prop · H703106 · 2020-03-10 00:00:00 — Regeringens proposition 2019/20:106 Regeringen överlämnar denna proposition till . Regeringen föreslår två nya lagar för verksamhet, lagen om behandling av personuppgifter och lagen om elimineringsdatabas, i syfte att både stärka skyddet för den personliga integriteten och öka effektiviteten i verksamheten. De nya lagarna kommer att uppfylla kraven i både EU:s dataskyddsförordning och EU:s dataskyddsdirektiv på det brottsbekämpande området. Lagen om behandling av personuppgifter kommer, med de undantag som uttryckligen anges i lagen, att vara tillämplig på all behandling av personuppgifter som äger rum vid . Genom lagen om elimineringsdatabas införs tydliga rättsliga förutsättningar för att ska kunna föra en elimineringsdatabas i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser. De nya lagarna föreslås träda i kraft . 2019/20:106 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om behandling Förslag till lag om Ärendet och dess beredning ............................................................ organisation och uppdrag............................ Dataskyddsförordningen och dataskyddslagen ................ Dataskyddsdirektivet och brottsdatalagen ........................ En lag om behandling av Behovet av en särskild reglering av behandlingen av personuppgifter i verksamhet ....... En lag om behandling av personuppgifter i Förhållandet till den allmänna Förhållandet till andra författningar ................ Utgångspunkter för den nya lagen................... Dataskyddsregleringen ska i tillämpliga delar även gälla vid behandling av uppgifter om avlidna ....................................... Rättslig grund och ändamål för behandling av personuppgifter på Rättslig grund och ändamål för behandling av personuppgifter på Begreppet känsliga personuppgifter ................ Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter Rätt att meddela föreskrifter ........................... Tillsyn och sanktionsavgifter.......................... Tillgången till personuppgifter ....................... Begränsning av rätten till information om En lag om elimineringsdatabas .................. 7.3Förutsättningar och ändamål för behandlingen av Innebörden av vissa uttryck............................................. Förhållandet till annan dataskyddsreglering .................... Användning av elimineringsdatabasen ............................ Längsta tid för behandling............................................... Rätt att meddela föreskrifter ............................................ Sekretess för uppgifter i elimineringsdatabasen .............. Ikraftträdande- och övergångsbestämmelser.................................. Konsekvenser av förslagen ............................................................ 10.1Förslaget till lag om behandling av personuppgifter ........................................ 10.2Förslaget till lag om Sammanfattning av betänkandet Stärkt integritet i verksamhet (SOU 2017:80)....... Förteckning över remissinstanser .................................. Utdrag ur protokoll vid regeringssammanträde ........ 2019/20:106 1 1.Riksdagen antar regeringens förslag till lag om behandling av personuppgifter. 2.Riksdagen antar regeringens förslag till lag om elimineringsdatabas. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om behandling av personuppgifter Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser Lagens tillämpningsområde 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. 2 § I detta kapitel finns allmänna bestämmelser om behandling av personuppgifter i verksamhet. Bestämmelserna i 2 kap. gäller vid behandling av personuppgifter inom det område som omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Bestämmelserna i 3 kap. gäller vid behandling av personuppgifter inom det område som omfattas av brottsdatalagen (2018:1177). Förhållandet till annan reglering 3 § Denna lag kompletterar EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 4 § När i egenskap av behörig myndighet enligt 1 kap. 6 § brottsdatalagen (2018:1177) behandlar personuppgifter enligt denna lag i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder gäller brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 5 § Denna lag gäller inte när personuppgifter behandlas med stöd av 1. lagen (1999:353) om rättspsykiatriskt forskningsregister, 2019/20:106 2. lagen (2003:460) om etikprövning av forskning som avser människor, eller 3. patientdatalagen (2008:355). 6 § I lagen (2020:0000) om elimineringsdatabas finns bestämmelser om behandling av personuppgifter i myndighetens elimineringsdatabas. 7 § Följande reglering ska i tillämpliga delar gälla även vid behandling av uppgifter om avlidna i verksamhet: 1.denna lag och föreskrifter som har meddelats i anslutning till den, 2.EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den, och 3.brottsdatalagen (2018:1177) och föreskrifter som har meddelats i anslutning till den. 8 § är personuppgiftsansvarigt för behandling av personuppgifter i myndighetens verksamhet. Elektroniskt utlämnande av personuppgifter 9 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Utlämnande får dock inte ske i form av direktåtkomst. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. 2 kap. Behandling av personuppgifter inom det område som omfattas av EU:s dataskyddsförordning 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra sina uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamheten. 2 § Personuppgifter som behandlas enligt 1 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifterna får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 3 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. 4 § Sökförbudet i 3 § hindrar inte att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet hindrar inte heller sökning i en viss handling eller i ett visst ärende. 5 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. 6 § Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Rätt att meddela föreskrifter 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter och genetiska uppgifter samt sådana sökningar som anges i 4 §, och 2.meddela närmare föreskrifter om tillgången till personuppgifter enligt 3 kap. Behandling av personuppgifter inom det område som omfattas av brottsdatalagen 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller lagföra brott, 3.verkställa straffrättsliga påföljder, eller 4.fullgöra förpliktelser som följer av internationella åtaganden. 2019/20:106 2 § Förutsättningarna för att behandla personuppgifter som behandlas stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:1177). Biometriska och genetiska uppgifter 3 § får behandla biometriska och genetiska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. 4 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. 5 § Sökförbudet i 4 § hindrar inte att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet hindrar inte heller sökning i en viss handling eller i ett visst ärende. 6 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i –1 § om ändamål, eller –4 § om sökförbud. En sanktionsavgift får också tas ut vid överträdelse av de föreskrifter som anges i 8 § 1. Sanktionsavgiften ska bestämmas till högst . 7 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:1177) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Rätt att meddela föreskrifter 8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter och genetiska uppgifter samt sökningar som anges i 5 §, och 2.meddela närmare föreskrifter om tillgången till personuppgifter. Denna lag träder i kraft . En sanktionsavgift enligt 3 kap. 6 § får beslutas endast för överträdelser som har skett efter ikraftträdandet. 2.2 Förslag till lag om Prop. 2019/20:106 elimineringsdatabas Härigenom föreskrivs följande. 1 § får föra ett register över dna-profiler i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser (elimineringsdatabasen) i enlighet med denna lag. Uppgifter i elimineringsdatabasen får endast behandlas för att upptäcka och utreda kontamineringar av det som är föremål för dna-analys. Innebörden av vissa uttryck 2 § I denna lag avses med dna-analys: varje förfarande som kan användas för analys av deoxiribonukleinsyra i humant material, och dna-profil: resultatet av en dna-analys som presenteras i form av siffror eller bokstäver. Förhållandet till annan dataskyddsreglering 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2020:000) om behandling av personuppgifter och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 4 § är personuppgiftsansvarigt för behandling av personuppgifter i elimineringsdatabasen. 5 § Elimineringsdatabasen får innehålla dna-profiler från personer som anges i 6 och 7 §§ och som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riskerar att kontaminera dessa. Databasen får också innehålla dnaprofiler som har påträffats vid en dna-analys och som inte kan hänföras till en identifierad person. En dna-profil som registreras i databasen får endast ge information om identitet och inte om personliga egenskaper. Utöver dna-profiler får elimineringsdatabasen innehålla uppgifter om vem dna-profilen avser. 6 § Anställda vid och andra som återkommande kan komma i kontakt med och därigenom riskerar att kontaminera material som används vid dna-analys, prover som ska bli föremål för dna-analys 2019/20:106 eller lokaler där sådana analyser utförs, är skyldiga att lämna prov för dnaanalys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 7 § För att få tillträde till en lokal där dna-prover hanteras eller förvaras är även den som inte omfattas av 6 § men som riskerar att kontaminera lokalen, prover som ska bli föremål för dna-analys eller material som används för dna-analys skyldig att lämna prov för dna-analys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 8 § Ett prov för dna-analys som har tagits med stöd av 6 eller 7 § får inte användas för något annat ändamål än det som provet togs för och ska förstöras senast efter det att provet togs. 9 § Dna-profiler i elimineringsdatabasen får endast användas för jämförelser med 1.dna-profiler från prov som analyseras vid , och 2.dna-profiler som har tagits fram för att kvalitetssäkra den rättsgenetiska verksamheten med dna-analyser. Längsta tid för behandling 10 § Uppgifter i elimineringsdatabasen får behandlas så länge de behövs för att upptäcka och utreda om en persons dna kan ha kontaminerat material, prover eller lokaler, dock som längst den tid som anges i andra– fjärde styckena. Uppgifter som rör anställda vid får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. Uppgifter som har registrerats med stöd av 7 § får inte behandlas längre än efter det att uppgifterna registrerades. Uppgifter som rör andra än de som anges i andra och tredje styckena får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. Bestämmelsen i 2 kap. 17 § andra stycket brottsdatalagen (2018:1177) gäller inte vid tillämpning av denna paragraf. 11 § Inom det område som omfattas av brottsdatalagen (2018:1177) ska bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Rätt att meddela föreskrifter 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela närmare föreskrifter om vilka personalkategorier vid och vilka andra personkategorier enligt 6 och 7 §§ som är skyldiga att lämna prover för dna-analys till elimineringsdatabasen, 2.meddela närmare föreskrifter om tillgången till uppgifter i elimineringsdatabasen, och 3.meddela föreskrifter om förfarandet vid överensstämmelse mellan en dna-profil i elimineringsdatabasen och en annan dna-profil. 1.Denna lag träder i kraft . 2.En dna-profil som har registrerats före i syfte att upptäcka och utreda kontamineringar av det som är föremål för dnaanalys, får registreras i elimineringsdatabasen om den registrerade godtar det. De dna-profiler som inte registreras i elimineringsdatabasen ska gallras . 2019/20:106 3 Ärendet och dess beredning Den EU-rättsliga dataskyddsregleringen har genomgått en genomgripande reform. Efter reformen består regelverket av i huvudsak dels och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), kallad EU:s dataskyddsförordning, dels och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, kallat dataskyddsdirektivet. EU:s dataskyddsförordning började tillämpas . Dataskyddsdirektivet har i huvudsak genomförts genom brottsdatalagen (2018:1177) som trädde i kraft . Regeringen beslutade att tillkalla en särskild utredare, med uppdrag att föreslå hur regelverket för ska anpassas så att verksamheten kan bedrivas med effektiva arbetsformer och stor hänsyn tagen till människors integritet (dir. 2016:75). I uppdraget ingick att se över frågor om personuppgiftsreglering, humanbiologiskt material, uppgiftsinhämtning och uppdrag från enskilda. Utredningen antog namnet Utredningen om dataskydd vid (Ju 2016:18). överlämnade utredningen betänkandet Stärkt integritet i verksamhet (SOU 2017:80). I denna proposition behandlas utredningens förslag om att införa en särskild personuppgiftsreglering för och att författningsreglera elimineringsdatabas. Regeringen kommer att i ett annat sammanhang återkomma till de övriga förslagen i betänkandet. En sammanfattning av betänkandet och utredningens lagförslag i relevanta delar finns i bilagorna 1 och 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i (dnr Ju2017/08254/Å). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet har lämnat förslagen utan erinran. Vissa språkliga och redaktionella ändringar har gjorts i förhållande till lagrådsremissens förslag. bildades , som central förvaltningsmyndighet för rättspsykiatrisk undersökningsverksamhet, rättsmedicin, rättskemi och rättsgenetik. bedriver verksamhet på sex olika orter runt om i landet, med ett gemensamt huvudkontor. Verksamheten är indelad i tre avdelningar – avdelningen för rättsgenetik och rättskemi, avdelningen för rättsmedicin och avdelningen för rättspsykiatri – men består av fyra verksamhetsområden, nämligen rättspsykiatri, rättskemi, rättsmedicin och rättsgenetik. En viktig uppgift för verket är att avge sakkunnigutlåtanden till rättsväsendets myndigheter. Främst rör det sig om utredningar i form av analyser och utlåtanden till polis, allmän åklagare och domstol. Utredningarna från är ofta en viktig del i brottsutredningar. Det kan exempelvis vara fråga om utredningar av onaturliga dödsfall eller bedömningar av om en person har begått ett brott under påverkan av en allvarlig psykisk störning. Verksamheten innefattar också uppdrag som inte har anknytning till brottsbekämpning. Det rör sig bl.a. om uppdrag från socialnämnderna gällande fastställande av faderskap. Vid bedrivs också utvecklings- och forskningsarbete. uppgifter framgår av myndighetens instruktion. Enligt 1 § förordningen (2007:976) med instruktion för ansvarar verket för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. Av 2 § i instruktionen framgår att särskilt ska ansvara för bl.a. rättspsykiatriska undersökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m. (personutredningslagen), rättsmedicinska obduktioner och andra rättsmedicinska undersökningar, utfärdande av intyg enligt lagen (2005:225) om rättsintyg i anledning av brott, rättsmedicinsk medverkan på begäran av domstol, allmän åklagare, eller Säkerhetspolisen, rättskemiska och rättsgenetiska undersökningar, rättsmedicinska åldersbedömningar samt utredningar om risk för återfall i brottslighet enligt lagen (2006:45) om omvandling av fängelse på livstid. får därutöver i enlighet med 3 § i instruktionen utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. Vid förekommer således en rad olika ärendetyper. Gemensamt för i princip samtliga ärenden är att de innefattar behandling av personuppgifter som i många fall medför särskilda risker för den personliga integriteten, exempelvis uppgifter om enskildas hälsa eller om misstanke om brott. Uppgifterna kommer bl.a. från , åklagarmyndigheterna och , men det kommer också uppgifter från andra myndigheter liksom från enskilda. På vissa av myndighetens verksamhetsområden förekommer särskild lagstiftning. 2019/20:106 Någon särskild lag om behandling av personuppgifter vid finns dock inte. 5.1 Dataskyddsförordningen och dataskyddslagen Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen, som är direkt tillämplig i alla medlemsstater, ersatte dataskyddsdirektiv och utgör numera den generella regleringen av personuppgiftsbehandling inom EU. Det materiella tillämpningsområdet för dataskyddsförordningen omfattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Vissa undantag från tillämpningsområdet görs dock. Exempelvis ska behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten inte heller omfattas av förordningens bestämmelser (artikel 2.2 a). Genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter dataskyddslagen, har dock förordningens tillämpningsområde utvidgats till att även omfatta behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten, med vissa specifika undantag (1 kap. 2 och 3 §§ Dataskyddsförordningen gäller inte heller för sådan personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde (artikel 2.2 d). I artikel 6 i dataskyddsförordningen uttrycks det grundläggande kravet att det ska finnas en giltig rättslig grund för varje behandling av Bland de rättsliga grunder som anges i artikeln kan nämnas att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Därutöver omgärdas varje behandling av personuppgifter också av andra I artikel 5 ställs ett antal allmänna principer för behandlingen upp. Däribland kan nämnas att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. De ska vidare vara riktiga och, om nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Personuppgifter ska samlas in för särskilda, uttryckligt angivna och De får inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Vidare får personuppgifter inte förvaras än vad som är nödvändigt och de måste behandlas på ett sätt som säkerställer lämplig säkerhet. Artiklarna 5 och 6 är grundläggande och kumulativa. Det innebär att någon av de rättsliga grunderna i artikel 6 måste vara tillämplig, som samtliga principer i artikel 5 ska följas. Även om dataskyddsförordningen är direkt tillämplig och ska tillämpas precis som om den vore svensk lag, både förutsätter och medger den nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag.