prop · H703106 · 2020-03-10 00:00:00 — Detta gäller särskilt sådan behandling som sker inom den offentliga sektorn. I artikel 6.2 anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som sker enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse och myndighetsutövning). Detta får ske genom att medlemsstaterna närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 till förordningen framgår att detta även gäller för behandlingen av känsliga personuppgifter. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 framgår vidare att vid behandling enligt artikel 6.1 c och e, ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Där anges också att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Förordningen innehåller också andra artiklar som tillåter kompletterande bestämmelser i vissa avseenden, exempelvis när det gäller känsliga personuppgifter (artikel 9) och begränsningar av den registrerades rättigheter enligt artikel 23. Vissa av de rättigheter och skyldigheter som föreskrivs i förordningen får begränsas i nationell rätt. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23.1, t.ex. en medlemsstats viktiga mål av generellt allmänt intresse. Om dataskyddsförordningen föreskriver att förtydliganden eller begränsningar av dess bestämmelser kan ske genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (se skäl 8). 2019/20:106 Som framgår av den bedömning regeringen har gjort i propositionen Ny dataskyddslag innebär detta att förordningen ger medlemsstaterna möjlighet att i lagar på nationell nivå föreskriva vissa anpassade bestämmelser (prop. 2017/18:105 s. 21–23). Principen om unionsrättens företräde innebär dock att bestämmelser i sådana författningar måste vara förenliga med dataskyddsförordningen. trädde dataskyddslagen i kraft och upphävdes personuppgiftslagen (1998:204). Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Inom ramen för det utrymme som dataskyddsförordningen ger reglerar lagen bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är, på samma sätt som personuppgiftslagen var, subsidiär i förhållande till annan lag eller förordning. Det gör det möjligt att även fortsättningsvis ha från dataskyddslagen avvikande bestämmelser i sektorsspecifika registerförfattningar. Dataskyddsdirektivet innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 1.1). Direktivet ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1(artikel 2.1). Det är tillämpligt på behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt på annan behandling än automatiserad behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.2). Direktivet är däremot inte tillämpligt på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av unionens institutioner, organ och byråer (artikel 2.3). Ett bakomliggande syfte med dataskyddsdirektivets bestämmelser är att uppnå effektivitet på det straffrättsliga området, som en enhetlig och hög skyddsnivå för fysiska personers personuppgifter ska upprätthållas. I direktivet framhålls att det är av avgörande betydelse för att säkerställa ett effektivt straffrättsligt samarbete och polissamarbete att man kan upprätthålla en enhetlig och hög skyddsnivå för fysiska personers personuppgifter och underlätta utbytet av personuppgifter mellan behöriga myndigheter i medlemsstaterna (skäl 7). Dataskyddsdirektivet hindrar inte medlemsstaterna från att föreskriva starkare skyddsåtgärder än de som fastställs i direktivet för skyddet av den registrerades rättigheter och friheter med avseende på behöriga myndigheters behandling av personuppgifter (artikel 1.3). Dataskyddsdirektivet har genomförts i huvudsak genom införandet av en ny ramlag, brottsdatalagen (2018:1177), som trädde i kraft . Vidare har nya och anpassade registerförfattningar för bl.a. de brottsbekämpande myndigheterna och domstolarna tagits fram (prop. 2019/20:106 2017/18:269). Brottsdatalagen gäller således för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (1 kap. 2 §). Brottsdatalagen är, liksom dataskyddslagen, subsidiär. I den mån det för en myndighet som bedriver verksamhet inom brottsdatalagens tillämpningsområde finns en författning med bestämmelser som avviker från brottsdatalagen, ska därför den författningen tillämpas (1 kap. 5 § brottsdatalagen). 5.3Dataskyddsregleringens tillämpning i verksamhet bedriver verksamhet som kan omfattas av både dataskyddsförordningens och dataskyddsdirektivets tillämpningsområde. Enligt artikel 2.2 d i dataskyddsförordningen undantas behandling som omfattas av dataskyddsdirektivets tillämpningsområde från data- I den utsträckning personuppgiftsbehandling inte omfattas av dataskyddsdirektivets, och därmed även brottsdatalagens, tillämpningsområde omfattas den alltså av bestämmelserna i dataskyddsförordningen och dataskyddslagen samt andra författningar med för tillämplig särreglering som förordningen medger. Syftet med behandlingen är avgörande för vilket regelverk som är tillämpligt. Regeringen behandlar frågan om gränsdragning mellan tillämpliga personuppgiftsregleringar närmare i avsnitt 6.2. 6En lag om behandling av personuppgifter 6.1Behovet av en särskild reglering av behandlingen av personuppgifter i verksamhet Regeringens bedömning: En särskild författning om behandling av personuppgifter bör införas. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser, bl.a. Justitiekanslern, Kammarrätten i och , är positiva till eller lämnar inga synpunkter på bedömningen. () delar inte bedömningen och anför att det i stället för en ny registerförfattning vore bättre att förtydliga de lagar som redan är 2019/20:106 tillämpliga på verksamhet. anser att förslaget leder till en onödig dubbelreglering. Skälen för regeringens bedömning: Vid behandlas i stor utsträckning personuppgifter som är särskilt integritetskänsliga, bl.a. genetiska uppgifter och uppgifter om hälsa. De personuppgifter som behandlas vid är till stor del samma uppgifter som behandlas vid de uppdragsgivande myndigheterna. Antingen får del av uppgifterna i samband med att uppdraget lämnas till verket, eller så genereras personuppgifterna vid och lämnas ut till uppdragsgivaren i samband med att utredningsarbete är färdigt och uppdraget redovisas. Det kan konstateras att samtliga de myndigheter som lämnar uppdrag till har registerförfattningar som reglerar behandlingen av personuppgifter. Skyddet för personuppgifter bör som utgångspunkt inte vara mindre omfattande vid än vid de uppdragsgivande myndigheterna. Det kan bäst säkerställas genom en särskild reglering för personuppgiftsbehandlingen vid . Genom en sådan reglering är det även möjligt att ta hänsyn till de särskilda behov som föreligger i verksamhet som ett starkt skydd för enskildas personliga integritet upprätthålls. För delar av personuppgiftsbehandling gäller dataskyddsförordningen, som på generell nivå kompletteras av dataskyddslagen. När behandlar personuppgifter för sådana syften som anges i brottsdatalagen är den lagen i stället tillämplig. På vissa områden finns dessutom särlagstiftning med bestämmelser om personuppgiftsbehandling som ska tillämpas i vissa fall, exempelvis patientdatalagen (2008:355) som gäller då är att betrakta som vårdgivare. För enskilda registrerade som vill göra gällande sina rättigheter enligt det dataskyddsrättsliga regelverket är det viktigt att förhållandet mellan de olika regleringarna framgår på ett så begripligt och överblickbart sätt som möjligt. Även för och de enskilda tjänstemän som ska tillämpa bestämmelserna är detta naturligtvis av stort värde, särskilt eftersom det minskar risken för att personuppgifter behandlas på ett felaktigt sätt. Detta uppnås, enligt regeringens mening, bäst genom att behandlingen av personuppgifter vid regleras av särskilda bestämmelser. Till skillnad från RSMH och anser regeringen sammanfattningsvis därför att övervägande skäl talar för att en särskild författning som reglerar behandlingen av personuppgifter i verksamhet bör införas. Regeringens bedömning: EU:s dataskyddsförordning och den kompletterande dataskyddslagen är som utgångspunkt tillämpliga på behandlingen av personuppgifter vid . När fullgör ett uppdrag i syfte att stödja sådan brottsutredande och liknande verksamhet som avses i dataskyddsdirektivet är i stället brottsdatalagen tillämplig för verkets behandling av personuppgifter. Utredningens bedömning överensstämmer i huvudsak med regeringens. Utredningen anser att drogfrihetsanalyser på begäran av Kriminalvården som avser en person som får en straffrättslig påföljd verkställd bör anses falla inom dataskyddsdirektivets tillämpningsområde. Remissinstanserna: anför att samtliga drogfrihetsanalyser som inbegriper verkställighet av straffrättslig påföljd bör falla inom dataskyddsdirektivets tillämpningsområde. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning Två parallella regelverk – syftet med behandlingen avgör vilket som ska tillämpas För regeringens överväganden och förslag om hur en författning som reglerar behandling av personuppgifter bör utformas är det av avgörande betydelse hur de EU-rättsliga dataskyddsbestämmelserna ska tillämpas på personuppgiftsbehandlingen vid . Behandling av personuppgifter i verksamhet som omfattas av unionsrätten faller antingen inom tillämpningsområdet för dataskyddsdirektivet, vilket huvudsakligen genomförs genom brottsdatalagen, eller inom tillämpningsområdet för dataskyddsförordningen. Brottsdatalagen och dataskyddsförordningen kan inte vara tillämpliga på samma behandling för samma syfte. Har samma behandling däremot flera olika syften kan regelverken vara tillämpliga parallellt. Det bör då betraktas som två olika behandlingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk (prop. 2017/18:232 s. 101). En konsekvens av att det är syftet med behandlingen som avgör vilket regelverk som är tillämpligt för en viss personuppgiftsbehandling, är att om detta syfte ändras, kan också andra bestämmelser bli tillämpliga. Det är således nödvändigt för den som behandlar personuppgifter att ha syftet med behandlingen klart för sig för att kunna veta vilket regelverk som är tillämpligt. I förarbetena till brottsdatalagen redogör regeringen för ett antal allmänna principer som bör gälla för gränsdragningsfrågor som kan uppkomma (prop. 2017/18:232 s. 109–113). kommer, liksom andra myndigheter som bedriver verksamhet som kan omfattas av både dataskyddsförordningens och dataskyddsdirektivets regelverk, att ställas inför vissa gränsdragnings- 2019/20:106 problem. utför vissa uppgifter som i normalfallet inte har något samband med att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa Det gäller exempelvis arbetet med släktskaps- eller faderskapsanalyser på det rättsgenetiska verksamhetsområdet, tillvaratagandet av vävnader för transplantationsändamål inom det rättsmedicinska verksamhetsområdet och de toxikologiska analyser som på det rättskemiska verksamhetsområdet genomförs på uppdrag av hälso- För sådan behandling, som inte faller inom dataskyddsdirektivets tillämpningsområde, ska dataskyddsförordningen Vid bedrivs emellertid även verksamhet som omfattas av dataskyddsdirektivets, och därigenom brottsdatalagens, Det måste i myndighetens verksamhet klargöras vilka regler som ska tillämpas vid olika typer av personuppgifts- Eftersom dataskyddsförordningen, med några undantag som inte är relevanta i detta sammanhang, är tillämplig på all behandling av personuppgifter som inte omfattas av dataskyddsdirektivets bestämmelser, är det nödvändigt att beskriva verksamhet utifrån detta tudelade regelverk. Brottsdatalagen är, som nämns ovan, tillämplig på behandling av personuppgifter för olika brottsbekämpande syften. gäller också när en behörig myndighet behandlar personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. Av central betydelse är således om den myndighet som behandlar personuppgifterna är att betrakta som behörig myndighet och om behandlingen utförs i något eller några av de syften som anges i dataskyddsdirektivet och brottsdatalagen. I brottsdatalagen definieras en behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet. ska också förstås en annan aktör som anförtrotts att utöva myndighet för något av dessa syften (1 kap. 6 §). Myndigheter som arbetar med bl.a. brottsbekämpande verksamhet, som exempelvis eller , behöver ibland stöd från myndigheter med annan kompetens än den som finns inom den Det kan röra sig om medicinsk, psykiatrisk eller viss De myndigheter som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör anses som behöriga myndigheter när de utför dessa För behandling av personuppgifter ska i dessa fall brottsdatalagen tillämpas (se prop. 2017/18:232 s. 112). ansvarar för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet (1 § förordningen [2007:976] med instruktion för ). Verket ska bl.a. ansvara för rättspsykiatriska undersökningar i brottmål och läkarintyg som avses i 7 § personutredningslagen, rättsmedicinska obduktioner och andra rättsmedicinska undersökningar, utfärdande av intyg enligt lagen (2005:225) om rättsintyg i anledning begäran av domstol, allmän eller Säkerhetspolisen, rättskemiska och rättsgenetiska undersökningar, rättsmedicinska åldersbedömningar samt utredningar om risk för återfall i brottslighet enligt lagen (2006:45) om omvandling av fängelse på livstid (2 § i instruktionen). arbete är av central betydelse för den brottsutredande verksamhet som bedrivs vid och av åklagare, men också för t.ex. domstolarnas påföljdsbestämning i mål där fråga är om den tilltalade kan dömas till fängelse eller om påföljden i stället bör vara rättspsykiatrisk vård. Många av de uppgifter som svarar för kan inte utföras av någon annan aktör och samarbetet med de myndigheter som lämnar uppdrag till verket är nära. har således en viktig funktion att fylla på det straffrättsliga området, men myndigheten är en självständig aktör och kan inte alltid med självklarhet betraktas som ett led i exempelvis en brottsförebyggande eller brottsutredande verksamhet. I instruktion finns inget uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Vid utförandet av de uppgifter som nyss nämnts kan dock sägas fylla en stödfunktion för den brottsbekämpande verksamhet som bedrivs vid främst Även när det gäller domstolarnas påföljdsbestämning kan verksamhet med att genomföra rättspsykiatriska undersökningar sägas utgöra en stödfunktion i syfte att lagföra brott. där det bakomliggande syftet med behandlingen är de ändamål som anges i 1 kap. 2 § brottsdatalagen, dvs. att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, är därför dataskyddsdirektivet och brottsdatalagen Att , när verket behandlar person- uppgifter för något av de syften som omfattas av dataskyddsdirektivet, som utgångspunkt ska tillämpa brottsdatalagen, stämmer väl överens med det bakomliggande syftet med dataskyddsdirektivet. tillämpning kan behandlingen av personuppgifter genom hela brottmålsprocessen omfattas av samma regler och samma skyddsnivå kan säkerställas mellan de olika myndigheter som är involverade. Regeringen anser i likhet med att samtliga drogfrihetsanalyser som görs inom ramen för verkställighet av en straffrättslig påföljd faller inom dataskyddsdirektivet tillämpningsområde. Exempel på sådana prov är de som analyseras på begäran av Kriminalvården om provet avser en person som är intagen på kriminalvårdsanstalt eller som på något annat sätt verkställer en Sådana analyser kan även utföras på uppdrag av Provtagningen, som normalt sett inte genomförs av , är ett led i straffverkställigheten och verket fyller vid analysen av provet en sådan stödfunktion som behandlas ovan. behandling av personuppgifter i sådana ärenden om drogfrihetsanalyser bör därför anses falla inom dataskyddsdirektivets Fler exempel på gränsdragningen mellan vilket regelverk – dataskyddsförordningen eller brottsdatalagen – som typiskt sett bör tillämpas återfinns i författningskommentaren till 1 kap. 4 § i den nu föreslagna lagen. 2019/20:106 6.3 En lag om behandling av personuppgifter i Normgivningsnivå och författningens namn Regeringens förslag: De huvudsakliga bestämmelserna om behandling av personuppgifter i verksamhet ska tas in i en ny lag om behandling av personuppgifter. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas datalag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag Allmänt om bestämmelserna i regeringsformen I målsättningsstadgandet i 1 kap. 2 § första stycket regeringsformen slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Grundlagens regler om hur normgivningsmakten är fördelad mellan och regeringen finns i huvudsak i 8 kap. regeringsformen. Föreskrifter meddelas av genom lag och av regeringen genom Föreskrifter ska meddelas genom lag bl.a. om de avser skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 2 § första stycket 2). Kravet på att sådana föreskrifter ska ha lagform är dock inte obligatoriskt. vissa undantag som inte är aktuella här bemyndiga regeringen att meddela föreskrifterna (8 kap. 3 §). Regeringen får i övrigt meddela bl.a. sådana (8 kap. 7 §). Att det allmänna behandlar personuppgifter om enskilda anses inte innebära någon skyldighet för den enskilde eller något ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket Bestämmelser om personuppgiftsbehandling som utförs av statliga myndigheter under regeringen har därmed i princip ansetts kunna beslutas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen (se prop. 2017/18:105 s. 26). Både och regeringen har tidigare uttalat att myndighetsregister som innehåller ett stort antal registrerade och har ett särskilt känsligt innehåll bör regleras i lag, även om lagform inte krävs enligt regeringsformen (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48 1990/91:60 s. 58 och prop. 1997/98:44 s. 41). gäller ett utökat grundlagsskydd för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen. var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § regeringsformen. Skyddet får Prop. 2019/20:106 således inte begränsas genom förordning. Omfattas behandlingen av personuppgifter i verksamhet av 2 kap. 6 § andra stycket regeringsformen? Inledningsvis kan det konstateras att de uppgifter som behandlas i verksamhet rör enskildas personliga förhållanden i den mening som avses i 2 kap. 6 § andra stycket regeringsformen. Begreppet har samma innebörd som i sekretesslagstiftningen och omfattar bl.a. namn och andra identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även fotografisk bild omfattas av uttrycket (prop. 2009/10:80 s. 177). Av förarbetena till grundlagsbestämmelsen framgår också att begreppet samtycke bör bedömas på samma sätt som motsvarande krav enligt bestämmelsen om förbud mot åsiktsregistrering i 2 kap. 3 § första stycket regeringsformen. Vidare uttalas att de krav på ett samtycke som följde av personuppgiftslagstiftningen kunde tjäna som vägledning (prop. 2009/10:80 s. 179). Som regeringen konstaterar i avsnitt 6.3.9 är möjligheten för en myndighet att på dataskyddsförordningens område använda sig av samtycke som grund för behandling av personuppgifter begränsad. Enligt dataskyddsdirektivet är inte samtycke en laglig grund för behandling (se artikel 8). Merparten av personuppgiftsbehandling måste anses ske utan ett sådant samtycke från den enskilde som avses i 2 kap. 6 § andra stycket regeringsformen. Avgörande för bedömningen av om en åtgärd ska anses innebära övervakning eller kartläggning i den mening som avses i 2 kap. 6 § andra stycket regeringsformen är inte det huvudsakliga syftet utan åtgärdens effekt. Vad som avses med övervakning respektive kartläggning får bedömas utifrån vad som enligt normalt språkbruk läggs i dessa begrepp. Enligt förarbetena till 2 kap. 6 § andra stycket regeringsformen är uppgifter i myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering i många fall tillgängliga för myndigheten på ett sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat (prop. 2009/10:80 s. 180 och 250). Vid förekommer en rad olika ärendetyper och verket behandlar många olika slag av uppgifter. I samtliga ärendetyper förekommer regelmässigt uppgifter för att identifiera den person som ärendet gäller.