prop · H503298 · 2018-09-14 00:00:00 — Behandling av nationella identifikationsnummer regleras i artikel 87 i dataskyddsförordningen, som anger att medlemsstaterna får närmare be- stämma på vilka särskilda villkor sådana identifikationsnummer får be- handlas. Sådan behandling får endast ske med iakttagande av lämpliga skyddsåtgärder. I dataskyddslagen har det införts en motsvarande bestäm- melse till bestämmelsen i 22 § PUL. Bestämmelsen anger att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av uppgifter om personnummer och samordningsnummer är tillåten (3 kap. 10 och 11 §§ dataskyddslagen). Eftersom motsvarande möjligheter till undantag från förbudet mot be- handling av känsliga uppgifter och till nationell reglering av behandling av personnummer och samordningsnummer som finns i dataskyddsdirek- tivet finns i dataskyddsförordningen anser regeringen, i likhet med utred- ningen, att de bedömningar som gjordes vid införandet av bestämmelserna om vilka uppgifter om registrerade personer som ska finnas i registret kan och bör kvarstå även med hänsyn taget till dataskyddsförordningens bestämmelser. Det är vidare regeringens bedömning att dataskyddsförord- ningens krav på lämpliga och särskilda skyddsåtgärder är uppfyllda i re- gisterlagen genom kravet på etikprövning samt regleringarna avseende di- rektåtkomst, sekretess och restriktionerna vid utlämnande av uppgifter. När det gäller uppgifter i registret som utgör uppgifter om lagöverträ- delser enligt artikel 10 i dataskyddsförordningen sker behandlingen under kontroll av myndighet och lagen uppfyller dessutom som nämnts enligt regeringens bedömning kravet på att nationell rätt ska innehålla lämpliga skyddsåtgärder. Sammanfattningsvis delar därför regeringen utredningens bedömning att bestämmelserna i 4–9 §§ registerlagen är förenliga med dataskydds- förordningen och kan och bör behållas som tillåten specificerande natio- nell reglering enligt artikel 6.2 och 6.3 i dataskyddsförordningen. 2017/18:298 16.1.8 Andra myndigheters uppgiftsskyldighet bör behål- las Regeringens bedömning: Bestämmelserna i lagen om rättspsykiatriskt forskningsregister om att , Kriminalvården respektive ska lämna uppgifter till det rättspsykiatriska forskningsregistret kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: Av 10 § lagen om rättspsykiatriskt forskningsregister framgår att , Kriminalvården respektive ska lämna vissa uppgifter (enligt 6–9 a §§ i la- gen) till det rättspsykiatriska forskningsregistret. Ett skäl för att författningsreglera tillförande av uppgifter till registret angavs i regeringens proposition vara att tillförsäkra att uppgiftslämnandet skulle fungera i praktiken. En sådan reglering är dock också nödvändig i många fall för att uppgifter ska kunna tillföras registret utan hinder av att sekretess gäller för uppgifterna (prop. 1998/99:72 s. 46 f.). Enligt 8 kap. 1 § offentlighets- och sekretesslagen (2009:400, OSL) får en uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en annan myndighet om uppgiftsskyldigheten föl- jer av lag eller förordning. Bestämmelsen i 10 § lagen om rättspsykiatriskt forskningsregister är således en sådan sekretessbrytande författningsregle- ring som gör det möjligt för de aktuella myndigheterna att lämna även sek- retessbelagda uppgifter till registret. Bestämmelsen om vilka uppgifter som ska tillföras registret är enligt regeringens uppfattning en sådan tillå- ten specifik nationell bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen kan och bör därför behållas. 16.1.9Bestämmelsen om direktåtkomst bör behållas Regeringens bedömning: Bestämmelsen i lagen om rättspsykiatriskt forskningsregister om direktåtkomst kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen Prop. 2017/18:298 särskilt. Skälen för regeringens bedömning: Enligt 11 § lagen om rättspsykiat- riskt forskningsregister får endast RMV ha direktåtkomst till uppgifter i det rättspsykiatriska forskningsregistret. Direktåtkomst utgör en form av behandling av personuppgifter. Varken i dataskyddsförordningen, data- skyddsdirektivet eller i PUL finns det särskilda bestämmelser som direkt rör denna form av behandling. Begränsningen i 11 § är ett villkor som gäller för behandlingen och en sådan skyddsåtgärd som krävs enligt dataskyddsförordningen vid all be- handling av personuppgifter för forskningsändamål och som särskilt krävs vid behandling av känsliga personuppgifter eller uppgifter om lagöverträ- delser. Det är regeringens uppfattning att bestämmelsen i sak är förenligt med dataskyddsförordningen och att den är en sådan specifik eller särskild bestämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att närmare fastställa villkoren för den personuppgiftsansvariges behandling som grundar sig på bl.a. en arbets- uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Som konstaterats är också de uppgifter som registreras i registret till stor del sådana som räknas som känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen. För att undantaget i artikel , då behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse, eller undan- taget i artikel 9.2 j, då behandlingen är nödvändig för vetenskapliga eller historiska forskningsändamål, ska kunna tillämpas och behandlingen en- ligt lagen ska vara tillåten krävs det bl.a. att den nationella rätten innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. aktuell bestäm- melse är en sådan bestämmelse. Bestämmelsen kan och bör därför behål- las. 16.1.10Bestämmelsen om vilken information som ska lämnas ska anpassas Regeringens förslag: Bestämmelsen i lagen om rättspsykiatriskt forskningsregister om vilken information som ska lämnas till den registrerade ska anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och att det i bestämmelsen enbart anges vilken information som ska lämnas utöver vad som framgår av dataskyddsförordningen. Hänvisningen till personuppgiftslagen ska utgå och ersättas med en hänvisning till dataskyddsförordningen och dataskyddslagen. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. 2017/18:298 Skälen för regeringens förslag: Av 12 § lagen om rättspsykiatriskt forskningsregister framgår vilken information om behandlingen som RMV ska lämna till den registrerade när personuppgifter i ett mål första gången registreras i det rättspsykiatriska forskningsregistret. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Dataskyddsförordningens bestämmelse om information är mer utförlig än den som fanns i artikel 11 i dataskyddsdirektivet. Den re- gistrerade har således rätt att få mer information än vad som gällde enligt dataskyddsdirektivet. Dessutom finns det en bestämmelse i artikel 12.1 i dataskyddsförordningen om i vilken form informationen ska lämnas, som helt saknar motsvarighet i dataskyddsdirektivet, vilket innebär att den re- gistrerades rättigheter har stärkts i detta avseende. Dataskyddsdirektivets reglering om vilken information som ska lämnas självmant genomfördes genom 23–25 §§ PUL. Viss information som ska lämnas enligt 12 § lagen om rättspsykiatriskt forskningsregister motsvaras av information enligt den direkt tillämpliga bestämmelsen i artikel 14 i dataskyddsförordningen, medan vissa punkter i lagen om rättspsykiatriskt forskningsregister inte har någon motsvarighet i dataskyddsförordningen. Bestämmelser i nationell rätt som anger vilken information som själv- mant ska lämnas till den registrerade kan enligt regeringens bedömning behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen, om den ursprungliga behandlingen grundas på att den är nödvändig för att utföra en uppgift av allmänt intresse. För att undvika dubbelreglering bör dock, som utredningen föreslagit, bestämmelsen anpassas så att de punkter som har sin motsvarighet i dataskyddsförordningen tas bort och att det i bestämmelsen anges vilken information som ska lämnas utöver vad som framgår av artikel 14 i dataskyddsförordningen. Det innebär att punkt 1 om att RMV är personuppgiftsansvarigt, punkt 2 om ändamålen med be- handlingen, punkt 3 om vilken typ av uppgifter behandlingen avser och punkt 4 om mottagarna av uppgifterna bör utgå. När det gäller 12 § punkt 6 i registerlagen om information som ska läm- nas efter ansökan samt om rättelse och skadestånd finns motsvarande bestämmelse om rätt till information som ska lämnas efter ansökan (rätt till tillgång) och om rätt till rättelse i artikel 14.2 c i dataskyddsförord- ningen. Dessa delar av punkten bör därför utgå. Det som återstår är då rätt till information om skadestånd. Hänvisningen till att berörda bestämmel- serna finns i PUL måste slutligen ersättas med en hänvisning till bestäm- melser i dataskyddsförordningen och dataskyddslagen. Till skillnad från artikel 14 i dataskyddsförordningen innehåller 12 § la- gen om rättspsykiatriskt forskningsregister inget undantag från när infor- mation ska lämnas. Artikel 14.5 i dataskyddsförordningen anger undantag från kravet att lämna information. Genom att artikel 14 i dataskydds- förordningen är direkt tillämplig, då förordningen började tillämpas , är även bestämmelserna om undantag då information inte behöver lämnas direkt tillämpliga. 16.1.11Bestämmelsen om utlämnande av uppgifter bör behållas Regeringens bedömning: Bestämmelsen i lagen om rättspsykiatriskt forskningsregister om utlämnande av uppgifter kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: Enligt 13 § första stycket lagen om rättspsykiatriskt forskningsregister ska RMV till , Kri- minalvården och , på medium för automatiserad behandling, lämna de uppgifter som är nödvändiga för att dessa myndig- heter ska kunna lämna uppgifter enligt 10 § till det rättspsykiatriska forsk- ningsregistret. Av 13 § andra stycket i paragrafen framgår att uppgifter från registret får, utöver vad som anges i första stycket, lämnas ut på me- dium för automatiserad behandling endast om uppgifterna ska användas för det ändamål som anges i 3 § punkten 1, dvs. för forskning inom rätts- psykiatrin. Regleringen i bestämmelsens första stycke syftar till att RMV ska un- derlätta för de berörda myndigheterna att i sin tur lämna uppgifter till re- gistret enligt 10 § registerlagen, genom att RMV ska lämna nödvändiga uppgifter för detta ändamål till de berörda myndigheterna på medium för automatiserad behandling. En sådan reglering påverkas inte av data- skyddsförordningen. När det gäller regleringen i andra stycket om att uppgifter från registret, utöver vad som anges i första stycket, endast får lämnas ut på medium för automatiserad behandling om uppgifterna ska användas för forskning inom rättspsykiatrin, anförde regeringen i propositionen som föregick in- förandet av lagen om rättspsykiatriskt forskningsregister att med hänsyn till att det rör sig om ett register med mycket integritetskänsliga uppgifter borde en bestämmelse som begränsar möjligheterna till utlämnande på me- dium för automatiserad behandling införas för de fall uppgifterna begärs ut i annat syfte än för forskning inom rättspsykiatrin som godkänts vid etikprövning, t.ex. med stöd av offentlighetsprincipen. Enligt regeringens bedömning förelåg ingen anledning att tillåta utlämnande på medium för automatiserad i andra situationer än när det rör sig om användning i enlig- het med registrets ändamål. Eftersom begränsningen i 13 § andra stycket registerlagen syftar till att öka skyddet för de integritetskänsliga uppgifterna i registret är åtgärden att anse som en skyddsåtgärd enligt dataskyddsförordningen. En sådan skyddsåtgärd bör liksom skyddsåtgärden i 11 § enligt regeringens bedöm- ning rymmas inom den tillåtna specificeringen i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Sammantaget delar regeringen utredningens bedömning att bestämmel- sen om utlämnande av uppgifter kan och bör behållas. 2017/18:298 16.1.12 Upplysningen om sekretess bör behållas Regeringens bedömning: Bestämmelsen i lagen om rättspsykiatriskt forskningsregister som upplyser om att det finns bestämmelser om begränsningar i rätten att lämna ut uppgifter från det rättspsykiatriska forskningsregistret i offentlighets- och sekretesslagen kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning: I 14 § registerlagen hänvisas till att det i OSL finns bestämmelser om begränsningar i rätten att lämna ut uppgifter från det rättspsykiatriska forskningsregistret. Dessa återfinns i 24 kap. 2 § OSL. Sekretess är en skyddsåtgärd såväl enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelsen i 14 § lagen om rättspsykiat- riskt forskningsregister är enligt regeringens bedömning, i likhet med bestämmelserna i 11 och 13 §§, en sådan specificering i nationell rätt som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmel- sen kan och bör därför behållas. 16.1.13Bestämmelsen om rättelse och skadestånd ska upphävas Regeringens förslag: Bestämmelsen i lagen om rättspsykiatriskt forskningsregister som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd ska upphävas. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: I 15 § lagen om rättspsykiatriskt forsk- ningsregister hänvisas till att bestämmelserna i om rättelse och ska- destånd ska gälla vid behandling av personuppgifter enligt den först- nämnda lagen. Bestämmelserna om rättelse och skadestånd i PUL fanns i 28 § respek- tive 48 §. Bestämmelsen om rättelse i 28 § PUL gällde endast om behand- ling skett i strid med PUL eller föreskrifter som har utfärdats med stöd av den lagen och bestämmelsen i 48 § PUL om skadestånd gällde endast om behandling skett i strid med den lagen. För att bestämmelserna om rättelse och skadestånd skulle vara tillämpliga även vid behandling i strid med la- Prop. 2017/18:298 gen om rättspsykiatriskt forskningsregister krävdes det därför att det sär- skilt angavs att bestämmelserna i gäller om behandling av person- uppgifter sker i strid med lagen om rättspsykiatriskt forskningsregister. Det är skälet till att hänvisningen i 15 § har införts. Bestämmelser som hänvisar till PUL kan inte finnas kvar när PUL nu har upphävts. I dataskyddsförordningen behandlas den registrerades rätt till rättelse i artikel 16. Vid införandet av lagen om rättspsykiatriskt forskningsregister har be- dömningen gjorts att en rätt till rättelse ska finnas vid behandling av per- sonuppgifter enligt lagen. När dataskyddsförordningen nu börjat tillämpas gäller en rätt till rättelse direkt till följd av förordningen såvida inte något undantag införs i svensk rätt. Något undantag från rätten till rättelse har inte införts i dataskyddslagen. I avsnitt 13.4.2 har regeringen gjort bedöm- ningen att något undantag från rätten till rättelse vid personuppgiftsbe- handling för forskningsändamål i enlighet med den möjlighet till nationell reglering som finns i artikel 89.2 i dataskyddsförordningen inte ska införas i svensk rätt. Bestämmelsen i lagen om rättspsykiatriskt forskningsregister om rätt till rättelse bör därför upphävas och motsvarande rätt till rättelse vid behand- ling av personuppgifter i strid med lagen kommer att följa direkt av data- skyddsförordningen. I dataskyddsförordningen finns skadeståndsbestäm- melsen i artikel 82. Det är inte möjligt att begränsa tillämpningen av artikel 82, så det är inte av det skälet motiverat att särskilt reglera vad som gäller ifråga om skadestånd. Dessutom har det i dataskyddslagen införts en bestämmelse som förtydligar att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar dataskydds- förordningen (7 kap. 1 § dataskyddslagen). Det behövs därför inte heller någon hänvisning till bestämmelsen i dataskyddsförordningen i lagen om rättspsykiatriskt forskningsregister. Detta innebär sammantaget att bestämmelsen i 15 § registerlagen bör upphävas i dess helhet och inte ersättas med någon hänvisning till data- skyddsförordningen. 16.1.14 Bestämmelsen om överklagande ska upphävas Regeringens förslag: Bestämmelsen om överklagande i lagen om rättspsykiatriskt forskningsregister ska upphävas. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: Enligt 16 § lagen om rättspsykiatriskt forskningsregister får beslut av RMV om information som ska lämnas ef- 2017/18:298 ter ansökan enligt 26 § PUL och om rättelse enligt 28 § samma lag över- klagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid över- klagande till kammarrätten. Av propositionen som föregick införandet av lagen om rättspsykiatriskt forskningsregister framgår att bestämmelsen om skadestånd ursprungligen infördes i lagen för att några bestämmelser om överklagande i de angivna situationerna inte fanns i PUL . Regeringen bedömde att ett beslut av RMV angående behandling av personuppgifter som direkt be- rörde den enskilde skulle kunna överklagas. Efter att bestämmelsen i lagen om rättspsykiatriskt forskningsregister infördes kom dock en bestämmelse med motsvarande innehåll att införas i PUL genom 52 §. Någon motsva- rande reglering fanns dock inte i dataskyddsdirektivet. Enligt artikel 79.1 i dataskyddsförordningen ska varje registrerad som anser att hans eller hennes rättigheter enligt förordningen har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ha rätt till ett effektivt rättsme- del. I artikel 79.2 i dataskyddsförordningen anges var talan i domstol mot en personuppgiftsansvarig eller ett personuppgiftsbiträde får väckas. I dataskyddslagen finns bestämmelser om överklagande som i sak mot- svarar 52 § PUL (7 kap. 2 § dataskyddslagen). Då dataskyddslagen ska gälla i den mån inte annat föreskrivs i lagen om rättspsykiatriskt forsk- ningsregister är det inte nödvändigt att ha en överklagandebestämmelse som hänvisar till dataskyddslagen. Regeringen anser därför att bestämmel- sen om överklagande i 16 § lagen om rättspsykiatriskt forskningsregister bör upphävas. 16.2Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska anpassas till dataskyddsförordningen Lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa trädde i kraft . Lagens syfte är att ge ett tydligt lagstöd för register som förs med de registrerades samtycke i syfte att ge universitet och högskolor möjlighet att skapa un- derlag för olika forskningsprojekt om vad arv och miljö betyder för upp- komsten och utvecklingen av olika typer av sjukdomar och människors hälsa i övrigt och skydda den enskildes personliga integritet i sådan verk- samhet. Känsliga personuppgifter samlas enligt lagen in med uttryckligt sam- tycke och enbart uppgifter som inte är direkt hänförliga till den enskilde får lämnas ut till forskningsprojekt som har godkänts vid en etikprövning. Lagen innehåller bl.a. bestämmelser om för vilka ändamål personuppgif- terna får behandlas (5–8 §§), vilka personuppgifter som får finnas i register enligt lagen (9 §), intern elektronisk åtkomst (10 §), gallring (12 §), sam- tycke och information (14 och 15 §§), utplåning av uppgifter (16 §) och skadestånd (17 §). Regeringen beslutar vilka universitet och högskolor som ska få föra re- Prop. 2017/18:298 gister i enlighet med lagen och vilka register som får föras. om detta finns i förordningen (2013:833) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Lagen är tidsbegränsad och har förlängts , senast genom beslut av , till att gälla till och med den 31 de- cember 2020. Skälet till att lagen är tidsbegränsad är det utredningsarbete som påbörjades , när regeringen gav en särskild utredare i uppdrag att utreda förutsättningarna för registerbaserad forskning (dir. 2013:08). Utredningen, som tog sig namnet (U 2013:01) lämnade betänkandet Unik kunskap genom registerforskning (SOU 2014:45). fick i uppdrag att bl.a. ana- lysera vilken svensk reglering av personuppgiftsbehandling för forsk- ningsändamål som är möjlig och kan behövas utöver den övergripande reglering som skulle komma att föreslå. När det gäller lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa skulle utredningsarbetet bedrivas i två steg. I ett första skede skulle utredningen analysera vilka anpassningar som behövde göras i den lagen inför att dataskyddsförordningen skulle börja tillämpas. I ett andra skede skulle utredningen utreda i vilken mån förslagen som lämnades i betänkande SOU 2014:45 är förenliga med dataskyddsförordningen och kan ligga till grund för en lång- siktig reglering av forskningsdatabaser. Uppdraget i den första delen redo- visades i det delbetänkande som ligger till grund för denna proposition. Uppdraget i den andra delen redovisades i betänkandet Rätt att forska – En långsiktig reglering av forskningsdatabaser (2018:36) . Det sistnämnda betänkandet behandlas inte i denna proposition. 16.2.2Lagen är en tillåten nationell kompletterande reglering till dataskyddsförordningen Regeringens bedömning: Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa är en tillåten nationell kompletterande reglering till dataskyddsförordningen. Utredningens bedömning överensstämmer med regeringens bedöm- ning.