prop · H703106 · 2020-03-10 00:00:00 — 3 § Personuppgifter som behandlas enligt 2 § får även behandlas om det behövs 1.för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, eller 2.för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i och rådets förordning (EU) 2016/679. Att personuppgifter även får behandlas för andra ändamål framgår av artiklarna 5.1 b och 6.4 i och rådets förordning (EU) 2016/679. 4 § Personuppgifter får även behandlas för de ändamål som framgår av 3 § första stycket när de vid behandlas eller har behandlats med stöd av brottsdatalagen (2018:000) eller 2 kap. denna lag. 5 § Känsliga personuppgifter i bild får, utöver vad som framgår av 1 § 3, behandlas i verksamhet. 6 § Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar sådana känsliga personuppgifter som anges i artikel 9.1 i och rådets förordning (EU) 2016/679. Användning av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp omfattas inte av förbudet i första stycket. Förbudet i första stycket gäller inte vid sökning i en viss handling eller i ett visst ärende. 2019/20:106 Bilaga 2 2019/20:106 Bilaga 2 7 § Förbudet i 6 § första stycket gäller inte vid sökningar som grundar sig på hälsa, biometriska uppgifter som används för att identifiera en person eller genetiska uppgifter. Det är också tillåtet att göra sökningar som rör brott eller misstanke om brott. Sökförbudet i 6 § första stycket hindrar inte att uppgifter som beskriver en persons utseende används vid sökning. 8 § Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. 9 § Om den personuppgiftsansvarige bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas, ska dataskyddsombudet anmäla det till tillsynsmyndigheten. Elektroniskt utlämnande av personuppgifter 10 § Personuppgifter får lämnas ut elektroniskt, om det inte är olämpligt. Utlämnande får dock inte ske i form av direktåtkomst. 11 § Om någon begär information och uppgifter enligt artikel 15 i och rådets förordning (EU) 2016/679 oftare än en gång , får ta ut en rimlig avgift eller avslå begäran. Begränsning av rätten till information 12 § Bestämmelserna om den registrerades rätt enligt artikel 34 i och rådets förordning (EU) 2016/679 att få information om en personuppgiftsincident, gäller inte om , enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om 1.begränsningar av möjligheten att använda de uppgifter som anges i 7 §vid sökning i personuppgifter, 2.tillgången till personuppgifter enligt 8 §, och 3.begränsningar av möjligheterna enligt 10 § att lämna ut personuppgifter elektroniskt. 1.Denna lag träder i kraft . 2.Sanktionsavgift enligt 2 kap. 7 § och 3 kap. 1 § 7 får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats vid behandling av personuppgifter före ikraftträdandet. Förslag till lag (2018:000) om elimineringsdatabas Härigenom föreskrivs följande. 1 § får föra ett register över dna-profiler i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser (elimineringsdatabasen) i enlighet med denna lag. Uppgifter i elimineringsdatabasen får endast behandlas för att upptäcka och utreda kontamineringar vid dna-analyser. Innebörden av vissa uttryck 2 § I denna lag avses med dna-analys: varje förfarande som kan användas för analys av deoxiribonukleinsyra i humant material, och dna-profil: resultatet av en dna-analys som presenteras i form av siffror eller bokstäver. Förhållandet till datalag (2018:000) och annan personuppgiftsreglering 3 § Denna lag gäller utöver datalag (2018:000). och rådets förordning (EU) 2016/679 av den 27 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen (2018:000), ska för elimineringsdatabas tillämpas på motsvarande sätt som enligt datalag gäller för övrig personuppgiftsbehandling vid myndigheten. 4 § är personuppgiftsansvarig för behandling av personuppgifter i elimineringsdatabasen. 5 § Elimineringsdatabasen får innehålla dna-profiler från personer som anges i 6 och 7 §§ och som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riskerar att kontaminera dessa. En dna-profil som registreras i databasen får endast ge information om Utöver dna-profiler får elimineringsdatabasen innehålla uppgifter om vem dna-profilen avser. Databasen får också innehålla dna-profiler som har påträffats vid en dna- analys och som inte kan hänföras till en identifierad person. 2019/20:106 Bilaga 2 6 § Anställda vid och andra som återkommande kan komma i kontakt med och därigenom riskerar att kontaminera material som används vid dna-analys, prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs, är skyldiga att lämna prov för dnaanalys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 7 § För att få tillträde till en lokal där dna-prover som ska analyseras i rättsgenetiska verksamhet hanteras eller förvaras, är även den som inte omfattas av 6 § men som riskerar att kontaminera lokalen, prover som ska bli föremål för dna-analys eller material som används för dna-analys skyldig att lämna prov för dna-analys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 8 § Ett prov för dna-analys som har tagits med stöd av 6 eller 7 § får inte användas för något annat ändamål än det som provet togs för och ska förstöras senast efter det att provet togs. 9 § En dna-profil från prov som analyseras vid , får jämföras med dna-profiler i elimineringsdatabasen. En dna-profil som har tagits fram för att kvalitetssäkra dna-analyser i den rättsgenetiska verksamheten får jämföras med dna-profiler i elimineringsdatabasen. Längsta tid för behandling 10 § Uppgifter i elimineringsdatabasen får inte behandlas när de inte längre behövs för att utreda om en persons dna kan ha kontaminerat material, prover eller lokaler. Uppgifter som rör anställda vid får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. Uppgifter som har registrerats med stöd av 7 § får inte behandlas längre än efter det att uppgifterna registrerades. Uppgifter som rör andra än de som anges i andra stycket får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. 11 § Bestämmelserna i 2 kap. 8 § och 3 kap. 1 § 8 datalag (2018:000) om skadestånd ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om vilka personalkategorier vid och vilka andra personkategorier enligt 6 och 7 §§ som är skyldiga att lämna prover för dna-analys till elimineringsdatabasen. Detsamma ska gälla för möjligheten att meddela föreskrifter om tillgången till uppgifter i elimineringsdatabasen och förfarandet vid överensstämmelse mellan en dna-profil i elimineringsdatabasen och en annan dna-profil. 1.Denna lag träder i kraft 2.Bestämmelserna om skadestånd i 11 § ska endast tillämpas på skada som inträffat efter ikraftträdandet 3.En dna-profil som har registrerats före i syfte att upptäcka och utreda kontamineringar vid dna-analyser, får registreras i elimineringsdatabasen om den registrerade samtycker till det. De dnaprofiler som inte registreras i elimineringsdatabasen ska gallras . 2019/20:106 Bilaga 2 2019/20:106 Bilaga 3 Remissyttranden över betänkandet Stärkt integritet i verksamhet (SOU 2017:80) har lämnats av Arbetsförmedlingen, , , , , , Datainspektionen,,, , , Famna – riksorganisation för idéburen vård och omsorg, , Förvaltningsrätten i , Förvaltningsrätten i , , Inspektionen för vård och omsorg, Justitiekanslern, i , Kriminalvården, , i (LO), , , ombudsmän (), (), (Patienter och Anhöriga i rättspsykiatrin), Rättsliga rådet (råd för vissa rättsliga, sociala och medicinska frågor), , , , , , kommuner och landsting, Säkerhetspolisen, , Totalförsvarets rekryteringsmyndighet, och . Yttrande har också inkommit från av samhällsmagasinet Avsnitt och . Följande remissinstanser har bjudits in att yttra sig men avstått. Civil Rights Defenders, Facket för service och kommunikation (), , frigörelse, hälsa och likabehandling (RFHL), , Svenska psykiatriska föreningen, Svenska rättspsykiatriska föreningen, Svenska säkerhetsföretag (SWESEC), Svenska vård, akademikers centralorganisation (), , () och Vårdföretagarna. Förslag till lag om behandling av personuppgifter Härigenom föreskrivs följande. 2019/20:106 Bilaga 4 1 kap. Allmänna bestämmelser Lagens tillämpningsområde 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. 2 § I detta kapitel finns allmänna bestämmelser om behandling av personuppgifter i verksamhet. Bestämmelserna i 2 kap. gäller vid behandling av personuppgifter inom det område som omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Bestämmelserna i 3 kap. gäller vid behandling av personuppgifter inom det område som omfattas av brottsdatalagen (2018:1177). Förhållandet till annan reglering 3 § Denna lag kompletterar EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 4 § När i egenskap av behörig myndighet enligt 1 kap. 6 § brottsdatalagen (2018:1177) behandlar personuppgifter enligt denna lag i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder gäller brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 5 § Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (1999:353) om rättspsykiatriskt forskningsregister, 2.lagen (2003:460) om etikprövning av forskning som avser människor, 2019/20:106 Bilaga 4 3. patientdatalagen (2008:355). 6 § I lagen (2020:0000) om elimineringsdatabas finns bestämmelser om behandling av personuppgifter i myndighetens elimineringsdatabas. 7 § Följande reglering ska i tillämpliga delar gälla även vid behandling av uppgifter om avlidna i verksamhet: 1.denna lag och föreskrifter som har meddelats i anslutning till den, 2.EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den, och 3.brottsdatalagen (2018:1177) och föreskrifter som har meddelats i anslutning till den. 8 § är personuppgiftsansvarigt för behandling av personuppgifter i myndighetens verksamhet. Elektroniskt utlämnande av personuppgifter 9 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Utlämnande får dock inte ske i form av direktåtkomst. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. 2 kap. Behandling av personuppgifter inom det område som omfattas av EU:s dataskyddsförordning 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra sina uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamheten. 2 § Personuppgifter som behandlas enligt 1 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifterna får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 3 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Sökförbudet i 3 § hindrar inte identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet hindrar inte heller sökning i en viss handling eller i ett visst 5 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Rätt att meddela föreskrifter 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter och genetiska uppgifter samt sådana sökningar som anges i 4 §, och 2.meddela närmare föreskrifter om tillgången till personuppgifter enligt 3 kap. Behandling av personuppgifter inom det område som omfattas av brottsdatalagen 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller lagföra brott, 3.verkställa straffrättsliga påföljder, eller 4.fullgöra förpliktelser som följer av internationella åtaganden. 2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:1177). 2019/20:106 Bilaga 4 Biometriska och genetiska uppgifter 3 § får behandla biometriska och genetiska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. 4 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. 5 § Sökförbudet i 4 § hindrar inte att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet hindrar inte heller sökning i en viss handling eller i ett visst ärende. 6 § En sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i –1 § om ändamål, eller –4 § om sökförbud. En sanktionsavgift får också tas ut vid överträdelse av de föreskrifter som anges i 8 § 1. Sanktionsavgiften ska bestämmas till högst . 7 § Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:1177) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Rätt att meddela föreskrifter 8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter och genetiska uppgifter samt sökningar som anges i 5 §, och 2.meddela närmare föreskrifter om tillgången till personuppgifter. 1.Denna lag träder i kraft . 2.En sanktionsavgift enligt 3 kap. 6 § får beslutas endast för överträdelser som har skett efter ikraftträdandet. Förslag till lag om Härigenom föreskrivs följande. 1 § får föra ett register över dna-profiler i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser (elimineringsdatabasen) i enlighet med denna lag. Uppgifter i elimineringsdatabasen får endast behandlas för att upptäcka och utreda kontamineringar av det som är föremål för dna-analys. Innebörden av vissa uttryck 2 § I denna lag avses med dna-analys: varje förfarande som kan användas för analys av deoxiribonukleinsyra i humant material, och dna-profil: resultatet av en dna-analys som presenteras i form av siffror Förhållandet till annan dataskyddsreglering 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2020:000) om behandling av personuppgifter och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till 4 § är personuppgiftsansvarigt för behandling av personuppgifter i elimineringsdatabasen. 5 § Elimineringsdatabasen får innehålla dna-profiler från personer som anges i 6 och 7 §§ och som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riskerar att kontaminera dessa. Databasen får också innehålla dna- profiler som har påträffats vid en dna-analys och som inte kan hänföras till en identifierad person. En dna-profil som registreras i databasen får endast ge information om identitet och inte om personliga egenskaper. Utöver dna-profiler får elimineringsdatabasen innehålla uppgifter om vem dna-profilen avser. 6 § Anställda vid och andra som återkommande kan komma i kontakt med och därigenom riskerar att kontaminera material som används vid dna-analys, prover som ska bli föremål för dna-analys 2019/20:106 Bilaga 4 eller lokaler där sådana analyser utförs, är skyldiga att lämna prov för dnaanalys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 7 § För att få tillträde till en lokal där dna-prover hanteras eller förvaras är även den som inte omfattas av 6 § men som riskerar att kontaminera lokalen, prover som ska bli föremål för dna-analys eller material som används för dna-analys skyldig att lämna prov för dna-analys i syfte att dna-profilen ska registreras i elimineringsdatabasen. Provet tas i form av salivprov. 8 § Ett prov för dna-analys som har tagits med stöd av 6 eller 7 § får inte användas för något annat ändamål än det som provet togs för och ska förstöras senast efter det att provet togs. 9 § En dna-profil från prov som analyseras vid får jämföras med dna-profiler i elimineringsdatabasen. En dna-profil som har tagits fram för att kvalitetssäkra den rättsgenetiska verksamheten med dna-analyser får jämföras med dna-profiler i elimineringsdatabasen. Längsta tid för behandling 10 § Uppgifter i elimineringsdatabasen får inte behandlas längre än vad som behövs för att upptäcka och utreda om en persons dna kan ha kontaminerat material, prover eller lokaler. Uppgifter som rör anställda vid får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. Uppgifter som har registrerats med stöd av 7 § får inte behandlas längre än efter det att uppgifterna registrerades. Uppgifter som rör andra än de som anges i andra och tredje styckena får inte behandlas längre än efter det att det förhållande som grundade skyldigheten att lämna prov upphörde. Bestämmelsen i 2 kap. 17 § andra stycket brottsdatalagen (2018:1177) gäller inte vid tillämpning av denna paragraf. 11 § Inom det område som omfattas av brottsdatalagen (2018:1177) ska bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Rätt att meddela föreskrifter 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela närmare föreskrifter om vilka personalkategorier vid och vilka andra personkategorier enligt 6 och 7 §§ som är skyldiga att lämna prover för dna-analys till elimineringsdatabasen, 2.meddela närmare föreskrifter om tillgången till uppgifter i elimineringsdatabasen, och 3.meddela föreskrifter om förfarandet vid överensstämmelse mellan en dna-profil i elimineringsdatabasen och en annan dna-profil. 1.Denna lag träder i kraft . 2.En dna-profil som har registrerats före i syfte att upptäcka och utreda kontamineringar av det som är föremål för dnaanalys, får registreras i elimineringsdatabasen om den registrerade godtar det. De dna-profiler som inte registreras i elimineringsdatabasen ska gallras . 2019/20:106 Bilaga 4 2019/20:106 Bilaga 5 Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden och Stärkt integritet i verksamhet Enligt en lagrådsremiss har regeringen () beslutat inhämta Lagrådets yttrande 1.lag om behandling av personuppgifter, 2.lag om elimineringsdatabas. Förslagen har inför Lagrådet föredragits av kanslirådet Lagrådet lämnar förslagen utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , , , , , , Shekarabi, Ygeman, , , , , , , , , , , , Regeringen beslutar proposition Stärkt integritet i verksamhet