Den inledande paragrafen (2 kap. 1 §) innehåller en upplysning om att av dataskyddsförordningen framgår att person- uppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. En särbestämmelse angående barns samtycke som rättslig grund finns i 2 kap. 2 § dataskydds- lagen. För att tydliggöra tillämpningen av artikel 6.1 c anges i 2 kap. 3 § dataskyddslagen att personuppgifter får behandlas med stöd av nämnda artikel om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som gäller enligt lag eller annan författning, följer av kollektivavtal eller följer av beslut som har meddelats med stöd av lag eller annan författning. Även den rättsliga grund för behandling av personuppgifter som anges i artikel 6.1 e har gett upphov till en bestämmelse i dataskydds- lagen. Av 2 kap. 4 § framgår att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Detsamma gäller om behandlingen är nöd- vändig som ett led i den personuppgiftsansvariges myndighetsutöv- ning enligt lag eller annan författning. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och eftersom de rättsliga grunder som anges i förordningen, som vi tidigare nämnt, är uttömmande, måste den behandling av person- uppgifter som sker vid RMV ha stöd i förordningen. RMV:s instruk- tion innehåller (se 1–3 §§ förordningen med instruktion för Rätts- medicinalverket) en redogörelse för de uppgifter som myndigheten ansvarar för. Instruktionens bestämmelser är enligt vår bedömning tillräckligt precisa för att kunna läggas till grund för en laglig behand- ling av personuppgifter under de förutsättningar som gäller enligt artikel 6.1 i dataskyddsförordningen. Detta gäller således även, menar vi, 3 § i instruktionen, som anger att RMV får utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. Relevant för att avgöra vilka ärendetyper och uppdrag som kan hänföras till 3 § är 1 § i instruktionen, som anger att RMV ansvarar för rätts- psykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksam- het i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. De båda nu aktuella bestämmelserna sätter ramarna för vilka uppdrag RMV med stöd av 3 § i instruktionen kan åta sig och bestämmelsen i 3 § är därigenom tillräckligt precis för att kunna utgöra grund för personuppgiftsbehandling i de ärenden som RMV med stöd av nämnda paragraf åtar sig. För ärenden enligt 3 § gäller också i mycket stor utsträckning att den enskilde har samtyckt till behandlingen av personuppgifter, varför det finns stöd för sådan behandling även i artikel 6.1 a i dataskyddsförordningen. Den rättsliga grund för behandling av personuppgifter som i störst utsträckning kommer att vara aktuell för RMV:s del är, enligt vår bedömning, artikel 6.1 e såvitt gäller att RMV:s behandling av per- sonuppgifter för att fullgöra en uppgift enligt instruktionen, får sägas vara en uppgift av allmänt intresse. I avsaknad av vägledande domar från kring vad som utgör en uppgift av allmänt in- tresse förefaller det, enligt mening (se SOU 2017:39, s. 124), med hänsyn till svensk förvaltningstradition rimligt att anta att alla uppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse. Uppgifter som utförs i syfte att utföra ett ut- tryckligt uppdrag eller till följd av ett åliggande bör anses vara av allmänt intresse, oavsett om de utförs i myndighetens egen regi, av egna anställda eller om de genom utkontraktering utförs av någon annan.