prop · H503232 · 2018-04-19 00:00:00 — personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Dessutom anges biometriska uppgifter för att unikt identifiera en fysisk person, genetiska uppgifter och uppgifter om sexuell läggning i artikeln. De nya kategorierna behandlas i det föl- jande. Det finns även skäl att diskutera om ordet ras bör användas i ram- lagen. I artikel 10 benämns uppgifterna ”särskilda kategorier av personupp- gifter”. Samma uttryck används dataskyddsdirektiv. I per- sonuppgiftslagen benämns sådana personuppgifter ”känsliga personupp- gifter”. förespråkar att ”särskilda kategorier av person- uppgifter” används som samlingsbegrepp i stället för att begreppet ”käns- liga personuppgifter” utvidgas. Regeringen håller dock med utredningen om att uttrycket ”känsliga personuppgifter” är tydligare än ”särskilda kategorier av uppgifter” och därför bör användas i ramlagen. (jfr prop. 2017/18:105 s. 75). Med genetiska uppgifter avses enligt den definition som föreslås i av- snitt 6.2 personuppgifter som rör sådana nedärvda eller förvärvade kän- netecken för en fysisk person som kan tas fram ur ett prov från personen. Det handlar framför allt om information som kan tas fram vid dna- analyser, men även motsvarande information som tas fram genom andra analyser omfattas. Eftersom nedärvda eller förvärvade genetiska känne- tecken för en fysisk person kan framgå av ett spår som påträffas vid ut- redning av ett brott omfattas även analys av spåren, trots att de då inte går att härleda till en identifierad person. Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna-pro- filer eller forensiska uppslag. Sådan behandling förekommer enbart i den forensiska verksamheten, som i sköts av Nationellt forensiskt centrum. Även kan göra sådana analyser på begäran av eller en annan myndighet som omfattas av ramlagens tillämpningsområde. Behandlingen kan avse genetiska upp- gifter från såväl identifierade som oidentifierade personer. Själva dna-profilen, som behandlas i framför allt dna-register, är endast en sifferkombination och är därmed ingen gene- tisk uppgift. Med biometriska uppgifter avses enligt den föreslagna definitionen per- sonuppgifter som rör en fysisk persons fysiska, fysiologiska eller bete- endemässiga kännetecken som tagits fram genom särskild teknisk be- handling och som möjliggör eller bekräftar unik identifiering av perso- nen. Som konstateras i avsnitt 6.2 omfattas inte fotografier och filmer som inte bearbetas tekniskt i det syftet av definitionen av biometriska uppgifter. Vidare kan nämnas att de personuppgifter, t.ex. fingeravtryck, som förekommer i ett rättsutlåtande eller som bevisuppgift och som base- Prop. 2017/18:232 ras på en teknisk bearbetning av biometriska uppgifter, inte i sig utgör Inte heller utgör uppgifter som beskriver förhål- landen mellan detaljer i olika fingeravtryck, dna-analyser eller andra jämförelsematerial biometriska uppgifter. Definitionen omfattar brottsbekämpande myndigheters hantering av Fingeravtryck som har tagits med stöd av eller lagen (1991:572) om särskild utlänningskontroll får behandlas i de fingeravtrycks- och signalementsregister som förs enligt 4 kap. 11 § Uppgifter om fingeravtryck som inte kan hänföras till en identifierbar person får också behandlas om uppgiften kommit fram vid utredning om brott. Även oidentifierade fingeravtryck omfattas således av definitionen av biometriska uppgifter, eftersom det är möjligt att med hjälp av sådana identifiera den person som har avsatt dem. Uppgifter om huruvida någon förekommer i finger- avtrycks- och signalementsregister eller dna-register är inte biometriska Däremot är den behandling som utförs vid jämförelse mellan olika fingeravtryck eller dna-profiler behandling av biometriska upp- Uppgifter om sexualliv och sexuell läggning Enligt direktivet är uppgifter om fysiska personers sexualliv och sexuella läggning känsliga personuppgifter. I artikel 8 dataskyddsdirek- tiv och i 13 § personuppgiftslagen föreskrivs att uppgifter om sexualliv är en känslig personuppgift. Uppräkningen i ramlagen av känsliga person- uppgifter bör omfatta uppgifter om både sexualliv och sexuell läggning. Ras har länge ansetts vara en känslig personuppgift. direktivet av vad som utgör känsliga personuppgifter nämns också ras. skäl 37 klargörs att användningen av ordet ras inte innebär att unionen godtar teorier som söker fastställa förekomsten av skilda människoraser. Frågan om utmönstring av ordet ras ur svensk lagstiftning har länge har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och ur biologisk synpunkt följaktligen inte heller någon grund för att använda ordet ras om männi- Enligt vad anförde riskerar användningen av ordet ras i författningstext att underblåsa fördomar. konstaterade dock, i anledning av en motion, att det inte var möjligt att utmönstra ordet ras ur all lagstiftning, eftersom det så gott som uteslutande används i författ- ningar som grundas på internationella konventioner eller författningar som genomför direktiv. Regeringen uppmanades att gå igenom i vilken utsträckning ordet ras förekom i författningar som inte grundas på inter- nationella texter och där så var möjligt föreslå en annan definition 1997/98:KU29 s. 7). Ordet ras har ersatts med andra uttryck i regeringsformen och i diskrimineringslagen (2008:567) och medvetet utelämnats i ett Exempelvis ersattes ordet ras i regeringsformen genom att uttrycket ”annat liknande förhållande” lades till efter etniskt ursprung Med ”annat liknande förhållande” åsyftas i första hand 2017/18:232 sådana föreställningar om ras som omfattas av ordet ras enligt den tidi- gare lydelsen (prop. 2009/10:80 s. 152). Den omständigheten att direktivet använder ordet ras hindrar, som ut- redningen påpekar, inte att det i ramlagen används ett annat ord eller ut- tryck, förutsatt att det har samma betydelse. ”etniskt ursprung, hudfärg eller annat liknande förhållande” som finns i bl.a. regeringsformen skulle emellertid inte fungera i ramlagen. Om hud- färg skulle räknas upp bland känsliga personuppgifter skulle det skapa problem för de brottsbekämpande myndigheterna, eftersom det skulle leda till att bilder på identifierbara personer skulle utgöra känsliga per- sonuppgifter om hudfärgen syns. Avsikten med dataskyddsreformen kan inte rimligen vara att alla bilder på personer ska anses utgöra känsliga personuppgifter. Det får stöd av skäl 51 i dataskyddsförordningen där det bl.a. anges att behandling av foton inte systematiskt bör anses utgöra behandling av känsliga personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Det är enligt regeringen inte heller lämpligt att använda formuleringen ”etniskt ursprung eller annat liknande förhållande”. Det skulle för det första leda till osäkerhet om det är någon skillnad mellan de olika uttryckssätten. För det andra skulle det lämna ett alltför stort tolkningsutrymme och kunna leda till att de behöriga myndigheterna antingen behandlar känsliga per- sonuppgifter i för stor utsträckning eller inte behandlar sådana uppgifter trots att det är sakligt motiverat. Regeringen anser därför i likhet med utredningen att det är nödvändigt att även fortsättningsvis använda ordet ras. Den formulering som föreslår, ”nationellt eller etniskt ursprung”, ser regeringen alltså inte heller som något gångbart alternativ. Detta innebär att regleringen i ramlagen kommer att överens- stämma med artikel 9 i dataskyddsförordningen. Känsliga personuppgifter bör som huvudregel inte få behandlas i större utsträckning än Enligt direktivet ska behandling av särskilda kategorier av personuppgif- ter vara tillåten endast om den är absolut nödvändig och om det finns lämpliga skyddsåtgärder. Dessutom ska behandlingen vara tillåten enligt unionsrätt eller nationell rätt, alternativt ska den göras för att skydda intressen av grundläggande betydelse för den registrerade eller någon annan fysisk person eller avse uppgifter som har offentliggjorts av den som personuppgifterna rör. Enligt gällande rätt får flertalet av de behöriga myndigheterna behandla känsliga personuppgifter om de behandlar uppgifter om personen i fråga på någon annan grund, men då bara om det är absolut nödvändigt för syftet med behandlingen. Domstolarna får emellertid behandla känsliga personuppgifter i större utsträckning. Enligt 13 § domstolsdatalagen får känsliga personuppgifter inte utgöra den enda grunden för behandlingen. Det behöver dock inte vara uppgifter om den person som de känsliga personuppgifterna rör som behandlas, utan det är enligt förarbetena till- räckligt att det finns en annan konkret grund för behandlingen. Det ställs inte heller något krav på att behandlingen ska vara absolut nödvändig. Skälet till denna mer generösa reglering är att det av principiella skäl ansågs uteslutet att genom bestämmelser i lag inskränka domarnas frihet att formulera domskäl i syfte att undvika att känsliga personuppgifter behandlas. Det anges vidare att det strängt taget inte är någon skillnad mellan i vilken utsträckning domstolarna behöver behandla känsliga personuppgifter och andra personuppgifter (Domstolsdatalag, prop. 2014/15:148, s. 49). Dagens regelverk är således betydligt mer restriktivt än direktivets reg- lering, eftersom känsliga personuppgifter i de flesta fall endast får be- handlas tillsammans med andra uppgifter om personen i fråga. Hovrätten för ifrågasätter behovet av ordet ”absolut” i bestämmel- sen. Att behandlingen ska vara absolut nödvändig är ett krav som direk- tivet ställer och som därför bör komma till uttryck i ramlagen. Enligt artikel 1.3 är det tillåtet att ha starkare skyddsåtgärder än de som fastställs i direktivet. Den nuvarande regleringen har fungerat väl för de berörda myndigheterna och kravet på att känsliga personuppgifter bara får behandlas om uppgifter om personen behandlas av annat skäl är enligt regeringens mening en sådan lämplig skyddsåtgärd som direktivet ford- rar. Känsliga personuppgifter bör därför bara få behandlas om uppgifter om personen behandlas på någon annan grund och det är abso- lut nödvändigt för ändamålet med behandlingen. Regleringen i ramlagen bör dock utformas på ett något annorlunda sätt än i myndigheternas registerförfattningar för att det ska bli tydligare vilka uppgifter som utgör känsliga personuppgifter och när dessa får behandlas. De behöriga myndigheterna behandlar i stor utsträckning vissa typer av känsliga personuppgifter. Det gäller framför allt uppgifter om hälsa, t.ex. i förundersökningar och mål om vålds- och sexualbrott och i personut- redningar. För sådana ändamål är behandling av uppgifter om hälsa givetvis absolut nödvändig. Regeringen vill därför understryka att någon förändring av synen på vad som är absolut nödvändigt vid behandling av känsliga personuppgifter inte är avsedd. Känsliga personuppgifter ska alltjämt användas restriktivt och en bedömning av om kravet är uppfyllt ska göras i det enskilda fallet. Den närmare innebörden av uttrycket kan dock variera mellan myndigheterna, eftersom deras verksamheter och behov av att behandla känsliga personuppgifter skiljer sig åt. Som framgår av avsnitt 6.4.4 kommer flera myndigheter och andra aktörer att tillämpa ramlagen. Flera av dem har ingen särskild registerför- fattning utan tillämpar personuppgiftslagen med tillhörande förord- ning. Eftersom huvudregeln enligt personuppgiftslagen är att det är förbjudet att behandla känsliga personuppgifter och 8 § personuppgifts- förordningen bara medger undantag för vissa typer av behandling kan det inte undvikas att dessa myndigheter och aktörer sannolikt kommer att kunna behandla känsliga personuppgifter i större utsträckning med den nya regleringen. Det gäller dock bara när de utför uppgifter inom ram- lagens tillämpningsområde och är en rimlig konsekvens av att de anses vara behöriga myndigheter i ramlagens mening. Behandling av genetiska och biometriska uppgifter Som nämnts har genetiska och biometriska uppgifter inte tidigare ingått i uppräkningen av vad som är känsliga personuppgifter. I förarbe- tena till lagen (2006:351) om genetisk integritet m.m. uttalas att genetisk 2017/18:232 information kan avslöja såväl hälsotillstånd som etnisk tillhörighet och därför är att betrakta som känsliga personuppgifter (Genetisk integritet m.m., prop. 2005/06:64, s. 63). Det är osäkert vilket genomslag det uttal- andet har fått i praktiken och om de särskilda restriktioner som gäller för behandlingen av känsliga personuppgifter därför tillämpas på genetiska och biometriska uppgifter. Fingeravtryck och framför allt dna-spår får en allt större betydelse i den brottsutredande verksamheten. Tekniken utvecklas och möjliggör dels analyser av oerhört små mängder dna, dels att nya typer av uppgifter kan tas fram ur dna-spår. Det är därför viktigt att be- handling av personuppgifter i samband med hanteringen av fingerav- tryck, dna-spår och dna-profiler är tydligt reglerad. Det är vanligt att polisen hittar fingeravtryck eller dna-spår från någon som inte förekommer i fingeravtrycks- eller dna-registren. Som tidigare nämnts utgör sådana oidentifierade fingeravtryck eller dna-spår som genomgår särskild teknisk behandling för att möjliggöra unik identifie- ring biometriska uppgifter. Regeln om att känsliga personuppgifter endast får behandlas om någon annan uppgift om personen i fråga samti- digt behandlas fungerar därmed inte när det gäller oidentifierade avtryck eller spår. Det finns därför skäl att reglera behandlingen av genetiska och biometriska uppgifter särskilt. Sådana uppgifter bör få behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Att dessa kategorier av uppgifter regleras särskilt är en lagteknisk fråga och innebär inte att de ska betraktas på något annat sätt än övriga kategorier av känsliga personuppgifter. När det gäller frå- gan som Justitiekanslern väcker, om inte förutsättningarna för att få behandla biometriska och genetiska uppgifter uttömmande bör anges i andra författningar än ramlagen, håller regeringen med utredningen om att ramlagen bör innehålla en sådan bestämmelse som föreslås. Eftersom det är fråga om grundläggande krav för att få behandla två kategorier av känsliga personuppgifter hör bestämmelsen hemma i ramlagen, dessutom ska kravet på absolut nödvändighet som anges i bestämmelsen gälla generellt för alla behöriga myndigheter. Behandling för diarieföring eller liknande Som framgår av avsnitt 7.3 måste en myndighet alltid ha möjlighet att behandla personuppgifter för att diarieföra och handlägga inkommande anmälningar, ansökningar och andra liknande handlingar. De som ska tillämpa ramlagen föreslås därför få behandla personuppgifter för diarie- föring och för att utföra andra nödvändiga handläggningsuppgifter. Det bör gälla även i de fall där sådana handlingar innehåller känsliga person- uppgifter, eftersom det ligger utanför myndighetens kontroll om sådana uppgifter finns i handlingarna. Det bör framgå att sådan behandling är tillåten. Lagrådet förordar att bestämmelserna om känsliga personuppgifter for- muleras annorlunda än i lagrådsremissens förslag. Det rör sig om en redaktionell ändring som bl.a. innebär att benämningen känsliga person- uppgifter flyttas från 2 kap. 13 § till 2 kap. 11 §. Regeringen anser dock att de olika förutsättningarna för att behandla biometriska och genetiska uppgifter respektive övriga kategorier av känsliga personuppgifter fram- kommer tydligare med den formulering av bestämmelserna som följer av lagrådsremissens förslag. Bestämmelserna bör därför inte omformuleras på det sätt som Lagrådet föreslår. Däremot anser regeringen att en mindre redaktionell ändring bör göras i 2 kap. 13 § jämfört med förslaget i lagrådsremissen. Sökning på känsliga personuppgifter kan möjliggöra exempelvis kart- läggning av personer med viss politisk ståndpunkt eller religiös uppfatt- ning. Sökningar för sådana ändamål bör som huvudregel inte tillåtas. I flera av de behöriga myndigheternas registerförfattningar finns förbud mot att som sökbegrepp använda uppgifter som avslöjar känsliga person- uppgifter (se t.ex. 3 kap. 5 § polisdatalagen). Det kan dock i vissa fall vara befogat att använda känsliga personuppgifter vid sökningar. Flera registerförfattningar ger därför möjlighet att i begränsad utsträckning använda sådana uppgifter som sökbegrepp (se t.ex. 14 och 15 §§ dom- stolsdatalagen). För , , Åklagarmyn- digheten och gäller förbuden att använda känsliga personuppgifter som sökbegrepp endast vid sökningar i personuppgifter som har gjorts gemensamt tillgängliga. De får alltså använda känsliga personuppgifter som sökbegrepp vid sökningar i uppgifter som endast ett fåtal personer har tillgång till. Detsamma gäller för och Skat- teverket i deras brottsbekämpande verksamhet. Enligt direktivet krävs det inget förbud mot att använda känsliga per- sonuppgifter vid sökning, men sådana uppgifter får behandlas endast om det finns lämpliga skyddsåtgärder för behandlingen. En verkningsfull skyddsåtgärd är att som huvudregel förbjuda att känsliga personuppgifter används vid sökning och att sedan reglera eventuella undantag från den regeln. Det bör därför som utredningen föreslår även i fortsättningen vara förbjudet att utföra sökningar som avslöjar känsliga personuppgifter. Eftersom inte alla behöriga myndigheter har en registerförfattning bör ett generellt sökförbud tas in i ramlagen. Användningen av ordet sökbegrepp i bestämmelserna om sökförbud har lett till problem i tillämpningen. Vid en strikt tolkning av dessa be- stämmelser skulle t.ex. en sökning på ordet islam inte få göras, eftersom uppgifter som avslöjar religiös övertygelse inte får användas som sökbe- grepp. är emellertid också ett vanligt personnamn som det måste vara möjligt att få använda vid sökning. Ett annat exempel är att ett sjuk- hus eller en kyrka, där ett brott begåtts, används som sökbegrepp av utredningsskäl. Sökningen kan ge träff på personer och därigenom av- slöja uppgifter som rör hälsa eller religiös uppfattning som det finns utredningsskäl att använda platsen som sökbegrepp. Regeringen håller därför med utredningen om att förbudet i ramlagen i stället bör utgå från syftet med sökningen. Det bör inte vara tillåtet att göra sök- ningar i syfte att få fram urval av personer grundade på känsliga person- uppgifter. Detta stämmer enligt regeringens bedömning väl överens med syftet med dagens reglering (se t.ex. prop. 2009/10:85 s. 155). Med en sådan utformning överensstämmer sökförbudet i ramlagen även med sökförbudet i den föreslagna dataskyddslagen som ska innehålla kom- pletterande bestämmelser till EU:s dataskyddsförordning (prop. 2017/18:105 s. 90 f.). Datainspektionen ser det som viktigt att det föreslagna sökförbudet inte utökar möjligheterna att söka på känsliga personuppgifter. utformas på ett annat sätt än är inte tänkt att utvidga möjligheterna att använda känsliga personuppgifter för sökning. placeras i ramlagen kommer det tvärtom att gälla i större utsträckning än , eftersom sökförbuden i flera av registerförfattningarna enbart gäl- ler vid sökningar i uppgifter som har gjorts gemensamt tillgängliga. syftet blir avgörande för om en sökning är tillåten eller inte kommer vidare olika former av kodning av personuppgifter för att möjliggöra sammanställningar grundade på känsliga personuppgifter inte att vara tillåtna, vilket innebär ett skydd mot missbruk. Däremot kommer sökningar på t.ex. egennamn som också kan avslöja känsliga personuppgifter att vara tillåtna, eftersom syftet med sökningen då är att få fram närmare information om en person med ett visst namn, inte att få fram ett urval av personer grundat på känsliga personuppgifter. Det blir därför, som Datainspektionen påpekar, viktigt att dokumentera syftet med en sökning av det slaget såvida inte syftet med sökningen framgår av sammanhanget. Det underlättar både intern kontroll och till- syn över verksamheten. Det kommer också att, som lyfter fram, vara tillåtet att söka på känsliga personuppgifter om sökningen begränsas till att gälla en viss person, eftersom sökresultatet då inte kommer att utvisa något urval av personer. Skyddet för enskilda tillgodoses i de fallen genom bestämmelsen om under vilka förutsättningar känsliga person- uppgifter överhuvudtaget får behandlas. Inte heller dagens sökförbud syftar till att förbjuda den typen av begränsade sökningar. mer det att vara tillåtet att utföra sökningar i registervårdande syfte och i syfte att utöva tillsyn, något som och Säkerhets- och integritetsskyddsnämnden betonar vikten av, eftersom sökningar för sådana syften inte träffas av förbudet. Även vid tillåtna sökningar kan sökningen resultera i ett urval av per- soner grundat på känsliga personuppgifter. I exemplet med namnet kan en sökning på egennamnet ge träffar både på personer med det nam- net och personer som bekänner sig till en viss tro. det sedan är tillåtet att behandla uppgifterna i sammanställningen får prövas mot huvudregeln för behandling av känsliga personuppgifter. ser problem med det sökförbud som föreslås eftersom det enligt verket kan vara svårt att bedöma syftet med en viss sökning. Det exempel tar upp är att om allmänheten begär att en behörig myndighet ska ta fram vissa uppgifter för ett utlämnande, får myndigheten som regel inte efterfråga vad syftet med begäran är. ringen gör här följande överväganden. Vid utlämnande av en allmän handling som sker på begäran av en enskild har tryckfrihetsförordningens 2017/18:105 s. 40 f.). Den behöriga myndigheten har att i varje enskilt fall bedöma om de uppgifter som efterfrågas utgör en allmän handling Utgör uppgifterna en allmän handling ska de lämnas ut såvida de inte omfattas av sekretess. Detta gäller även om det är fråga om känsliga personuppgifter som har sammanställts genom sökning. tessbestämmelser som kan vara tillämpliga i sammanhanget är bl.a. Prop. 2017/18:232 18 kap. 1–2 §§ och 35 kap. 1 § offentlighets- och sekretesslagen. I de behöriga myndigheternas registerförfattningar tillåts i viss ut- sträckning användning av känsliga personuppgifter vid sökning. Be- stämmelserna kommer att behöva anpassas till att sökförbudet i ramlagen är annorlunda utformat än dagens reglering. Utgångspunkten är att de behöriga myndigheterna inte ska få använda känsliga personuppgifter vid sökning i större utsträckning än . För någon eller några av de behö- riga myndigheterna kan dock förbudet vara för snävt. Vid utredning av brott kan de brottsbekämpande myndigheterna ha behov av att kunna söka på andra uppgifter än brottsrubriceringar eller uppgifter som beskri- ver en persons utseende, exempelvis uppgifter om sexualliv vid utred- ningen av en våldtäkt. Regeringen återkommer till frågan om sökning med användande av känsliga personuppgifter i samband med att register- författningarna anpassas till ramlagen. 8.1.5Inga ytterligare regler om vilka personuppgifter som får behandlas Regeringens bedömning: Utöver reglerna om känsliga personuppgif- ter bör det inte tas in några regler i ramlagen om vilka personuppgifter som får behandlas. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: De remissinstanser som uttalar sig om bedöm- ningen är som tillstyrker den och Datainspektionen som ställer sig tveksam till om direktivets krav blir uppfyllda då det inte närmare anges i ramlagen vilka personuppgifter som får behandlas. Skälen för regeringens bedömning Ingen uttömmande reglering av vilka personuppgifter som får behandlas Enligt artikel 8.2 ska det i nationell rätt bl.a. föreskrivas vilka personupp- gifter som ska behandlas. Ur ett integritetsperspektiv är det naturligtvis väsentligt att en myndighet inte behandlar andra personuppgifter än vad som behövs för myndighetens verksamhet.