bet · H701JuU24 · 2020-05-14 00:00:00 — Stärkt integritet i verksamhet Utskottet föreslår att antar regeringens förslag till två nya lagar för verksamhet, lagen om behandling av personuppgifter och lagen om elimineringsdatabas, i syfte att både stärka skyddet för den personliga integriteten och öka effektiviteten i verksamheten. De nya lagarna kommer att uppfylla kraven i både EU:s dataskyddsförordning och EU:s dataskyddsdirektiv på det brottsbekämpande området. Lagen om behandling av personuppgifter kommer, med de undantag som uttryckligen anges i lagen, att vara tillämplig på all behandling av personuppgifter som äger rum vid . Genom lagen om elimineringsdatabas införs tydliga rättsliga förutsättningar för att ska kunna föra en elimineringsdatabas i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser. De nya lagarna föreslås träda i kraft . Proposition 2019/20:106 Stärkt integritet i verksamhet. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Lag om behandling av personuppgifter m.m. Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Lag om behandling av personuppgifter m.m. antar regeringens förslag till 1. lag om behandling av personuppgifter, 2. lag om elimineringsdatabas. Därmed bifaller proposition 2019/20:106 punkterna 1 och 2. Följande ledamöter har deltagit i beslutet: (S), (SD), (KD), (C), (M), (M), (M), (L), (S), (S), (S), (S), (V), (SD), (SD), (MP) och (KD). Ärendet och dess beredning I detta betänkande behandlar utskottet regeringens proposition 2029/20:106 Stärkt integritet i verksamhet. I propositionen föreslår regeringen två nya lagar för verksamhet, nämligen lagen om behandling av personuppgifter och lagen om elimineringsdatabas. Förslagen syftar till att både stärka skyddet för den personliga integriteten och öka effektiviteten i verksamheten. De nya lagarna kommer att uppfylla kraven i både EU:s dataskyddsförordning och EU:s dataskyddsdirektiv på det brottsbekämpande området. Inga motioner har väckts med anledning av propositionen. Regeringens förslag till riksdagsbeslut återges i bilaga 1. Regeringens lagförslag finns i bilaga 2. Lag om behandling av personuppgifter m.m. Utskottets förslag i korthet antar regeringens förslag till lag om behandling av personuppgifter och lag om elimineringsdatabas. Dataskyddsförordningen (EU 2016/679) antogs . Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen är direkt tillämplig i alla medlemsstater och utgör numera den generella regleringen av personuppgiftsbehandling inom EU. Genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter dataskyddslagen, har förordningens tillämpningsområde utvidgats till att även omfatta behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten, med vissa specifika undantag (1 kap. 2 och 3 §§ dataskyddslagen). Dataskyddsförordningen gäller inte för sådan personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde (artikel 2.2 d). Även om dataskyddsförordningen är direkt tillämplig och ska tillämpas precis som om den vore svensk lag, både förutsätter och medger den nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Detta gäller särskilt sådan behandling som sker inom den offentliga sektorn. trädde dataskyddslagen i kraft och upphävdes personuppgiftslagen (1998:204). Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Inom ramen för det utrymme som dataskyddsförordningen ger reglerar lagen bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddsdirektivet (2008/977/RIF) innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 1.1). Direktivet ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1 (artikel 2.1). Ett bakomliggande syfte med dataskyddsdirektivets bestämmelser är att uppnå effektivitet på det straffrättsliga området, som en enhetlig och hög skyddsnivå för fysiska personers personuppgifter ska upprätthållas. Dataskyddsdirektivet hindrar inte medlemsstaterna från att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet för skyddet av den registrerades rättigheter och friheter med avseende på behöriga myndigheters behandling av personuppgifter (artikel 1.3). Dataskyddsdirektivet har genomförts i huvudsak genom att en ny ramlag har införts, brottsdatalagen (2018:1177), som trädde i kraft . Vidare har nya och anpassade registerförfattningar för bl.a. de brottsbekämpande myndigheterna och domstolarna tagits fram (prop. 2017/18:269). Brottsdatalagen gäller således för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Brottsdatalagen är, liksom dataskyddslagen, subsidiär. ansvarar enligt förordningen (2007:976) med instruktion för för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. bedriver verksamhet på sex olika orter runt om i landet, med ett gemensamt huvudkontor. Verksamheten är indelad i tre avdelningar – avdelningen för rättsgenetik och rättskemi, avdelningen för rättsmedicin och avdelningen för rättspsykiatri – men består av fyra verksamhetsområden, nämligen rättspsykiatri, rättskemi, rättsmedicin och rättsgenetik. En viktig uppgift för verket är att avge sakkunnigutlåtanden till rättsväsendets myndigheter. Främst rör det sig om utredningar i form av analyser och utlåtanden till polis, allmän åklagare och domstol. Utredningarna från är ofta en viktig del i brottsutredningar. Det kan exempelvis vara fråga om utredningar av onaturliga dödsfall eller bedömningar av om en person har begått ett brott under påverkan av en allvarlig psykisk störning. Verksamheten innefattar också uppdrag som inte har anknytning till brottsbekämpning. Det rör sig bl.a. om uppdrag från socialnämnderna som gäller fastställande av faderskap. Av 2 § i instruktionen framgår att särskilt ska ansvara för bl.a. rättspsykiatriska undersökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. (personutredningslagen), rättsmedicinska obduktioner och andra om rättsintyg i anledning av brott, rättsmedicinsk medverkan på begäran av domstol, allmän åklagare, eller Säkerhetspolisen, rättskemiska och rättsgenetiska undersökningar, rättsmedicinska åldersbedömningar samt utredningar om risk för återfall i brottslighet enligt lagen (2006:45) om omvandling av fängelse på livstid. får därutöver i enlighet med 3 § i instruktionen utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. Gemensamt för i princip samtliga ärenden är att de innefattar behandling av personuppgifter som i många fall medför särskilda risker för den personliga integriteten, exempelvis uppgifter om enskildas hälsa eller om misstanke om brott. Uppgifterna kommer bl.a. från , och , men det kommer också uppgifter från andra myndigheter liksom från enskilda. På vissa av myndighetens verksamhetsområden förekommer särskild lagstiftning. finns inte någon särskild lag om behandling av personuppgifter vid . Regeringen konstaterar inledningsvis att vid behandlas i stor utsträckning personuppgifter som är särskilt integritetskänsliga, bl.a. genetiska uppgifter och uppgifter om hälsa. De personuppgifter som behandlas vid är till stor del samma uppgifter som behandlas vid de uppdragsgivande myndigheterna. Antingen får del av uppgifterna i samband med att uppdraget lämnas till verket, eller så genereras personuppgifterna vid och lämnas ut till uppdragsgivaren i samband med att utredningsarbete är färdigt och uppdraget redovisas. Det kan konstateras att samtliga myndigheter som lämnar uppdrag till har registerförfattningar som reglerar behandlingen av personuppgifter. Skyddet för personuppgifter bör som utgångspunkt inte vara mindre omfattande vid än vid de uppdragsgivande myndigheterna. Enligt regeringens bedömning är EU:s dataskyddsförordning och den kompletterande dataskyddslagen som utgångspunkt tillämpliga på behandlingen av personuppgifter vid . När fullgör ett uppdrag i syfte att stödja sådan brottsutredande och liknande verksamhet som avses i dataskyddsdirektivet är i stället brottsdatalagen tillämplig för verkets behandling av personuppgifter. Behandling av personuppgifter i verksamhet som omfattas av unionsrätten faller sålunda antingen inom tillämpningsområdet för dataskyddsdirektivet, vilket huvudsakligen genomförs genom brottsdatalagen, eller inom tillämpningsområdet för dataskyddsförordningen. Brottsdatalagen och dataskyddsförordningen kan inte vara tillämpliga på samma behandling för samma syfte. Har samma behandling däremot flera olika syften kan regelverken vara tillämpliga parallellt. Det bör då betraktas som två olika behandlingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk (prop. 2017/18:232 s. 101). kommer, liksom andra myndigheter som bedriver verksamhet som kan omfattas av både dataskyddsförordningens och dataskyddsdirektivets regelverk, att ställas inför vissa gränsdragningsproblem. utför vissa uppgifter som i normalfallet inte har något samband med att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Det gäller exempelvis arbetet med släktskaps- eller faderskapsanalyser på det rättsgenetiska verksamhetsområdet. För sådan behandling, som inte faller inom dataskyddsdirektivets tillämpningsområde, ska dataskyddsförordningen tillämpas. En lag om behandling av personuppgifter i verksamhet Regeringen föreslår att de huvudsakliga bestämmelserna om behandling av personuppgifter i verksamhet ska tas in i en ny lag om behandling av personuppgifter. I 2 kap. 6 § andra stycket regeringsformen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får skyddet under vissa förutsättningar begränsas genom lag. Vid förekommer en rad olika ärendetyper och verket behandlar många olika slag av uppgifter. I samtliga ärendetyper förekommer regelmässigt uppgifter för att identifiera den person som ärendet gäller. I stor utsträckning behandlar verket även mycket integritetskänsliga uppgifter, exempelvis uppgifter om enskildas hälsa eller misstankar om brott. Regeringens bedömning är att den personuppgiftsbehandling som sker inom ramen för verksamhet får anses innefatta en sådan kartläggning av enskildas personliga förhållanden som avses i 2 kap. 6 § andra stycket regeringsformen, även om syftet med behandlingen är ett annat. Den avgörande frågan är då om det intrång i den personliga integriteten som behandlingen kan innebära är betydande. När har fullgjort ett uppdrag redovisas detta till uppdragsgivaren, t.ex. när en rättspsykiatrisk undersökning redovisas till en domstol, varvid personuppgifter lämnas ut till uppdragsgivaren. agerar då ofta i sin roll som stödfunktion för den brottsbekämpande och lagförande verksamhet som sker inom rättsväsendet. Med beaktande av främst dessa förhållanden, dvs. uppgifternas karaktär, ändamålet med behandlingen och det omfattande utlämnandet av känsliga uppgifter, gör regeringen bedömningen att i vart fall en stor del av personuppgiftsbehandling innebär ett sådant betydande intrång som avses i 2 kap. 6 § andra stycket regeringsformen. Av 2 kap. 20–21 §§ regeringsformen följer bl.a. att enskildas skydd mot sådana intrång får begränsas genom lag endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. fullgör viktiga samhällsuppgifter, bl.a. som en betydelsefull aktör i samhällets strävan att utreda och lagföra brott, och för att kunna utföra dessa uppgifter behöver verket behandla personuppgifter. En begränsning av skyddet i 2 kap. 6 § andra stycket regeringsformen för ändamålet att ska kunna fullgöra sina åligganden är enligt regeringen godtagbart i ett demokratiskt samhälle. Genom den aktuella lagen säkerställs att den tillåtliga behandlingen av personuppgifter inte går längre än vad som är nödvändigt för att uppnå detta ändamål. Sammanfattningsvis innebär det att den föreslagna regleringen är förenlig med regeringsformens krav. Utgångspunkter för den nya lagen Ramarna för personuppgiftsbehandling måste slås fast i lag. Även de bestämmelser som är av central betydelse för integritetsskyddet bör ges lagform. Det finns dock alltjämt utrymme att reglera viss annan personuppgiftsbehandling på lägre normgivningsnivå. Det anges att lagen ska gälla vid behandling av personuppgifter i verksamhet. Det införs också bestämmelser som anger att dataskyddslagen och brottsdatalagen och föreskrifter som har meddelats i anslutning till dessa lagar gäller, om inte annat följer av den nu föreslagna lagen eller föreskrifter som har meddelats i anslutning till den. Lagen ska innehålla en bestämmelse som upplyser om att det finns bestämmelser om behandling av personuppgifter i elimineringsdatabasen i den föreslagna lagen om elimineringsdatabas. Lagen föreslås gälla även för den behandling av personuppgifter i verksamhet som sker genom kamerabevakning. Dataskyddsregleringen ska i tillämpliga delar även gälla vid behandling av uppgifter om avlidna Regeringen föreslår att lagen om behandling av personuppgifter, EU:s dataskyddsförordning, dataskyddslagen, brottsdatalagen och föreskrifter som meddelats i anslutning till dessa lagar i tillämpliga delar ska gälla även vid behandling av uppgifter om avlidna i verksamhet. Varken dataskyddsförordningen eller dataskyddsdirektivet gäller avlidna personer (skäl 27 i förordningen och 1 kap. 6 § brottsdatalagen). Medlemsstaterna får dock enligt förordningen fastställa bestämmelser för behandling av uppgifter även rörande avlidna. Samma rätt torde vara förbehållen medlemsstaterna även inom direktivets tillämpningsområde. Vid förekommer uppgifter om avlidna personer i relativt stor utsträckning. Det rör sig ofta om uppgifter som är särskilt känsliga, t.ex. uppgifter om personer som utsatts för grov brottslighet. Det förekommer också uppgifter om enskildas psykiska eller fysiska hälsa, vilket kan innefatta information om exempelvis allvarlig sjukdom. För efterlevande kan det vara betydelsefullt att sådana uppgifter skyddas. Rättslig grund och ändamål för behandling av personuppgifter på dataskyddsförordningens tillämpningsområde De uppdrag som har att utföra och dess befogenheter framgår av myndighetens instruktion. Instruktionen utgör en tydlig, precis och förutsägbar rättslig grund som uppfyller kraven i artikel 6 i dataskyddsförordningen. Regeringen föreslår att ska få behandla personuppgifter om det är nödvändigt för att utföra myndighetens uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska och rättsgenetiska verksamheten. De uppdrag som har att utföra och dess befogenheter framgår av 3 § i myndighetens instruktion som anger att får utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. När behandlar personuppgifter enligt sitt uppdrag sker detta således för att utföra uppgifter av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) som följer av lag eller annan författning. Personuppgifter ska även få behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Det kan enligt propositionen gälla behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt 89.1 i dataskyddsförordningen. Rättslig grund och ändamål för behandling av personuppgifter på brottsdatalagens tillämpningsområde Regeringen föreslår att ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: förebygga, förhindra eller upptäcka brottslig verksamhet utreda eller lagföra brott verkställa straffrättsliga påföljder eller fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska enligt 2 kap. 1 § brottsdatalagen (2018:1177) framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Personuppgifter får dessutom behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning (2 kap. 2 § brottsdatalagen). Begreppet nödvändig är ett EU-rättsligt begrepp som betyder att behandlingen leder till effektivitetsvinster (prop. 2017/18:105 s. 189 och prop. 2017/18:232 s. 117). I 1–3 §§ förordningen (2007:976) med instruktion för anges vilka uppgifter ansvarar för. De uppgifter för vilka det är nödvändigt att behandlar personuppgifter inom brottsdatalagens område är av olika slag, men i merparten av fallen består uppgiften antingen i att agera stödfunktion för att utreda eller lagföra brott eller att verkställa en straffrättslig påföljd. Betydligt mer sällan torde det förekomma behandling av personuppgifter för att ska kunna utföra en uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet. I roll som stödfunktion för brottsutredande och annan verksamhet kan det dock inte uteslutas att personuppgiftsbehandling för sådana ändamål skulle kunna aktualiseras. I likhet med vad som gäller enligt flera andra registerförfattningar på brottsdatalagens område, bör fullgörande av internationella förpliktelser vara en tillåten rättslig grund för personuppgiftsbehandling. Det ska framgå genom en hänvisning till brottsdatalagen att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. En behörig myndighet får också behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål. Behandling av känsliga personuppgifter inom dataskyddsförordningens tillämpningsområde I dataskyddsförordningens artikel 9.1 stadgas ett principiellt förbud mot att behandla känsliga personuppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Från förbudet görs en rad undantag som tillåter behandling av känsliga personuppgifter under vissa förutsättningar, t.ex. om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (artikel 9.2 j). Ytterligare ett undantag gäller behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet m.m. (artikel ). Det är möjligt för medlemsstaterna att i nationell rätt införa mer specifika bestämmelser även när det gäller känsliga personuppgifter (artikel 6.2 och skäl 10). Medlemsstater får också behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. uppdrag framgår i huvudsak av 1–3 §§ i myndighetens instruktion. När behandlar känsliga personuppgifter som är nödvändiga för att utföra de uppgifter som framgår av dess instruktion rör det sig om en sådan behandling som avses i artikel i dataskyddsförordningen. Därvid uppställer dataskyddsförordningen även ett krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I 3 kap. 3 § andra stycket dataskyddslagen har det införts ett förbud att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. I verksamhet utgör känsliga personuppgifter en betydande del av den totala mängden personuppgifter som behandlas. En begränsning av hur känsliga personuppgifter får behandlas, exempelvis när det gäller sökning, skulle få en stor effekt i verksamhet och stärka skyddet för enskildas personliga integritet. Regeringen föreslår mot den bakgrunden förbud mot att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Sökförbudet ska inte hindra att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar och uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet ska inte heller hindra sökning i en viss handling eller i ett visst ärende. behandling av känsliga personuppgifter i övrigt bör enligt regeringen inte särregleras i lagförslaget. Med genetiska uppgifter avses enligt artikel 4.13 i dataskyddsförordningen alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Biometriska uppgifter är personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 4.14). I verksamhet finns ett stort behov av sökningar som rör uppgifter om hälsa samt biometriska och genetiska uppgifter. Dessa behövs bl.a. vid dna-analyser i ärenden om uppehållstillstånd på grund av familjeanknytning som utförs på uppdrag av liksom vid faderskapsutredningar. Sökförbudet bör därför inte omfatta sökningar i syfte att få fram ett urval av personer grundat på dessa uppgifter. Eftersom det finns ett påtagligt behov för att göra den aktuella typen av sökningar bör det tillåtas. Regeringen bedömer att en sådan reglering är förenlig med dataskyddsförordningen. Den föreslagna bestämmelsen om sökförbud i föregående avsnitt gäller alltså inte alla slags känsliga personuppgifter. Sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter eller genetiska uppgifter omfattas inte. I framför allt identifieringsärenden vid kan det vara nödvändigt att som sökbegrepp använda uppgifter om en persons utseende. En sådan uppgift utgör inte en känslig personuppgift men kan i vissa fall t.ex. avslöja information om en persons etniska ursprung. Det finns därför skäl att införa en reglering som gör det möjligt att som sökbegrepp använda uppgifter om en persons utseende också i sådana fall som annars skulle träffas av det föreslagna sökförbudet. Behandling av känsliga personuppgifter inom brottsdatalagens tillämpningsområde