prop · H703106 · 2020-03-10 00:00:00 — Enligt ikraftträdande- och övergångsbestämmelserna till brottsdatalagen får en sanktionsavgift inte tas ut för överträdelser som har skett före ikraftträdandet. Äldre föreskrifter ska i stället fortsätta att gälla för sådana överträdelser (prop. 2017/18:232 s. 426). bestämmelser på brottsdatalagens område i lagen om personuppgiftsbehandling eller föreskrifter meddelade i anslutning till den, ska också kunna leda till sanktionsavgifter (se avsnitt 6.3.16). I lagen behövs därför motsvarande övergångsbestämmelse angående sanktionsavgifter som i brottsdatalagen (prop. 2017/18:269 s. 284). På dataskyddsförordningens område föreslås inte några bestämmelser om sanktionsavgifter utöver de som finns i förordningen och i dataskyddslagen (se avsnitt 6.3.16). Det finns därför inget behov av övergångsbestämmelser. Regeringen gör alltså, till skillnad från 2019/20:106 utredningen, bedömningen att någon övergångsbestämmelse avseende sanktionsavgifter på förordningens område inte behövs i lagen om behandling av personuppgifter. Utredningen föreslår en övergångsbestämmelse i lagen om behandling av personuppgifter som anger att äldre föreskrifter om skadestånd fortfarande ska gälla för skada som har orsakats vid behandling av personuppgifter före ikraftträdandet. I lagen om elimineringsdatabas föreslår utredningen vidare en övergångsbestämmelse som anger att bestämmelserna om skadestånd endast ska tillämpas på skada som inträffat efter ikraftträdandet. Det har dock i tidigare lagstiftningsärenden ansetts att det saknas ett behov av sådana övergångsbestämmelser (se t.ex. prop. 2017/18:105 s. 176). Regeringen gör inte nu någon annan bedömning. Utredningens förslag i den delen bör därför inte genomföras. Övergångsbestämmelser angående den befintliga elimineringsdatabasen Som redogörs för i avsnitt 7.1 finns en elimineringsdatabas vid . Samtycke har ansetts vara en grund för behandling av personuppgifterna i databasen. Möjligheten för myndigheter att grunda behandling av personuppgifter på samtycke är dock begränsad. För personer som tidigare samtyckt till provtagning och vars dna-profiler finns i den befintliga databasen, framstår det dock som ändamålsenligt att inte behöva göra om provtagningen för att dna-profilerna ska kunna registreras i den nya elimineringsdatabasen. Regeringen delar utredningens bedömning att det bör finnas en möjlighet för registrerade att godta att befintliga dna-profiler förs över till den nya databasen. Den bedömningen gjorde också regeringen när övergångsbestämmelser till lagen om elimineringsdatabas infördes (prop. 2013/400:110 s. 468–470). De registrerade bör kunna meddela att man godtar detta under en viss övergångsperiod. Dna-profiler som inte förs över till den nya databasen ska efter gallras. En övergångsbestämmelse av denna innebörd bör därför införas. Personer som inte godtar överföringen av dna-profiler, men som enligt lagförslaget omfattas av en skyldighet att lämna dna-prov, ska behandlas på samma sätt som om de inte tidigare lämnat något prov. Regeringens bedömning: För kommer förslagen att kräva utbildning och systemanpassningar. Kostnaderna för utbildning ryms inom befintliga anslag. Förslagen innebär en förstärkning av skyddet för enskildas personliga integritet. Förslagen förväntas inte få några direkta effekter på brottsligheten. Förslagen har inte någon påverkan på jämställdheten mellan män och kvinnor eller på möjligheterna att nå de integrationspolitiska målen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna invänder mot utredningens bedömning. Skälen för regeringens bedömning: Inledningsvis kan det konstateras att konsekvenserna av den EU-rättsliga dataskyddsreformen i sin helhet inte analyseras inom ramen för den här propositionen. Analysen av konsekvenser omfattar endast de förslag som föreslås här, nämligen lagen om behandling av personuppgifter och lagen om elimineringsdatabas. Regeringens förslag till lag om behandling av personuppgifter och lag om elimineringsdatabas innebär att helt ny lagstiftning kommer att gälla på de områden som förslagen omfattar. Myndighetens tillämpning av dessa bestämmelser kommer att kräva systemanpassningar och utbildning av de medarbetare som ska tillämpa reglerna. Kostnader för utbildning innefattas normalt av myndigheters anslag och de förslag regeringen lämnar får därför rymmas inom befintliga kostnadsramar för . På motsvarande sätt är det med systemanpassningarna. Den nya lagstiftning som föreslås kan komma att kräva nya interna föreskrifter och styrande dokument inom . Att ta fram sådant material ingår i de normala uppgifterna för myndigheter. Genom regeringens förslag får verket lagstiftning som är direkt anpassad till verksamheten. Även om införandet av framför allt lagen om behandling av personuppgifter åtminstone inledningsvis kommer att kräva utbildning och information om de nya bestämmelserna, bör lagstiftningen underlätta för myndigheten. Ett grundläggande syfte med den EU-rättsliga dataskyddsreformen är att stärka integritetsskyddet för enskilda och ge dem bättre möjligheter att kunna kontrollera hur behandlingen av personuppgifter sker. Brottsdatalagen respektive dataskyddslagen syftar också till att stärka skyddet för den enskildes personliga integritet. Genom de lagar som föreslås införs tydligare ramar och förutsättningar för behandling av personuppgifter. En förtydligad reglering som är anpassad efter särskilda behov innebär mindre risker för otillåten behandling av personuppgifter. Lagarna innehåller även skyddsåtgärder i syfte att värna enskildas personliga integritet. Sammantaget är det regeringens bedömning att förslagen kommer att förstärka skyddet för enskildas personliga integritet. Regeringen bedömer att de förslag som läggs fram inte kan förväntas medföra några direkta effekter på brottsligheten (jfr prop. 2017/18:232 s. 421). Däremot kan förbättrade möjligheter till informationsutbyte mellan och brottsbekämpande myndigheter och andra myndigheter som lämnar uppdrag till verket få positiva effekter för uppdragsgivarnas verksamhet. Regeringen bedömer att förslagen inte har någon påverkan på jämställdheten mellan män och kvinnor och att de inte heller kommer att påverka möjligheterna att nå de integrationspolitiska målen. 2019/20:106 10 10.1Förslaget till lag om behandling av personuppgifter 1 kap. Allmänna bestämmelser 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Paragrafen innehåller en reglering av lagens tillämpningsområde. Övervägandena finns i avsnitt 6.3.6. I första stycket slås fast att lagen reglerar den behandling av personuppgifter som sker i verksamhet. Lagen gäller oavsett inom vilket av verksamhetsområden och i vilken ärendetyp behandlingen sker. Även behandling av en utomstående aktör som gett i uppdrag att utföra en uppgift som åvilar verket sker i verkets verksamhet och faller således inom lagens tillämpningsområde. Viss behandling av personuppgifter vid regleras dock i annan lagstiftning, vilket framgår av 5 §. Med begreppet personuppgift avses samma sak som i artikel 4.1 i Europarlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), härefter dataskyddsförordningen, och i 1 kap. 6 § brottsdatalagen (2018:1177). Att bestämmelserna i lagen, i tillämpliga delar, också gäller behandling av uppgifter om avlidna personer, framgår av 7 §. Andra stycket begränsar lagens tillämpningsområde till helt eller delvis automatiserad behandling av personuppgifter och behandling om personuppgifterna ingår i eller kommer att ingå i ett register. För helt eller delvis automatiserad behandling krävs det alltså inte att personuppgifterna ingår i eller är avsedda att ingå i ett register för att lagen ska vara tillämplig. Även behandling av personuppgifter i löptext omfattas således när det är fråga om automatiserad behandling. Begreppet register definieras likalydande i artikel 4.6 i dataskyddsförordningen och i artikel 3 i dataskyddsdirektivet. I stället för registerbegreppet används i brottsdatalagen uttrycket en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier för att avgränsa brottsdatalagens tillämpningsområde (1 kap. 3 §). Innebörden av de båda begreppen är dock densamma. 2 § I detta kapitel finns allmänna bestämmelser om behandling av personuppgifter i verksamhet. Bestämmelserna i 2 kap. gäller vid behandling av personuppgifter inom det Prop. 2019/20:106 område som omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Bestämmelserna i 3 kap. gäller vid behandling av personuppgifter inom det område som omfattas av brottsdatalagen (2018:1177). Paragrafen innehåller en beskrivning av lagens uppbyggnad. Av första stycket framgår att 1 kap. innehåller allmänna bestämmelser, som är tillämpliga oavsett om personuppgiftsbehandlingen i verksamhet faller inom dataskyddsförordningens eller brottsdatalagens tillämpningsområde. I andra stycket anges att bestämmelser som gäller för behandling av personuppgifter på dataskyddsförordningens område finns i 2 kap. Tredje stycket anger att bestämmelser som gäller för behandling av personuppgifter på brottsdatalagens område finns i 3 kap. Förhållandet till annan reglering 3 § Denna lag kompletterar EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen upplyser om att lagen kompletterar dataskyddsförordningen och anger hur lagen förhåller sig till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 5.1 och 6.3.2. Dataskyddsförordningen utgör den generella regleringen av personuppgiftsbehandling inom EU. Förordningen är direkt tillämplig i varje medlemsstat. Av artikel 2.2 d i förordningen framgår att förordningen inte ska tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dataskyddsförordningen är således inte tillämplig i de fall då brottsdatalagen är tillämplig. Vad gäller gränsdragningen mellan behandling av personuppgifter i verksamhet inom dataskyddsförordningens respektive brottsdatalagens område, se författningskommentaren till 4 §. I första stycket anges att lagen kompletterar dataskyddsförordningen. 2 § framgår att det är lagens första och andra kapitel som kompletterar dataskyddsförordningen. Att dataskyddsförordningen är direkt tillämplig i varje medlemsstat innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller sådana 2019/20:106 kompletterande bestämmelser som gäller för behandling av personuppgifter i verksamhet på dataskyddsförordningens område. Hänvisningarna i lagen till dataskyddsförordningen är dynamiska, dvs. de avser förordningen i dess gällande lydelse. I andra stycket klargörs att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter på dataskyddsförordningens område enligt denna lag. Av 2 § framgår att det är lagens första och andra kapitel som tillämpas vid behandling av personuppgifter på förordningens område. Dataskyddslagen och dess föreskrifter gäller endast om inte något annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. 4 § När i egenskap av behörig myndighet enligt 1 kap. 6 § brottsdatalagen (2018:1177) behandlar personuppgifter enligt denna lag i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder gäller brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen upplyser om lagens förhållande till brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen. finns i avsnitt 5.1, 6.2 och 6.3.2. Vid behandling av personuppgifter i verksamhet kan både dataskyddsförordningen och dataskyddsdirektivet, som i svensk rätt genomförts genom brottsdatalagen, vara tillämpliga. När som behörig myndighet behandlar personuppgifter för något av de syften som anges i paragrafen är brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen tillämpliga på behandlingen. definieras i 1 kap. 6 § brottsdatalagen som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, när myndigheten behandlar personuppgifter för ett sådant syfte. En behörig myndighet i brottsdatalagens mening kan också vara en annan aktör som anförtrotts myndighetsutövning för något av de nyssnämnda syftena, när den behandlar personuppgifter för dessa syften. Att brottsdatalagen gäller om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till den innebär att brottsdatalagen gäller när behandlar personuppgifter för de syften som anges i paragrafen medan förevarande lag endast innehåller bestämmelser som innebär preciseringar, undantag eller avvikelser från brottsdatalagen. Bestämmelserna i lagen måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. personuppgiftsbehandling inom brottsdatalagens tillämpningsområde bl.a. brottsdatalagens grundläggande bestämmelser om krav på behandlingen, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, tillsyn över personuppgiftsbehandlingen, administrativa sanktionsavgifter och internationella organisationer, med de kompletterande bestämmelser som finns i 1 och 3 kap. i denna lag. För att kunna avgöra om en viss behandling av personuppgifter vid faller inom dataskyddsförordningens eller brottsdatalagens tillämpningsområde, är det nödvändigt att veta i vilket syfte en viss uppgift behandlas. Om syftet med behandlingen upphör att vara t.ex. att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, är inte brottsdatalagen längre tillämplig. Behandling av personuppgifter som krävs för att avsluta ett ärende får dock fortfarande ske med stöd av brottsdatalagen (prop. 2017/18:232 s. 113). Nedan följer exempel på vilket regelverk – dataskyddsförordningen eller brottsdatalagen – som typiskt sett bör vara tillämpligt vid personuppgiftsbehandling i olika ärendetyper vid . För bedömningen av olika gränsdragningsfrågor, se även prop. 2017/18:232 s. 109–113. På det rättsmedicinska området utgörs verksamheten bl.a. av genomförandet av obduktioner. Rättsmedicinska obduktioner utförs på uppdrag av eller allmän åklagare. En rättsmedicinsk obduktion kan genomföras bl.a. om det kan antas vara av betydelse för utredningen av ett dödsfall som inträffat under sådana omständigheter att det inte skäligen kan bortses från möjligheten att dödsfallet har samband med ett brott. Vid majoriteten av de rättsmedicinska obduktionerna är syftet med personuppgiftsbehandlingen sådant att det faller inom brottsdatalagens tillämpningsområde. En rättsmedicinsk undersökning får göras för att fastställa en avlidens identitet. Om det från början står klart att det inte finns någon brottsmisstanke ska dataskyddsförordningen tillämpas på personuppgiftsbehandlingen. I fall där identifieringsärendet involverar en brottsmisstanke är i stället brottsdatalagen tillämplig. Vid genomförs rättsmedicinska åldersbedömningar på uppdrag av inom ramen för ansökningar om uppehållstillstånd. Sådana ärenden hör regelmässigt till dataskyddsförordningens tillämpningsområde. När det däremot gäller rättsmedicinska åldersbedömningar som genomförs inom ramen för en förundersökning eller ett brottmål, styrs personuppgiftsbehandlingen i stället av brottsdatalagens bestämmelser. Rättsmedicinska undersökningar av misstänkta gärningsmän och målsägande genomförs vid i syfte att i rättsintyg dokumentera skador som kan ha uppkommit i samband med brott. De personuppgifter som behandlas i sådana ärenden är hänförliga till brottsdatalagens tillämpningsområde. I den mån rättsodontologiska undersökningar genomförs för identifiering av avlidna personer där det inte finns någon misstanke om brott, är dataskyddsförordningen tillämplig. Inom ramen för en förundersökning kan få i uppdrag att genomföra bitmärkes- eller tandskadeanalyser. I dessa fall ska i stället brottsdatalagen tillämpas. På det rättsmedicinska verksamhetsområdet omhändertas vävnader för transplantationsändamål. Prover som tagits i samband med rättsmedicinska undersökningar kan också tas tillvara för att användas vid 2019/20:106 den forskning som bedrivs vid . Det humanbiologiska material som det här är fråga om hanteras således inledningsvis i ett obduktionsärende. Vilka bestämmelser som är tillämpliga på den personuppgiftsbehandling som sker då, får avgöras enligt de kriterier som fastställts när det gäller själva obduktionen. Den fortsatta hanteringen av vävnaderna, både när det gäller transplantationer och när det gäller forskning, får anses vara så pass separerad från det tidigare obduktionsärendet, att den behandling av personuppgifter som därefter sker, inte påverkas av vilka bestämmelser som gällde för behandlingen av personuppgifter vid obduktionen. Syftet med personuppgiftsbehandlingen vid donationsverksamheten och vid forskningen är inte sådant att brottsdatalagen är tillämplig. I stället ska dataskyddsförordningen tillämpas. Inom rättspsykiatriska verksamhetsområde genomförs, på uppdrag av domstol, rättspsykiatriska undersökningar enligt lagen (1991:1137) om rättspsykiatrisk undersökning. Dessutom genomför undersökningar i syfte att lämna ett s.k. § 7-intyg enligt lagen (1991:2041) om särskild personutredning i brottmål, Dessa undersökningar är av stor betydelse när domstol, vid en fällande dom, ska bestämma påföljd. Syftet med behandlingen av personuppgifter i sådana rättspsykiatriska ärenden får således anses vara att lagföra brott. denna del därför inom brottsdatalagens tillämpningsområde. I ärenden enligt lagen (2006:45) om omvandling av fängelse på livstid genomför utredningar med utlåtanden om risken för att den dömde återfaller i brottslighet. Behandlingen av personuppgifter i sådana ärenden utförs i syfte att bestämma om ett livstidsstraff ska tidsbestämmas och gäller därför verkställighet av en straffrättslig påföljd. Det är således fråga om ett sådant syfte som avses i brottsdatalagen. Inom det rättskemiska verksamhetsområdet utför en rad olika analyser av humanbiologiskt material, t.ex. blod och urin, för att undersöka förekomsten av alkohol, narkotika, läkemedel och gifter. Uppdragen på detta område kommer huvudsakligen från verkets Analyser genomförs också på uppdrag av hälso- och sjukvården samt från huvudmän för missbruks- eller I ärenden där analyser genomförs som ett led i en utredning avseende misstanke om brott behandlas personuppgifter för sådana syften som gör brottsdatalagens bestämmelser tillämpliga. röra s.k. internremisser, då en rättskemisk analys genomförs i samband med en rättsmedicinsk obduktion, eller analyser som görs i samband med att utfärdar rättsintyg. Vid sådana internremisser bör de bestämmelser för personuppgiftsbehandling som gäller för grundärendet gälla även för de analyser som genomförs inom rättskemin, i de nu lämnade exemplen faller behandlingen av personuppgifter inom brottsdatalagens tillämpningsområde. Ytterligare ett exempel på när nyssnämnda regelverk är tillämpligt är då genomför rättskemiska analyser när det t.ex. finns en bakomliggande misstanke om narkotikabrott eller rattfylleribrott. Vid toxikologiska analyser i samband med kliniska obduktioner är presumtionen däremot den motsatta – som huvudregel är dataskyddsförordningen tillämplig. En kategori av analyser som genomförs inom rättskemiska verksamhet är de s.k. drogfrihetsanalyserna. Syftet med dessa analyser är att undersöka om ett prov innehåller spår av alkohol, narkotika eller någon annan substans och uppdragsgivare är oftast Kriminalvården, missbruks- eller ungdomsvården, eller hälso- och sjukvården. I de fall då ett prov visar sig innehålla spår av narkotika eller någon annan otillåten substans, kan det potentiellt vara fråga om ett brott. Syftet med analysen, och därigenom syftet med behandlingen av personuppgifter i samband därmed, är dock normalt inte att upptäcka brottslig verksamhet eller utreda brott. Som huvudregel bör gälla att dataskyddsförordningens bestämmelser ska tillämpas om syftet med drogfrihetsanalysen närmast är av skötsamhetskaraktär, om den utförs av medicinska skäl eller som ett led i missbruksvård. Skulle det visa sig att ett analyserat prov innehåller spår av narkotika eller något annat ämne som är förbjudet att bruka, kan det bli ett polisärende med efterföljande förundersökning. Att så kan bli fallet, bör dock inte leda till att behandlingen av personuppgifter redan vid den inledande drogfrihetsanalysen ska anses ha brottsutredande syfte. Den behandling av personuppgifter som sker i ärenden om drogfrihetsanalyser som görs inom ramen för verkställighet av en straffrättslig påföljd faller dock inom brottsdatalagens tillämpningsområde. Exempel på sådana prov är de som analyseras på begäran av Kriminalvården om provet avser en person som är intagen på kriminalvårdsanstalt eller som på något annat sätt verkställer en straffrättslig påföljd. Provtagningen, som normalt sett inte genomförs av , är ett led i straffverkställigheten och verket fyller vid analysen av provet från Kriminalvården en sådan stödfunktion som behandlas i avsnitt 6.2. Den rättsgenetiska verksamhetens huvuduppgift är att genom dnabaserade analyser utreda faderskap eller annat släktskap. En viktig ärendetyp utgörs också av identifieringsärenden. På uppdrag av hälso- och sjukvården genomförs dessutom vissa analyser. rättsgenetiska kompetens används vid brottsutredningar, exempelvis dna-analyser för identifiering av en död person, där andra metoder för identifiering inte är möjlig, kommer personuppgiftsbehandlingen att styras av brottsdatalagens bestämmelser. Dna-analyser som genomförs inom ramen för en faderskaps- eller släktskapsutredning har sällan ett brottsutredande eller motsvarande syfte. Utgångspunkten är därför att dataskyddsförordningen är tillämplig på behandling av personuppgifter i sådana ärenden. Så är också regelmässigt fallet med rättsgenetiska undersökningar som utförs på uppdrag av hälso- och sjukvården. Vid förekommer också behandling av personuppgifter i olika administrativa system. Det gäller främst system och program som används för att hantera personalfrågor, ekonomiadministration och andra administrativa frågor, som t.ex. inköp av material.