prop · H703106 · 2020-03-10 00:00:00 — Till skillnad mot sökförbudet i 3 kap. 3 § andra stycket dataskyddslagen, som endast gäller vid behandling av känsliga personuppgifter med stöd av det generella myndighetsundantaget i 3 kap. 3 § första stycket, bör en bestämmelse om sökförbud för ges en mer generell utformning och kompletteras med de undantag som är nödvändiga för att verket ska kunna fullgöra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. En sådan reglering tar tillvara den enskildes intresse av att begränsa behandlingen av känsliga personuppgifter i så stor utsträckning som möjligt, som behov av att behandla personuppgifter på ett ändamålsenligt sätt tillgodoses. I verksamhet finns ett stort behov av sökningar avseende uppgifter om hälsa samt biometriska och genetiska uppgifter. Dessa behövs bl.a. vid dna-analyser i ärenden om uppehållstillstånd på grund av familjeanknytning som utförs på uppdrag av liksom vid faderskapsutredningar. Sökförbudet bör därför inte omfatta sökningar i syfte att få fram ett urval av personer grundat på dessa uppgifter. RSMH avstyrker förslaget att det ska vara tillåtet för att göra sökningar avseende uppgifter som rör hälsa då det står i direkt strid med artikel 9.1 i dataskyddsförordningen. Som redogörs för ovan innehåller dataskyddsförordningen dock en rad undantag från det generella förbudet att behandla känsliga personuppgifter och det är även möjligt att införa mer specifika bestämmelser i nationell rätt. Sökbegränsningar utgör en åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel i dataskyddsförordningen). En sådan bestämmelse måste utformas så att den enskildes personliga integritet värnas som ges förutsättningar att utföra sitt uppdrag. Eftersom det finns ett påtagligt behov för att göra den aktuella typen av sökningar bör det tillåtas. Regeringen bedömer sammanfattningsvis att en sådan reglering är förenlig med dataskyddsförordningen. När det gäller andra känsliga personuppgifter än uppgifter om hälsa samt biometriska och genetiska uppgifter bör särskilda undantag från sökförbudet utformas med hänsyn tagen till verksamhetsbehov. I verksamhet kan det vara nödvändigt att behandla beteckningar för identifiering av en viss ärendetyp, exempelvis ärendekoder som används för en viss kategori av Både domstolsdatalagen och lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område innehåller ett motsvarande undantag från sökförbudet vid användning av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp. förarbetena till domstolsdatalagen anges att målgrupps- och måltypskoder används i mycket stor utsträckning i den dagliga verksamheten och regeringen gjorde bedömningen att det inte framkommit att detta skulle medföra några särskilda risker i integritetshänseende (prop. s. 63). Att tillåta sådana sökningar skulle medföra påtaglig verksamhetsnytta för och bedöms inte heller i detta sammanhang medföra några större risker i integritetshänseende. särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp bör därför vara tillåtna. efterlyser ett förtydligande av undantaget för att inte riskera en icke avsedd tillämpning av detta. Regeringen delar inte dessa farhågor utan anser att det framgår tämligen väl av undantagets ordalydelse vad som avses. beteckningar som omfattas av undantaget kan vara de olika beteckningarna som finns i de rättsgenetiska ärendena. utformningen av bestämmelsen ansluter vidare till regleringen i 14 § domstolsdatalagen och 6 § andra stycket lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. anser sammanfattningsvis inte att det finns behov av ytterligare Det är dock viktigt att vidtar bl.a. tekniska åtgärder och utarbetar rutiner för att minska risken för behandling i strid med sökförbudet. I framför allt identifieringsärenden vid kan det vara nödvändigt att som sökbegrepp använda uppgifter om en persons En sådan uppgift utgör inte en känslig personuppgift men kan i vissa fall t.ex. avslöja information om en persons Det finns därför skäl att införa en reglering som gör det möjligt att som sökbegrepp använda uppgifter om en persons utseende också i sådana fall som annars skulle träffas av det föreslagna sökförbudet. Artikel 10 i dataskyddsförordningen innehåller begränsningar vad gäller möjligheten att behandla personuppgifter som rör fällande domar i Sådana uppgifter om lagöverträdelser får endast utföras under kontroll av en myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga för de registrerades rättigheter och I 3 kap. 8 § dataskyddslagen förtydligas att de personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter. finns således inte något hinder i och för sig mot att behandlar uppgifter om lagöverträdelser. Det kan dock förekomma situationer då en behandling av uppgifter om lagöverträdelser också skulle utgöra en sådan behandling av känsliga personuppgifter som avses i den I förarbetena till lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdata- 2019/20:106 ”våldtäkt mot barn” skulle kunna avslöja sexuella preferenser hos gärningsmän (prop. 2017/18:269 s. 212–213). I verksamhet finns behov av att som sökbegrepp kunna använda brottsrubriceringar. En möjlighet att göra det även i de fall som annars skulle omfattas av sökförbudet bör därför införas i lagen. Som regeringen tidigare konstaterat innebär sökning bland en begränsad mängd uppgifter mindre integritetsrisker än sökning i större uppgiftsmängder (prop. 2014/15:148 s. 63–64). kan en möjlighet för att göra sökningar i en viss handling eller i ett visst ärende antas medföra effektivitetsvinster i det dagliga arbetet. Sådana sökningar bör därför inte heller omfattas av sökförbudet. Behandling av känsliga personuppgifter inom Regeringens förslag: ska få behandla biometriska och genetiska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Det ska vara förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell Sökförbudet ska inte hindra att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. ska inte heller hindra sökningar i en viss handling eller i ett visst ärende. Regeringens bedömning: Sökförbudet i brottsdatalagen som avser känsliga personuppgifter bör inte gälla för . bestämmelse som uttryckligen upplyser om detta och att i stället bestämmelserna om sökförbud i den föreslagna lagen ska gälla, behövs Med undantag för vad som ska gälla för behandling av biometriska och genetiska uppgifter samt sökning avseende känsliga personuppgifter bör inte några särbestämmelser införas när det gäller behandling av känsliga personuppgifter. Utredningens förslag och bedömning överensstämmer i huvudsak Utredningen föreslår en bestämmelse som uttryckligen upplyser om att andra bestämmelser än brottsdatalagens sökförbud ska Utredningen anser inte att det finns ett behov av att införa en särskild bestämmelse avseende behandling av biometriska och genetiska uppgifter. Remissinstanserna: anser att det undantag som föreslås för användningen av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp saknar tydlig avgränsning och att undantaget därför kan riskera att få en vidare tillämpning än vad som avsetts. Datainspektionen påtalar vikten av att , som en konsekvens av den föreslagna bestämmelsen avseende undantag från sökförbudet, vidtar åtgärder för att undvika risk för kringgående. anser att bestämmelser om sökbegränsningar inte behövs. Övriga remissinstanser yttrar sig inte i sak Prop. 2019/20:106 över förslagen. Skälen för regeringens förslag och bedömning Behandling av känsliga personuppgifter För behandling av känsliga personuppgifter ställer dataskyddsdirektivet upp ytterligare villkor, utöver de krav som gäller för behandling av personuppgifter i allmänhet. Av artikel 10 i direktivet framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, samt behandling av genetiska uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person eller uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning endast är tillåten om det är absolut nödvändigt och under förutsättning att det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Dessutom krävs det att behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, att den utförs för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person, eller att behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Brottsdatalagens regler om behandling av känsliga personuppgifter är strängare än vad dataskyddsdirektivet kräver. Således föreskriver 2 kap. 11 § brottsdatalagen att personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning som huvudregel inte får behandlas. Om andra uppgifter om en person behandlas, får dessa dock kompletteras med sådana känsliga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. För genetiska uppgifter och biometriska uppgifter innehåller brottsdatalagen specialbestämmelser. Med genetiska uppgifter avses enligt brottsdatalagen personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i fråga (1 kap. 6 §). Främst rör det sig om information som kan tas fram vid dna-analyser. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Själva dna-profilen är endast en siffer- eller bokstavskombination, vilket innebär att profilen i sig inte är en genetisk uppgift. Den är i stället en biometrisk uppgift. Biometriska uppgifter är enligt brottsdatalagen personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar unik identifiering av denna fysiska person, såsom vissa ansiktsbilder eller fingeravtrycksuppgifter (1 kap. 6 §). Av brottsdatalagen framgår att biometriska och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 12 §). Känsliga personuppgifter får vidare alltid behandlas med stöd av 2 kap. 2 §, dvs. om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en 2019/20:106 behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning (2 kap. 13 §). Om det inte rör sig om nödvändig diarieföring eller handläggning i anslutning till en anmälan, ansökan eller liknande får alltså känsliga personuppgifter enligt brottsdatalagen bara behandlas om uppgifter om personen behandlas av annat skäl och om behandlingen är absolut Eftersom genetiska och biometriska uppgifter kan innehålla oidentifierade avtryck eller spår fungerar huvudregeln, att känsliga personuppgifter endast får behandlas om någon annan uppgift om den aktuella personen också behandlas, inte i dessa fall. bakomliggande anledningen till särregleringen för genetiska respektive biometriska uppgifter i brottsdatalagen (prop. 2017/18:232 s. 153–154). behandlar i stor utsträckning känsliga Det rör sig framför allt om uppgifter om hälsa (exempelvis i rättsmedicinska ärenden, men även inom rättspsykiatrin) och genetiska respektive biometriska uppgifter. nödvändig för diarieföring eller för myndighetens handläggning i anslutning till en anmälan, ansökan eller liknande, på det sätt som anges i 2 kap. 2 § brottsdatalagen. Med anmälan, ansökan eller liknande avses alla slag av framställningar till en behörig myndighet och paragrafen kan då ge stöd för behandling av uppgifter i samband med att framställningen besvaras (prop. 2017/18:232 s. 441). I många andra fall kompletteras uppgifter om en person med känsliga personuppgifter på det sätt som anges i 2 kap. 11 §. Även om restriktivitet är påkallad och en bedömning måste göras i det enskilda fallet kan den närmare innebörden av uttrycket absolut nödvändigt variera mellan olika myndigheter eftersom deras verksamheter och behov av att behandla känsliga personuppgifter skiljer sig åt (prop. 2017/18:232 s. 153). Att känsliga personuppgifter kan behandlas är en förutsättning för att ska kunna fullgöra sitt uppdrag och den behandling av känsliga personuppgifter som sker när verket utför sina uppgifter bör, som en utgångspunkt, anses vara absolut nödvändig. Bestämmelserna om behandling av känsliga personuppgifter i brottsdatalagen ger således i stor utsträckning stöd för den behandling av känsliga personuppgifter som har För att genetiska och biometriska uppgifter ska få behandlas krävs dock, förutom att det är absolut nödvändigt för ändamålet, att det är (2 kap. 12 § brottsdatalagen). ett tydligt stöd för den behandling av genetiska och biometriska uppgifter som är absolut nödvändig anser regeringen därför, till skillnad från utredningen, att det bör införas en bestämmelse i lagen som uttryckligen medger sådan behandling. finns i bl.a. 2 kap. 4 § lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område. Som framgått kräver dataskyddsdirektivet att det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter för att känsliga personuppgifter ska få behandlas (artikel 10). brottsdatalagen framhålls, utöver att känsliga personuppgifter i allmänhet bara får behandlas om uppgifter om personen behandlas av annat skäl och det är absolut nödvändigt, att ett sökförbud kan vara en verkningsfull skyddsåtgärd (prop. 2017/18:232 s. 153 och 155). bedömning bör, precis som på dataskyddsförordningens område, sökförbud gälla vid behandling av personuppgifter inom brottsdatalagens tillämpningsområde enligt den nu föreslagna lagen. I följande avsnitt behandlar regeringen hur ett sökförbud för behandling av personuppgifter på brottsdatalagens område lämpligen bör utformas. Vidare omgärdas verksamhet av omfattande sekretess, bl.a. för uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden (25 kap. 1 § offentlighets- och sekretesslagen). Genom bl.a. sekretessregleringen, införandet av ett sökförbud och den ovan redovisade regleringen i brottsdatalagen, anser regeringen att direktivets krav på skyddsåtgärder är uppfyllt. Enligt brottsdatalagen är det förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter (2 kap. 14 §). Utredningen föreslår att den nu föreslagna lagen ska innehålla särskilda bestämmelser om sökning avseende känsliga uppgifter som ersätter brottsdatalagens sökförbud samt en bestämmelse som upplyser om detta förhållande. Att har tillgång till ändamålsenliga sökfunktioner är viktigt för att myndigheten på ett effektivt sätt ska kunna fullgöra sina uppgifter. För att uppnå ett starkt integritetsskydd som beaktar verksamhetsbehov bedömer regeringen i likhet med utredningen att sökförbudet i brottsdatalagen inte bör gälla för utan att särskilt anpassade bestämmelser om sökning avseende känsliga uppgifter bör införas i den nu föreslagna lagen. Eftersom brottsdatalagen är subsidiär och lagen föreslås innehålla särskilda avvikande bestämmelser om sökning saknas det dock behov av en upplysningsbestämmelse om detta. De bestämmelser som reglerar sökningar avseende känsliga personuppgifter måste utformas på ett sådant sätt att risken för obefogade integritetsintrång minimeras, som ges förutsättningar att bedriva sin verksamhet effektivt. Som utgångspunkt bör sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter inte vara tillåtna. Sökningar som är nödvändiga för att ska kunna fullgöra sitt uppdrag bör dock tillåtas. När det gäller den närmare utformningen av det sökförbud som bör införas gör regeringen samma bedömningar som redovisas beträffande motsvarande bestämmelser på dataskyddsförordningens område (se avsnitt 6.3.12). Det innebär att sökförbudet, som utredningen föreslår, inte bör omfatta sökningar som rör hälsa, biometriska och genetiska uppgifter. Vidare bör särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar och uppgifter som beskriver en persons utseende få användas som sökbegrepp. Som framgår i avsnitt 6.3.12 anser regeringen, i motsats till , inte att den förstnämnda kategorien av sökbegrepp är för otydligt avgränsad. Som framhålls i det avsnittet finns dessutom en motsvarande reglering både i domstolsdatalagen och lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område. Dataskyddsdirektivet och brottsdatalagen saknar, liksom dataskyddsförordningen, begränsningar vad gäller myndigheters möjlighet att behandla uppgifter om 2019/20:106 lagöverträdelser. För att ska ges möjlighet att använda brottsrubriceringar som sökbegrepp även i de fall detta annars skulle ha omfattats av det föreslagna sökförbudet, bör dock ett sådant undantag införas. Inte heller sökningar i en viss handling eller i ett visst ärende bör omfattas av sökförbudet. Avslutningsvis instämmer regeringen i Datainspektionens synpunkt att det är viktigt att , som en konsekvens av de föreslagna undantagen från sökförbudet, vidtar åtgärder för att undvika risk för kringgående. Sådana åtgärder, utöver rent tekniska begränsningar i olika it-system, kan t.ex. vara att utarbeta rutiner som säkerställer att sökning endast kan ske för ett visst tillåtet syfte. Det är även viktigt att dokumentera syftet med sökningar avseende känsliga personuppgifter både ur ett verksamhetsperspektiv och ett tillsynsperspektiv. 6.3.14Elektroniskt utlämnande av personuppgifter Regeringens förslag: Personuppgifter ska få lämnas ut elektroniskt, om det inte är olämpligt. Utlämnande ska dock inte få ske i form av direktåtkomst. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig särskilt i Datainspektionen avstyrker förslaget och efterfrågar en tydligare reglering avseende vid vilka konkreta omständigheter det är olämpligt att lämna ut personuppgifter elektroniskt. av Samhällsmagasinet Avsnitt anser att uttrycket lämnas ut elektroniskt är för vitt. Kammarrätten i har synpunkter på bestämmelsernas placering. anser att utlämnande bör få ske endast om tillräckliga åtgärder för att säkerställa författningsenlig behandling har vidtagits. Skälen för regeringens förslag: Personuppgifter hanteras vid i stor utsträckning i elektronisk form. I takt med utvecklingen av modern teknik har möjligheten till olika slags elektroniskt utlämnande av personuppgifter ökat och bidragit till effektivitetsvinster vid framför allt myndigheters kommunikation sinsemellan, men också vid myndigheters kontakter med enskilda. Med elektroniskt utlämnande avses såväl s.k. direktåtkomst som annat utlämnande i elektronisk form, t.ex. via e-post eller usb-minne. Direktåtkomst innebär att en mottagare har direkt tillgång till någon annans register eller databas och därigenom på egen hand kan ta del av information (se HFD 2015 ref. 61). Det anses vara den mest integritetskänsliga formen av elektroniskt utlämnande av uppgifter. Dataskyddsförordningen och dataskyddsdirektivet innehåller inte några uttryckliga bestämmelser om elektroniskt utlämnande av personuppgifter. Det gör inte heller brottsdatalagen eller dataskyddslagen. Något generellt hinder mot sådant utlämnande finns alltså inte. Av artikel 6.3 i dataskyddsförordningen framgår dock att den rättsliga grunden, som ska fastställas i unionsrätten eller medlemsstaternas nationella rätt, kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bland annat vad gäller typer av behandling och förfaranden för behandling. personuppgifter utgör en form av behandling och det är alltså möjligt att i nationell rätt införa regler som preciserar förutsättningarna för sådant En mycket stor del av de uppgifter som behandlar finns i elektronisk form och personuppgifter lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Så är exempelvis fallet med olika slags rättskemiska analyssvar, men även andra uppdrag redovisas ofta i Sådan elektronisk kommunikation är regelmässigt kostnadseffektiv för både avsändare och mottagare, jämfört med att skicka uppgifter med brev. bör även fortsättningsvis kunna lämna ut personuppgifter i elektronisk form. Något uttryckligt hinder mot att så sker finns, som framgår ovan, inte i den EU-rättsliga dataskyddsregleringen och inte heller i de svenska författningar som anknyter till de unionsrättsliga bestämmelserna. En fråga att ta ställning till är därför om lagförslaget bör innehålla en bestämmelse om elektroniskt utlämnande och, i så fall, hur en sådan bestämmelse bör utformas. Vid förekommer i stor utsträckning Elektronisk överföring av sådana uppgifter bör noga övervägas. Riskerna med att överföra uppgifter elektroniskt, som bl.a. kan bestå i en ökad fara att uppgifter sprids eller att någon annan än den avsedda mottagaren får del av uppgifterna, måste vägas mot och mottagarnas behov av effektiva Enligt regeringen uppnås en ändamålsenlig avvägning mellan dessa intressen genom en reglering som gör det möjligt för att lämna ut uppgifter elektroniskt, men som innehåller en begränsning av när så får ske. registerförfattningar som är tillämpliga vid de myndigheter som är huvudsakliga uppdragsgivare innehåller en bestämmelse av innebörd att elektroniskt utlämnande får ske, om det inte är olämpligt (se t.ex. 9 § lagen om domstolarnas behandling av personuppgifter inom brottsdatalagens område). Det finns inte skäl att behandla annorlunda i detta hänseende och en bestämmelse med motsvarande innebörd bör därför införas även för Datainspektionen avstyrker förslaget och efterfrågar en tydligare reglering avseende vid vilka konkreta omständigheter det är olämpligt att lämna ut personuppgifter elektroniskt. konstaterat bör vid lämplighetsbedömningen göras skillnad mellan utlämnande till myndigheter och utlämnande till enskilda (prop. 2017/18:269 s. 136). Det bör normalt inte anses olämpligt att lämna ut personuppgifter elektroniskt till myndigheter. Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid personuppgifterna lämnas ut på annat sätt. När det gäller enskilda kan det krävas närmare överväganden bl.a. med hänsyn till vem mottagaren är och vilken säkerhet mottagaren har för sin personuppgiftsbehandling. personuppgiftsansvarig är skyldig att säkerställa att bl.a. adekvata tekniska och organisatoriska åtgärder har vidtagits följer av bestämmelserna i dataskyddsförordningen (artiklarna 24, 25 och 32) och brottsdatalagen (3 kap. 2–8 §§). Det finns inte skäl att, som förordar, uttryckligen hänvisa till dessa bestämmelser. Vid bedömningen om ett 2019/20:106 utlämnande är olämpligt ska bl.a. typen av personuppgifter beaktas. Den närmare innebörden av vad som ska anses vara ett sådant olämpligt utlämnande får dock utvecklas genom tillsynsmyndighetens arbete och i domstolspraxis. Det finns dessutom utrymme för regeringen eller den myndighet regeringen bestämmer att meddela ytterligare föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt (se avsnitt 6.3.15).