prop · H703106 · 2020-03-10 00:00:00 — För sådan behandling av personuppgifter gäller dataskyddsförordningen. Behandling av personuppgifter sker vidare i vissa säkerhetsadministrativa system. Det kan exempelvis gälla uppgifter om besökare. Utgångspunkten för behandling av sådana uppgifter är att de faller under dataskyddsförordningens tillämpningsområde. 2019/20:106 Syftet med behandlingen av personuppgifter i rättspsykiatriska ärenden är, som ovan konstateras, att lagföra brott och personuppgiftsbehandlingen omfattas därför av brottsdatalagens bestämmelser. När det gäller säkerhetsadministrativa frågor som behandling av uppgifter om besökare till de rättspsykiatriska undersökningsenheterna, är syftet med personuppgiftsbehandlingen nära kopplat till den rättspsykiatriska utredningsverksamheten och, i förlängningen, domstolens lagföring av brott. Även för sådan behandling av personuppgifter bör därför brottsdatalagens bestämmelser tillämpas. 5 § Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (1999:353) om rättspsykiatriskt forskningsregister, 2.lagen (2003:460) om etikprövning av forskning som avser människor, eller 3.patientdatalagen (2008:355). Paragrafen klargör lagens förhållande till vissa andra författningar. Övervägandena finns i avsnitt 6.3.3. I de fall då personuppgifter behandlas med stöd av lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) eller patientdatalagen (2008:355) gäller inte förevarande lag. Vid rättspsykiatriska enheter bedrivs forskning inom rättspsykiatri. För det ändamålet finns ett rättspsykiatriskt forskningsregister, som regleras i lagen om rättspsykiatriskt forskningsregister. Bestämmelser i etikprövningslagen kan bli aktuella exempelvis för hanteringen av humanbiologiskt material vid när det gäller verkets forskningsverksamhet. Patientdatalagen blir tillämplig till exempel när en person som är intagen vid en rättspsykiatrisk undersökningsenhet vid är i behov av somatisk vård. Vid personuppgiftsbehandling enligt dessa lagar gäller således inte lagen om behandling av personuppgifter. 6 § I lagen (2020:0000) om elimineringsdatabas finns bestämmelser om behandling av personuppgifter i myndighetens elimineringsdatabas. Paragrafen innehåller en upplysning om att det i lagen om elimineringsdatabas finns bestämmelser om behandling av personuppgifter i myndighetens elimineringsdatabas. Övervägandena finns i avsnitt 6.3.3. 7 § Följande reglering ska i tillämpliga delar gälla även vid behandling av uppgifter om avlidna i verksamhet: 1. denna lag och föreskrifter som har meddelats i anslutning till den, EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den, och 3. brottsdatalagen (2018:1177) och föreskrifter som har meddelats i anslutning I paragrafen slås fast att lagen, dataskyddsförordningen, dataskyddslagen och brottsdatalagen samt föreskrifter som har meddelats i anslutning till dessa lagar i tillämpliga delar ska gälla för behandling av uppgifter om avlidna. Övervägandena finns i avsnitt 6.3.7. Paragrafen innebär att skyddsreglerna i lagen och föreskrifter som har meddelats i anslutning till den, i tillämpliga delar, ska gälla även vid behandling av uppgifter om avlidna personer. Så ska också vara fallet med dataskyddsförordningen, dataskyddslagen och brottsdatalagen, och föreskrifter som meddelats i anslutning till de lagarna, vars materiella tillämpningsområden således utvidgas genom paragrafen. De bestämmelser som ska tillämpas även vid behandling av uppgifter om avlidna personer är bestämmelser som avser bl.a. ändamål för behandling, tillåtna rättsliga grunder och grundläggande krav på behandlingen. Även bestämmelser om tillsyn och sanktionsavgifter ska tillämpas. Däremot ska inte bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt vara tillämpliga på avlidna personer. Så är exempelvis fallet när det gäller rätten till information, rätten till skadestånd och möjligheten att begära rättelse av uppgifter. Någon möjlighet för efterlevande att göra gällande sådana rättigheter finns inte. 8 § är personuppgiftsansvarigt för behandling av personuppgifter i myndighetens verksamhet. I paragrafen regleras personuppgiftsansvaret för behandling av personuppgifter i verksamhet. Övervägandena finns i avsnitt 6.3.8. är personuppgiftsansvarigt för all behandling av personuppgifter som sker i myndighetens verksamhet. som utförs av en utomstående aktör på uppdrag av sker i verkets verksamhet och verket ansvarar alltså även för sådan Elektroniskt utlämnande av personuppgifter 9 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Utlämnande får dock inte ske i form av direktåtkomst. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. Paragrafen reglerar i vilka fall och på vilket sätt personuppgifter får lämnas Dessutom innehåller den en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter Övervägandena finns i avsnitt 6.3.14 och 6.3.15. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Utlämnande genom direktåtkomst är dock inte Direktåtkomst innebär att en mottagare har direkt tillgång till någon annans register eller databas och därigenom på egen hand kan ta del 2019/20:106 av information (se HFD 2015 ref. 61). Sådant elektroniskt utlämnande som är tillåtet om det inte är olämpligt är bl.a. utlämnande på usb-minne, genom e-post eller annan elektronisk överföring. Lämplighetsprövningen ska göras i varje enskilt fall. Vid en sådan prövning har det betydelse vem mottagaren är. Som utgångspunkt är utlämnande till domstol eller annan myndighet inte olämpligt medan en mer nyanserad bedömning är påkallad vid utlämnanden till andra. Bedömningen bör innefatta en prövning av vilka integritetsrisker ett elektroniskt utlämnande kan innebära. Härvid måste beaktas vilken typ av personuppgifter det är fråga om och mängden av personuppgifter. Vid lämplighetsprövningen ska även beaktas i vilken mån uppgifterna kan överföras på ett säkert sätt, bl.a. för att säkerställa att mottagaren är den rätta. I paragrafen regleras inte frågan om uppgifterna över huvud taget får lämnas ut, utan endast formen för utlämnandet. Innan frågan om formen för utlämnandet bedöms måste det avgöras om det finns hinder mot att lämna ut uppgifterna. Det kan exempelvis gälla sekretess för personuppgifter enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400), om det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen. I andra stycket upplyses om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. 2 kap. Behandling av personuppgifter inom det område som omfattas av EU:s dataskyddsförordning 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra sina uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamheten. I paragrafen anges de primära ändamålen för personuppgiftsbehandling på dataskyddsförordningens område. Övervägandena finns i avsnitt 6.3.9. Enligt bestämmelsen får behandla personuppgifter om det är nödvändigt för att utföra myndighetens uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamheten. uppgifter framgår av förordningen (2007:976) med instruktion för . I författningskommentaren till 1 kap. 4 § finns exempel på ärenden inom olika verksamhetsområden där myndigheten behandlar personuppgifter på dataskyddsförordningens område. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig om den behövs för att myndigheten på ett effektivt sätt ska kunna utföra arbetsuppgiften eller med andra ord om den leder till effektivitetsvinster (prop. 2017/18:105 s. 189 och prop. 2017/18:232 s. 117). Personuppgifter får också behandlas för planering, uppföljning och utvärdering av verksamheten (se t.ex. prop. 2004/05:164 s. 179 och prop. 2014/15:63 s. 63). 2 § Personuppgifter som behandlas enligt 1 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifterna får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen innehåller bestämmelser om de sekundära ändamål som personuppgifter får behandlas för. I andra stycket uttrycks den s.k. Övervägandena finns i avsnitt 6.3.9. Enligt första stycket får personuppgifter som behandlas i enlighet med de primära ändamålsbestämmelserna i 1 § även behandlas för att fullgöra uppgiftslämnande som följer av lag eller förordning. sådant uppgiftslämnande som sker med stöd av 13 kap. 6 § regeringsformen och 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. där det föreskrivs skyldighet att lämna ombudsmän respektive begärda upplysningar. Enligt andra stycket får personuppgifterna även behandlas för andra ändamål under förutsättning att behandlingen inte är oförenlig med Bestämmelsen, som är ett uttryck för den s.k. finalitetsprincipen, är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen inte ska anses vara oförenlig med Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Det innebär t.ex. att kopplingen mellan insamlingsändamålen och de nya ändamålen, personuppgifternas art och eventuella konsekvenser för den registrerade av den planerade fortsatta behandlingen ska beaktas. 3 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Paragrafen innehåller ett sökförbud avseende vissa känsliga Övervägandena finns i avsnitt 6.3.12. Enligt paragrafen är det förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning, vilka utgör känsliga personuppgifter. Bestämmelsen gäller alltså inte alla slags känsliga personuppgifter. Sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter eller genetiska uppgifter omfattas inte. Sökförbudet avser alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på någon av de känsliga personuppgifter som anges i bestämmelsen. sökningar som görs för att få fram ett urval av personer som t.ex. har en 2019/20:106 viss politisk åsikt, religiös åskådning eller sexuell läggning. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård. Sökförbudet gäller i stället för det sökförbud som finns i 3 kap. 3 § andra stycket dataskyddslagen. Av 7 § framgår att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter eller genetiska uppgifter. 4 § Sökförbudet i 3 § hindrar inte att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet hindrar inte heller sökning i en viss handling eller i ett visst ärende. Paragrafen innehåller undantag från sökförbudet i 3 § och innebär att vissa sökbegrepp och sökningar i en viss handling eller ärende tillåts. Övervägandena finns i avsnitt 6.3.12. I första stycket görs undantag från sökförbudet i 3 § såvitt gäller särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar och uppgifter som beskriver en persons utseende. Sådana uppgifter får således, trots sökförbudet, användas som sökbegrepp vid sökningar. Särskilda beteckningar för identifiering av en viss ärendetyp kan exempelvis handla om ärendekoder som används för att klassificera en viss ärendetyp. Med uppgifter som beskriver en persons utseende avses t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, födelsemärken och tatueringar (jfr prop. 2011/12:45 s. 124). En sådan uppgift behöver i sig inte utgöra en känslig personuppgift. På samma sätt förhåller det sig med brottsrubriceringar. Att använda uppgifter om utseende kan dock avslöja information om t.ex. etniskt ursprung och en uppgift om brottsrubricering kan bl.a. ge information om sexuella preferenser. Sådana sökningar är likväl tillåtna i verksamhet. Enligt andra stycket gäller inte sökförbudet vid sökning i en viss handling eller i ett visst ärende. Av 7 § framgår att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att göra sådana sökningar som anges i paragrafen. 5 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar tillgången till personuppgifter inom . Övervägandena finns i avsnitt 6.3.18. Av paragrafen framgår att tillgången till personuppgifter inom ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Skilda personalkategorier kan behöva vidta åtgärder och därför också ha behov av tillgång till relevanta personuppgifter. Tillgången till personuppgifter kan begränsas genom tekniska och organisatoriska åtgärder. Uttrycket var och Prop. 2019/20:106 en inkluderar såväl tillsvidareanställd personal som t.ex. personer med en personuppgiftsbehandling vid inom dataskyddsförordningens område. För den personuppgiftsbehandling vid verket som sker inom brottsdatalagens tillämpningsområde finns en motsvarande bestämmelse i 3 kap. 6 § brottsdatalagen. 6 § Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. I paragrafen finns en begränsning i den personuppgiftsansvariges skyldighet att informera den registrerade om personuppgiftsincidenter. Övervägandena finns i avsnitt 6.3.21. Artikel 34 i dataskyddsförordningen innebär en skyldighet för den personuppgiftsansvarige att under vissa förutsättningar informera om en personuppgiftsincident. I paragrafen anges att den personuppgiftsansvariges skyldighet att informera den registrerade inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Paragrafen innebär att sekretess eller tystnadsplikt gentemot den registrerade som har stöd i författning har företräde framför skyldigheten att informera den registrerade om en personuppgiftsincident. Bestämmelsen aktualiseras då sekretess eller tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) gäller. Till exempel gäller sekretess inom för alla uppgifter om säkerhets- och bevakningsåtgärder om det kan antas att syftet med åtgärden motverkas om uppgiften lämnas ut (18 kap. 8 § offentlighets- och sekretesslagen). Rätt att meddela föreskrifter 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen 1.meddela föreskrifter om begränsningar av möjligheten att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter och genetiska uppgifter samt sådana sökningar som anges i 4 §, och 2.meddela närmare föreskrifter om tillgången till personuppgifter enligt 5 §. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer, med stöd av 8 kap. 7 § regeringsformen, kan meddela vissa föreskrifter. Övervägandena finns i avsnitt 6.3.15. Enligt paragrafen kan regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om begränsningar av möjligheten att dels göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa, biometriska uppgifter eller genetiska uppgifter, dels att som sökbegrepp använda särskilda beteckningar för identifiering av en viss 2019/20:106 ärendetyp, brottsrubriceringar och uppgifter som beskriver en persons utseende, dels att göra sökningar i en viss handling eller i ett visst ärende. Vidare finns en upplysning om att närmare föreskrifter om tillgången till personuppgifter kan meddelas. 3 kap. Behandling av personuppgifter inom det område som omfattas av brottsdatalagen 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. verkställa straffrättsliga påföljder, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Paragrafen reglerar de tillåtna ändamålen för behandling av personuppgifter inom brottsdatalagens område. Övervägandena finns i avsnitt 6.3.10. Paragrafen gäller i stället för 2 kap. 1 § första stycket brottsdatalagen. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten inom det område som omfattas av brottsdatalagen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och viss nödvändig handläggning. Personuppgifter får behandlas om det är nödvändigt för att ska kunna utföra följande uppgifter: förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig om den behövs för att myndigheten på ett effektivt sätt ska kunna utföra arbetsuppgiften eller med andra ord om den leder till effektivitetsvinster (prop. 2017/18:232 s. 117 och prop. 2017/18:105 s. 189). Uppgifterna stämmer överens med de uppgifter som i 1 kap. 4 § drar upp gränsen för när brottsdatalagen är tillämplig vid behandling av personuppgifter. Dessutom får personuppgifter behandlas om det är nödvändigt för att ska kunna fullgöra förpliktelser som följer av internationella åtaganden på brottsdatalagens område. Personuppgifter får också behandlas för planering, uppföljning och utvärdering av verksamheten (se t.ex. prop. 2004/05:164 s. 179 och prop. 2014/15:63 s. 63). 2 § Förutsättningarna för att behandla personuppgifter som behandlas med stöd av 1 § för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:1177). I paragrafen finns en upplysning som anger att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Övervägandena finns i avsnitt 6.3.10. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde måste en prövning enligt 2 kap. 4 eller 22 § brottsdatalagen göras. Den förstnämnda paragrafen Prop. 2019/20:106 gäller behandling av personuppgifter för nya ändamål inom brottsdatalagens tillämpningsområde. Av den paragrafen följer att innan sådan behandling sker ska det säkerställas att det finns en rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Kravet på säkerställande av nödvändighet och proportionalitet gäller enligt 2 kap. 22 § brottsdatalagen även vid behandling för nya ändamål utanför brottsdatalagens tillämpningsområde. I den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning behöver någon prövning enligt 2 kap. 4 eller 22 § inte ske. Den närmare innebörden av prövningen framgår av författningskommentaren till de paragraferna (prop. 2017/18:232 s. 442–443 och 451–452). Biometriska och genetiska uppgifter 3 § får behandla biometriska och genetiska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. I paragrafen regleras när biometriska och genetiska uppgifter får behandlas. Övervägandena finns i avsnitt 6.3.13. Av paragrafen framgår att biometriska och genetiska uppgifter får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Det innebär att behovet av att behandla sådana uppgifter måste prövas särskilt noga. Den behandling av känsliga personuppgifter som sker när utför sina uppgifter, exempelvis i identifieringsärenden, bör som en utgångspunkt anses vara absolut nödvändig. Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Vanliga fotografier och filmer omfattas inte av definitionen om de inte bearbetas tekniskt på något sätt så att identifiering blir möjlig, t.ex. i ett ansiktsigenkänningsprogram (prop. 2017/18:232 s. 85–86). Genetiska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår eller ett prov av personen i fråga. Det är framför allt fråga om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram vid andra analyser omfattas (prop. 2017/18:232 s. 86–87). 4 § Det är förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Paragrafen innehåller ett sökförbud avseende vissa känsliga personuppgifter. Övervägandena finns i avsnitt 6.3.13. 2019/20:106 Enligt paragrafen är det förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Förbudet gäller de känsliga personuppgifter som anges i 2 kap. 11 § brottsdatalagen med undantag för uppgifter om hälsa. Det är således inte förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa. Det är inte heller förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på biometriska uppgifter eller genetiska uppgifter. Bestämmelsen gäller i stället för bestämmelsen om sökförbud i 2 kap. 14 § brottsdatalagen. Innebörden av sökförbudet utvecklas ytterligare i författningskommentaren till 2 kap. 3 §.