prop · H503298 · 2018-09-14 00:00:00 — I artikel 4.6 i dataskyddsförordningen definieras register som en strukture- rad samling av personuppgifter som är tillgängliga enligt särskilda krite- rier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Av skäl 8 i data- skyddsförordningen framgår att om förordningen föreskriver förtydligan- den eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förord- ningen i nationell rätt. Skäl 8 ger därmed utrymme för att införliva artikel Det är därför regeringens bedömning att formuleringen i 1 § första stycket registerlagen kan behållas intakt. 2017/18:298 I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamå- len och medlen för behandlingen av personuppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed en- ligt huvudregeln göras utifrån dataskyddförordningen och med utgångs- punkt i de faktiska omständigheterna i varje enskilt fall. I de situationer ändamålen och medlen för behandlingen bestäms av medlemsstaternas nationella rätt finns dock en möjlighet enligt andra ledet i artikel 4.7 att ange vem som är personuppgiftsansvarig i den nationella rätten. I 1 § andra stycket lagen om rättspsykiatriskt forskningsregister anges att det är RMV som är personuppgiftsansvarigt för registret. 1 3 § anges att registret endast får användas för behandling av personuppgifter för forskning inom rätts- psykiatrin, om forskningen och behandlingen har godkänts enligt etikpröv- ningslagen, eller för RMV:s uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättpsykiatrin (utvecklingsarbete). Genom bestämmelserna om lagens tillämpningsområde och ändamålen för regist- ret ges en yttersta ram för vilka behandlingar som är tillåtna enligt lagen. Det är den personuppgiftsansvarige som i varje enskild situation ska ta ställning till vilken behandling av uppgifter som ska och kan ske. Dess- utom bestäms medlen för behandlingen i registerlagen, dvs. i lagen fast- ställs att en viss typ av behandling av personuppgifter som görs av en viss myndighet för vissa ändamål på angivet sätt är tillåten. Därmed bestäms såväl ändamål som medel för behandlingen i registerlagen, vilket gör det tillåtet att ange vem som är personuppgiftsansvarig. Slutligen är det i linje med principerna om laglighet, korrekthet och öppenhet (artikel 5.1 a) att peka ut den personuppgiftsansvarige direkt i registerlagen, vilket tydliggör vem som ska hållas ansvarig för den behandling av personuppgifter som görs enligt lagen. Sammanfattningsvis är det regeringens bedömning att bestämmelsen kan och bör behållas i sin helhet. 16.1.4Hänvisningar till personuppgiftslagen ska tas bort Regeringens förslag: Hänvisningarna till personuppgiftslagen i lagen om rättspsykiatriskt forskningsregister ska tas bort och, där det är lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskyddsförordningen och dataskyddslagen. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag: I 2 § i lagen om rättspsykiatriskt forsk- ningsregister anges att PUL gäller vid behandling av personuppgifter för registret, om inget annat följer av lagen om registret. Med anledning av att PUL upphävts när dataskyddsförordningen börjat tillämpas bör hänvis- ningen till PUL tas bort. Vissa bestämmelser i registerlagen innehåller också hänvisningar till Prop. 2017/18:298 specifika bestämmelser i . Detta gäller hänvisningen till PUL avse- ende information som ska lämnas till den registrerade (12 §), i fråga om rättelse och skadestånd (15 §) samt hänvisningen till 26 och 28 §§ PUL i bestämmelsen om överklagande (16 §). Dessa hänvisningar ska tas bort och, där det bedöms lämpligt eller nödvändigt, ersättas av hänvisningar till bestämmelser i dataskyddsförordningen respektive dataskyddslagen, se respektive avsnitt nedan. 16.1.5Det ska tas in hänvisningar till dataskyddsförord- ningen och dataskyddslagen Regeringens förslag: Det ska införas en upplysningsbestämmelse i la- gen om rättspsykiatriskt forskningsregister som tydliggör att lagen kompletterar dataskyddsförordningen. Det ska också införas en upplysningsbestämmelse som anger att vid behandling av personuppgifter enligt lagen om rättspsykiatriskt forsk- ningsregister gäller dataskyddslagen och föreskrifter som har meddelats med stöd av den lagen, om inte något annat följer av lagen om rättspsykiatriskt forskningsregister. Utredningens förslag överensstämmer i sak med regeringens förslag. Utredningens förslag till lagtext har formulerats på ett annat sätt än rege- ringens förslag. Remissinstanserna: Kammarrätten i anser att det bör över- vägas om det ska anges hur lagen förhåller sig till den brottsdatalag som föreslås i betänkandet Brottsdatalag (SOU 2017:29). Förslaget i utkastet till lagrådsremiss överensstämmer med rege- ringens förslag. Remissinstanserna: Ingen remissinstans kommenterar förslaget sär- skilt. Skälen för regeringens förslag Förhållandet till dataskyddsförordningen och dataskyddslagen Dataskyddsförordningen är direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Dataskyddsförordningen gäller oavsett om det i lagen om rättspsykiatriskt forskningsregister införs en bestäm- melse som hänvisar till förordningen eller inte. Regeringen anser dock i likhet med utredningen att det bör införas en bestämmelse i lagen som tyd- liggör att den innehåller kompletterande bestämmelser till dataskydds- förordningen. Hänvisningen till dataskyddsförordningen bör vara dyna- misk, det vill säga avse förordningen i den gällande ly- delsen. En sådan bestämmelse tydliggör registerlagens förhållande till dataskyddsförordningen och det blir tydligt att lagen om rättspsykiatriskt forskningsregister inte utgör en uttömmande reglering. Bestämmelsen syf- tar alltså till att göra relationen mellan de olika regelverken begriplig både för dem som tillämpar lagen och de registrerade. Dataskyddslagen kompletterar dataskyddsförordningen på en generell nivå i . Liksom PUL tillämpats om inte annat följer av lagen om 2017/18:298 rättspsykiatriskt forskningsregister bör bestämmelserna i dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gälla vid be- handling av personuppgifter om inte avvikande bestämmelser finns i lagen om rättspsykiatriskt forskningsregister. En bestämmelse som upplyser om detta bör införas i sistnämnda lag. I dataskyddslagen finns det generella bestämmelser som utgör tillåtna specificeringar av och undantag från data- skyddsförordningen. I 1 kap. 6 § dataskyddslagen anges att om en annan lag eller en förordning innehåller någon bestämmelse som avviker från den lagen, tillämpas den bestämmelsen. Dataskyddslagens bestämmelser gäl- ler därmed i den mån inte lagen om rättspsykiatriskt forskningsregister, eller annan författning, föreskriver annat. Det krävs således i och för sig inte någon hänvisningsbestämmelse till dataskyddslagen. Att införa en upplysande bestämmelse som tydliggör att lagen om rättspsykiatriskt forskningsregister inte utgör en uttömmande nationell reglering under dataskyddsförordningen underlättar dock för den som ska tillämpa regel- verket och för andra att hitta relevanta lagrum. Regeringen anser därför att det ska införas en upplysningsbestämmelse i lagen som anger att vid be- handling av personuppgifter enligt lagen om rättspsykiatriskt forsknings- register gäller dataskyddslagen och föreskrifter som har meddelats med stöd av den lagen, om inte annat följer av lagen om rättspsykiatriskt forsk- ningsregister. I propositionen Brottsdatalag (prop. 2017/18:232) lämnade regeringen för- slag till en brottsdatalag, som ska genomföra och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av person- uppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana upp- gifter och om upphävande av rådets rambeslut /977/RIF (dataskydds- direktivet på det brottsbekämpande området) i svensk rätt. Brottsdatalagen (2018:1177) beslutades av och trädde i kraft (prop. 2017/18:232, bet. 2017/18:JuU37, rskr. 2017/18:392). Kammarrätten i anser att det bör övervägas om det ska anges hur lagen om rättspsykiatriskt forskningsregister förhåller sig till brottsdatalagen. Brottsdatalagen ska gälla för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Den ska också gälla för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (1 kap. 2 §). Behörig myndighet definieras som 1. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte, eller 2. en annan aktör som anförtrotts myndighetsutövning för ett syfte som anges i 1, när den behandlar person- uppgifter för ett sådant syfte (1 kap. 6 §). ansvarar bl.a. för rättspsykiatriska undersökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m., rättsmedicinska obduktioner och andra rättsmedicinska undersök- Prop. 2017/18:298 ningar, verksamhet med utfärdande av sådana intyg som avses i lagen (2005:225 ) om rättsintyg i anledning av brott, rättsmedicinsk medverkan i övrigt på begäran av domstol, allmän åklagare, eller Säkerhetspolisen och rättskemiska och rättsgenetiska undersökningar. Myndigheten ska också ansvara för utvecklingsarbete och stöd åt forsk- ning av betydelse för verksamheten (se 1 och 2 §§ förordningen [2007:976] med instruktion för ). Verksamheten bi- drar till utredningen och lagföringen av brott och ger underlag för beslut om påföljder för brott. har alltså vissa arbetsuppgif- ter som gör att brottsdatalagen blir tillämplig. Av de inledande bestämmel- serna i lagen om rättspsykiatriskt forskningsregister framgår emellertid att den verksamhet lagen specifikt reglerar och som lagens tillämpningsom- råde är avgränsat till är verksamheten med förandet av det rättspsykiatriska forskningsregistret. Som nämnts får det rättspsykiatriska forskningsregist- ret endast användas för behandling av personuppgifter för forskning inom rättspsykiatrin och utvecklingsarbete. Lagen om rättspsykiatriskt forskningsregister reglerar således inte den verksamhet hos som det främst är aktuellt att brottsdatalagen kan bli tillämplig på. I brottsdatalagen anges vidare att om det i en annan lag eller en förordning finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla (1 kap. 5 §). Om det finns avvikande bestämmelser om behandlingen av personuppgifter t.ex. i en författning som reglerar ett visst register gäller de i stället för bestämmelserna i brottsdatalagen. En bestämmelse som reglerar lagens förhållande till andra författningar finns således i brottsdatalagen. Mot denna bakgrund anser regeringen inte att det finns ett behov av att i lagen om rättspsykiatriskt forskningsregister införa någon bestämmelse som reglerar lagens förhållande till brottsdatalagen. Regeringens bedömning: Ändamålsbestämmelserna i lagen om rätts- psykiatriskt forskningsregister kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- ringens bedömning. Remissinstanserna: Ingen remissinstans kommenterar bedömningen särskilt. Skälen för regeringens bedömning Ändamålsbestämmelserna är en tillåten nationell precisering I registerlagens 3 § anges lagens ändamål. Det rättspsykiatriska forsk- ningsregistret får enligt första punkten endast användas för behandling av personuppgifter för forskning inom rättspsykiatrin, om forskningen och behandlingen har godkänts enligt etikprövningslagen, eller, enligt andra 2017/18:298 punkten, för RMV:s uppföljning, utvärdering eller kvalitetssäkring av sin verksamhet inom rättspsykiatrin (utvecklingsarbete). Enligt dataskyddsförordningen gäller bl.a. att personuppgifter ska sam- las in för särskilda, uttryckligt angivna och berättigade ändamål (artikel Motsvarande gällde enligt PUL (9 §), som baserades på dataskydds- direktivet. Formuleringen av ändamålet har vid införandet av lagen om rätts- psykiatriskt forskningsregister bedömts uppfylla kraven enligt data- skyddsdirektivet och PUL. Regeringen framhöll att ändamålen borde pre- ciseras så noga som möjligt av flera skäl, först och främst för att värna om skyddet för den personliga integriteten (prop. 1998/99:72 s. 36 f.). När det gäller frågan hur specificerat ett ändamål behöver vara för att uppfylla kravet i artikel 5.1 b kan noteras att det i skäl 33 anges att det ofta inte är möjligt att fullt ut identifiera en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter och att därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning. I den första punkten har ändamålet preciserats till behandling av personuppgifter för forskning inom rättspsykiatrin. Per- sonuppgiftsbehandling enligt lagen sker inte med stöd av samtycke men enligt regeringens uppfattning kan skäl 33 ge vägledning för hur man ska se på ändamålsbeskrivning generellt vid behandling av personuppgifter för forskningsändamål oavsett vilken grund som behandlingen baseras på. Ändamålet har angivits vara forskning inom rättspsykiatrin. Området för forskningen har således preciserats. Regeringen anser därför att ändamåls- beskrivningen i första punkten är förenlig med dataskyddsförordningen och kan behållas. Det krävs också att forskningen och behandlingen har godkänts enligt etikprövningslagen för att uppgifterna i registret ska få an- vändas. Detta är ett villkor, en skyddsåtgärd, som infördes till skydd för den registrerade mot bakgrund av att registret innehåller mycket känsliga personuppgifter. När det gäller ändamålet användning i utveck- lingsarbete ansågs ändamålet vara ett viktigt allmänt intresse då lagen in- fördes och därmed berättigat. Regeringen delar utredningens bedömning att kraven på tillräckligt pre- ciserade ändamål enligt dataskyddsförordningen inte skiljer sig från kra- ven i dataskyddsdirektivet och att regeringens och redan gjorda bedömningar därför är fortsatt giltiga och förenliga med dataskydds- förordningen. Regeringen delar också utredningens bedömning att ända- målsbestämmelsen i 3 § registerlagen även i övrigt är utformad på ett så- dant sätt som stämmer överens med dataskyddsförordningens krav och ut- gör tillåten nationell lagstiftning i enlighet med artikel 6.2 och 6.3 i data- skyddsförordningen. Ändamålsbestämmelsen i 3 § registerlagen kan och bör därför behållas. Finalitetsprincipen har begränsats i lagen Av propositionen med förslaget till lag om rättspsykiatriskt forskningsre- gister framgår att det är regeringens avsikt att uppgifterna i registret endast ska få användas för de föreslagna två ändamålen (prop. 1998/99:72 s. 33). De uppräknade ändamålen och tillåtna behandlingarna i lagen är således uttömmande. Detta innebär en begränsning av finalitetsprincipen enligt Den principen innebär att uppgifter ska samlas in Prop. 2017/18:298 för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare be- handling för arkivändamål av allmänt intresse, vetenskapliga eller histo- riska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1ska dock inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5 1 b). Mot bakgrund av att ändamålen med personuppgiftsbehandlingen i re- gisterlagen är nödvändiga för att utföra en uppgift av allmänt intresse en- ligt artikel 6.1 e i dataskyddsförordningen är det tillåtet enligt artikel 6.2 och 6.3 i förordningen att i nationell rätt behålla särskilda bestämmelser som till exempel specificerar ändamålsbegränsningar. Det är regeringens bedömning att bestämmelsen i 3 § registerlagen även i det avseendet den begränsar möjligheten till ytterligare behandling är förenlig med data- skyddsförordningen och därmed kan behållas. 16.1.7Det bör även fortsättningsvis anges vilka person- uppgifter som får finnas i registret Regeringens bedömning: Bestämmelserna i lagen om rättspsykiatriskt forskningsregister om vilka uppgifter om registrerade personer som får registreras kan och bör behållas. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Ingen remissinstans kommenterar bedömningen Bedömningen i utkastet till lagrådsremiss överensstämmer med rege- Remissinstanserna: Ingen remissinstans kommenterar bedömningen Skälen för regeringens bedömning: I 4 § lagen om rättspsykiatriskt forskningsregister anges att registret endast får innehålla uppgifter om en person för vilken ett rättspsykiatriskt utlåtande enligt lagen om rättspsyki- atrisk undersökning, ett intyg enligt 7 § lagen om särskild personutredning i brottmål, m.m. eller motsvarande utlåtande eller intyg enligt äldre lag- stiftning har utfärdats. I 4 § andra stycket anges att uppgifterna inte får föras in i registret förrän domen i det mål i vilket utlåtandet eller intyget inhämtats har vunnit laga kraft. Har åtalet helt ogillats får inga personupp- gifter från det brottmålet föras in i registret. I 5–9 §§ anges därefter vilka uppgifter för varje person som får registreras i registret. slags uppgifter som anges i 5–9 §§ registerlagen är sådana uppgifter som kategoriserades som känsliga personuppgifter enligt 13 § PUL (artikel 8.1 i dataskyddsdirektivet) eller personuppgifter om lagöverträdelser m.m. en- ligt 21 § PUL. Motsvarande bestämmelser beträffande särskilda kategorier av personuppgifter (känsliga personuppgifter) finns i artikel 9.1 i data- skyddsförordningen och beträffande personuppgifter om lagöverträdelser m.m. i artikel 10 i dataskyddsförordningen. Dataskyddsförordningen förbjuder i artikel 9.1 behandling av person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös 2017/18:298 eller filosofisk övertygelse, medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 räknas ett antal undantag från Förbudet gäller bl.a. inte om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse (artikel ) och inte heller om behandlingen är nödvändig för bl.a. vetenskapliga eller historiska forskningsändamål (artikel 9.2 j). I båda dessa fall anges det att behand- lingen ska ske på grundval av unionsrätten eller medlemsstaternas natio- nella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara för- enlig med det väsentliga innehållet i rätten till dataskydd och innehålla lämpliga och särskilda skyddsåtgärder. Av artikel 9.4 framgår att med- lemsstaterna får behålla eller införa ytterligare villkor, även begräns- ningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Av skäl 10 i dataskyddsförordningen framgår att för- ordningen ger medlemsstaterna handlingsutrymme att specificera sina be- stämmelser, även för behandlingen av särskilda kategorier av personupp- gifter, och att förordningen inte utesluter att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas. I skäl 52 i dataskyddsförordningen förtydligas bl.a. att undantag från förbudet att behandla särskilda kategorier av per- sonuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlems- staternas nationella rätt och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter. sättning för sådana undantag är att allmänintresset motiverar det. Av artikel 10 i dataskyddsförordningen framgår att behandling som rör fällande domar i brottmål och överträdelser eller därmed samman- hängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kon- troll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder fastställts. Som redogjorts för i avsnittet om ändamålsbestämmelsen i 3 § lagen om rättspsykiatriskt forskningsregister har regeringen i samband med införan- det av lagen och då ändamålet med personuppgiftsbehandlingen enligt la- gen fastställdes gjort bedömningen att behandling av personuppgifter för forskningsändamål ur det rättspsykiatriska forskningsregistret liksom be- handling av personuppgifter ur registret för utvecklingsarbete inom RMV är sådan nödvändig behandling för att utföra en uppgift av viktigt allmänt Det väl avgränsade ändamålet med behandlingen samt den strikta bedömningen av vilka uppgifter som får registreras för varje person be- dömdes av regeringen utgöra ett fullgott skydd för de registrerades person- Regeringen och fann således vid införandet av registerlagen att dataskyddsdirektivet inte hindrade att känsliga person- uppgifter får behandlas. När det gäller behandling av känsliga personuppgifter i registret för ut- vecklingsarbete inom RMV enligt 3 § andra punkten finns det ingen an- ledning att göra en annan bedömning än att det är ett sådant viktigt allmänt intresse att behandlingen är tillåten även enligt artikel i dataskydds- Genom artikel 9.2 j finns vidare ett särskilt stöd i data- skyddsförordningen för behandling av känsliga personuppgifter i det rätts- psykiatriska forskningsregistret för forskning inom rättspsykiatrin enligt 3 § första punkten. Både när det gäller forskning och utvecklingsarbete inom RMV sker behandlingen av känsliga personuppgifter på grundval av bestämmelser i nationell rätt. Det är även nu regeringens bedömning att de aktuella bestämmelserna står i proportion till det eftersträvade syftet med behandling av personuppgifter och är förenliga med det väsentliga inne- hållet i rätten till dataskydd. Som kommer att framgå av den följande re- dogörelsen för bestämmelserna i lagen innehåller den också ett antal bestämmelser om skyddsåtgärder. I 5 § lagen om rättspsykiatriskt forskningsregister anges att uppgifter om personnummer eller samordningsnummer får registreras. I 22 § PUL angavs att uppgifter om personnummer eller samordningsnummer fick be- handlas utan samtycke bara när det var klart motiverat med hänsyn till än- damålet med behandlingen, vikten av en säker identifiering eller något an- nat beaktansvärt skäl. Bestämmelsen i 22 § PUL infördes med stöd av ar- tikel 8.7 i dataskyddsdirektivet som angav att medlemsstaterna skulle bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering fick behandlas. Bestämmelsen i 5 § lagen om rättspsykiatriskt forskningsregister är således införd efter en be- dömning utifrån kraven i PUL.