prop · H703106 · 2020-03-10 00:00:00 — framstår som angeläget att sådana uppgifter kan omfattas av skyddsreglerna i den förslagna lagen. Det kan också konstateras att en sådan reglering skulle ligga väl i linje med de bestämmelser i lagen (1995:832) om obduktion m.m., som tillämpas i rättsmedicinska verksamhet, och som anger att åtgärder enligt lagen ska fullgöras med respekt för den avlidne (1 § andra stycket). såsom Kammarrätten i påpekar, inte skyddas på motsvarande sätt sedan de lämnats ut till andra myndigheter utgör enligt regeringen inte skäl att avstå från att införa en sådan ordning. Att lagen, i tillämpliga delar, gäller även uppgifter om avlidna personer bidrar också till att upprätthålla den frid som bör tillkomma en avliden person (jfr 5 kap. 4 § ). Eftersom dataskyddsförordningen, dataskyddslagen och brottsdatalagen inte omfattar behandling av uppgifter om avlidna personer, bör den lag som regeringen nu föreslår utsträcka tillämpningsområdet för dessa regelverk när det gäller uppgiftsbehandling vid . Något hinder mot det finns inte och det är nödvändigt för att bestämmelser om bl.a. tillåtna rättsliga grunder, grundläggande krav på behandlingen och tillsyn ska bli tillämpliga även när det gäller behandling av uppgifter om avlidna personer. Även brottsdataförordningen (2018:1202) och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning innehåller bestämmelser som kan vara relevanta när behandlar uppgifter om avlidna. förordningen innehåller t.ex. föreskrifter om tillgången till personuppgifter och anmälan av personuppgiftsincidenter. Vidare är det en fördel om uppgifter om avlidna i så stor utsträckning som möjligt behandlas på samma sätt som personuppgifter i verksamhet. Enligt regeringen bör därför även föreskrifter som meddelats i anslutning till dataskyddslagen, brottsdatalagen och lagen om behandling av personuppgifter tillämpas på uppgifter om avlidna. Bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt är givetvis inte tillämpliga på avlidna personer. möjlighet för efterlevande eller andra att överta rättigheter som tillkom den avlidne när denne var i livet finns inte heller. Det innebär exempelvis att bestämmelser om rätten till information, rätten till skadestånd och möjligheten att begära rättelse av registrerade personuppgifter inte är tillämpliga i förhållande till avlidna. Däremot gäller bl.a. kravet på att det ska finnas en rättslig grund för varje behandling av uppgifter och de Prop. 2019/20:106 principer som följer av artikel 4 i dataskyddsdirektivet (jfr 2 kap. 3–8 §§ brottsdatalagen) och artikel 5 i dataskyddsförordningen även vid behandling av uppgifter om avlidna. På samma sätt förhåller det sig med bestämmelser om tillsyn och sanktionsavgifter. Regeringen anser inte, till skillnad från Datainspektionen, att det krävs något ytterligare förtydligande om vilka delar av lagen som ska gälla för avlidna. Den lagtekniska lösningen är också i linje med t.ex. patientdatalagen (2008:355) där tillämpningsområdet utsträckts till att även omfatta personer som är i livet. efterfrågar ett förtydligande avseende huruvida förslaget innebär någon förändring av hur länge kan behandla uppgifter om avlidna. Vidare framhåller myndigheten att uppgifter om exempelvis dna från en avliden person som behandlas hos kan vara av stor betydelse i polisiära utredningar för att kunna knyta den avlidne till brott och avskriva misstankar mot personer som är i livet. Genom den föreslagna bestämmelsen kommer uppgifter om avlidna att, till skillnad från tidigare ordning, omfattas av det skydd för personuppgifter som gäller vid och skyddet för uppgifter om avlidna utvidgas alltså jämfört med vad som gäller . Brottsdatalagen gäller när behandlar uppgifter för brottsbekämpande syften om inte annat följer av den föreslagna lagen. Enligt brottsdatalagen får uppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (2 kap. 17 § första stycket). En bestämmelse av motsvarande innebörd finns i artikel 5.1 e i dataskyddsförordningen. Innebörden av dessa bestämmelser torde vara att även fortsättningsvis kommer att kunna behandla nödvändiga uppgifter om avlidna som har betydelse för exempelvis olösta mordfall eller resningsförfaranden. 6.3.8Rättsmedicinalverket ska vara personuppgiftsansvarigt Regeringens förslag: ska vara personuppgiftsansvarigt för behandling av personuppgifter i myndighetens verksamhet. Regeringens bedömning: Det behövs inga bestämmelser om personuppgiftsbiträden. Bestämmelserna i dataskyddsförordningen och brottsdatalagen är tillräckliga. Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag bör ha ett helhetsansvar för personuppgiftsbehandlingen Begreppet personuppgiftsansvarig är centralt inom all dataskyddsreglering. Skyldigheten att se till att behandling av personuppgifter sker i enlighet med tillämpliga bestämmelser åvilar den som är personuppgiftsansvarig och enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Dataskyddsförordningen slår fast att med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7). Den personuppgiftsansvarige har en rad skyldigheter enligt förordningen. Däribland kan nämnas att den personuppgiftsansvarige ska se till och kunna visa att principerna om behandlingen av personuppgifter i artikel 5 följs. Ett annat exempel är den personuppgiftsansvariges skyldighet att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med förordningen (artikel 24). Även dataskyddsdirektivet innehåller en definition av begreppet personuppgiftsansvarig. Direktivet anger att med personuppgiftsansvarig avses en behörig myndighet, som ensam eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 3.8). Motsvarande bestämmelse finns i 1 kap. 6 § brottsdatalagen. Registerförfattningar innehåller regelmässigt en reglering av vem som är personuppgiftsansvarig. En sådan bestämmelse är, såvitt gäller myndigheter, av störst vikt när det är fråga om en myndighet som är del av en större myndighetsstruktur, om det finns utrymme för tvekan kring vilken myndighet som har ansvaret för behandlingen av personuppgifter. Regleringen kan dock ha ett berättigande även i andra fall, för att förenkla för rättstillämparen och undvika otydligheter. Eftersom båda de EU- rättsliga regelverken gör det möjligt att i nationell författning ange vem som är personuppgiftsansvarig (artikel 4.7 i dataskyddsförordningen och artikel 3.8 i dataskyddsdirektivet), och det enligt regeringens mening är viktigt att detta tydligt framgår, bör en bestämmelse införas som anger att är personuppgiftsansvarigt för behandling av personuppgifter i myndighetens verksamhet. I detta ligger även att är personuppgiftsansvarigt för behandling inom myndighetens verksamhet som utförs av andra aktörer på uppdrag av (se vidare nedan). Inget behov av ytterligare bestämmelser om personuppgiftsbiträden Den som är personuppgiftsansvarig är, enligt såväl dataskyddsförordningen som dataskyddsdirektivet och brottsdatalagen, ansvarig för all behandling av personuppgifter som utförs under den personuppgiftsansvariges ledning eller på dennes vägnar. Detta helhetsansvar innebär således att ansvaret för behandlingen sträcker sig till att även omfatta den personuppgiftsbehandling som utförs av ett personuppgiftsbiträde (skäl 74 i dataskyddsförordningen och skäl 50 i dataskyddsdirektivet). I 3 kap. 1 § brottsdatalagen anges att den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter Prop. 2019/20:106 som utförs under dennes ledning eller på dennes vägnar. Vid förekommer i ett antal olika delar av verksamheten att personuppgiftsbiträden anlitas. Så är exempelvis fallet när det gäller rättsmedicinska åldersbedömningar. Fristående leverantörer genomför, efter upphandling, de undersökningar som ligger till grund för verkets utlåtande i åldersfrågan. Utöver avtal som reglerar själva uppdraget ingår också s.k. personuppgiftsbiträdesavtal med dessa leverantörer. Att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt, framgår av artikel 29 i dataskyddsförordningen. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar, ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (artikel 28.1). Personuppgiftsbiträdets hantering av personuppgifter för den personuppgiftsansvariges räkning, ska regleras genom ett avtal eller annan rättsakt som är bindande för biträdet (artikel 28.3, som också innehåller närmare föreskrifter om vad ett sådant avtal eller en sådan bindande rättsakt ska reglera). Motsvarande bestämmelser på dataskyddsdirektivets område finns i bl.a. artikel 23, som anger att medlemsstaterna ska föreskriva att ett personuppgiftsbiträde och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter enligt instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Likaså finns i direktivet bestämmelser om anlitande av personuppgiftsbiträden och vad som ska gälla för avtal mellan den personuppgiftsansvarige och ett sådant biträde (artikel 22). Direktivets bestämmelser om personuppgiftsbiträden har genomförts genom 3 kap. 16–19 §§ brottsdatalagen. De bestämmelser i dataskyddsförordningen och brottsdatalagen som reglerar vad som gäller när en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är enligt regeringens mening tillräckliga. Något behov av att i den nu föreslagna lagen införa bestämmelser om personuppgiftsbiträden finns därför inte. Rättslig grund och ändamål för behandling av Regeringens förslag: ska få behandla personuppgifter om det är nödvändigt för att utföra myndighetens uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska och Personuppgifter som behandlas för dessa ändamål ska också få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifterna ska även få behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringens bedömning: Den behandling av personuppgifter inom dataskyddsförordningens tillämpningsområde som regleras i den förslagna lagen är nödvändig för att utföra en uppgift av allmänt Det behövs ingen upplysning om att EU:s dataskyddsförordning anger att personuppgifter får behandlas om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt eller om att personuppgifter även får behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enligt med artikel 89.1 i dataskyddsförordningen. Det behövs ingen bestämmelse om ytterligare behandling av personuppgifter som behandlas eller har behandlats med stöd av de bestämmelser i lagen som gäller på brottsdatalagens område. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår en annan lagteknisk utformning. föreslår bl.a. att den inledande ändamålsbestämmelsen ska innehålla en upplysning om vad som anges i artikel 6.1 i dataskyddsförordningen. Remissinstanserna: Datainspektionen avstyrker utredningens förslag att ska kunna använda samtycke enligt artikel 6.1 a och intresseavvägning enligt artikel 6.1 f som stöd för behandling av personuppgifter i sin rättspsykiatriska, rättskemiska, rättsmedicinska och Ingen annan remissinstans yttrar sig särskilt i Skälen för regeringens förslag och bedömning Av artikel 6.1 i dataskyddsförordningen framgår att behandling av personuppgifter endast är laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål, b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, e) behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller f) behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Sistnämnda rättsliga grund får dock inte åberopas av offentliga myndigheter när de fullgör sina uppgifter. Uppräkningen av rättsliga grunder i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte genomföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig. Begreppet nödvändig är ett EU-rättsligt begrepp. Det innebär inte att någonting absolut fordras eller inte kan underlåtas utan att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften eller med andra ord att behandlingen leder till effektivitetsvinster (prop. 2017/18:105 s. 189 och prop. 2017/18:232 s. 117). får det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatiserad väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s. 46– 47 och 189). I normalfallet utgör en myndighets uppdrag enligt författning, instruktion eller regleringsbrev en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e (prop. 2017/18:105 s. 53–54). All verksamhet som myndigheter bedriver, inom ramen för sin befogenhet, anses vara av allmänt intresse. Vissa myndigheter har av eller regeringen getts befogenhet att bedriva viss uppdragsverksamhet. Även denna typ av verksamhet är motiverad av ett allmänt intresse (prop. 2017/18:105 s. 56–59). Av 2 kap. 2 § 1 dataskyddslagen följer att en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning utgör en rättslig grund för behandling av personuppgifter. Tydliga uppdrag att behandla personuppgifter i författning, exempelvis en myndighets instruktion, kan dock också utgöra en rättslig förpliktelse. Enligt artikel 6.1 c är personuppgiftsbehandling laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den Begreppet omfattar i första hand offentligrättsliga förpliktelser och av 2 kap. 1 § dataskyddslagen följer att en förpliktelse utgör en rättslig grund för behandling av personuppgifter om förpliktelsen följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses, enligt skäl 41, inte att den rättsliga grunden nödvändigtvis måste fastställas i enlighet med en 2019/20:106 av beslutad lag. Däremot måste grunden vara fastställd i laga ordning på ett konstitutionellt korrekt sätt (prop. 2017/18:105 s. 51). Av skäl 41 följer vidare att den rättsliga grunden bör vara tydlig, precis och förutsägbar. De uppdrag som har att utföra och dess befogenheter framgår av myndighetens instruktion. Instruktionen utgör en tydlig, precis och förutsägbar rättslig grund som uppfyller kraven i artikel 6 i dataskyddsförordningen. Detta får anses gälla även 3 § i instruktionen, som anger att får utföra uppdrag inom sitt ansvarsområde om verksamheten i övrigt medger det. Relevant för att avgöra vilka ärendetyper och uppdrag som kan hänföras till 3 § är 1 § i instruktionen, som anger att ansvarar för rättspsykiatrisk, rättskemisk, rättsmedicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. De båda bestämmelserna sätter alltså ramarna för vilka uppdrag med stöd av 3 § i instruktionen kan åta sig När behandlar personuppgifter enligt sitt uppdrag sker detta för att utföra uppgifter av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) som följer av lag eller annan författning. Även artikel 6.1 c om behandling för att fullgöra en rättslig förpliktelse kan vara tillämplig. Eftersom artikel 6.1 i dataskyddsförordningen är direkt tillämplig anser regeringen, till skillnad från utredningen, inte att det behövs någon upplysning om att personuppgifter får behandlas i verksamhet under förutsättning att minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. Datainspektionen instämmer, med åberopande av beaktandesatserna 43 och 47 i dataskyddsförordningen, inte i utredningens uppfattning att ska kunna använda samtycke enligt artikel 6.1 a och intresseavvägning enligt artikel 6.1 f som stöd för behandling av personuppgifter i sin verksamhet. Regeringen konstaterar att det enligt förordningen inte är tillåtet för myndigheter att, när de fullgör sina uppgifter, behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den ansvariges berättigade intressen och den registrerades rättigheter och intressen (artikel 6.1 andra stycket). När det gäller samtycke framhåller utredningen att den grunden för behandling kan vara tillämplig i de fall då genomför utredningar på uppdrag av enskilda personer, exempelvis i faderskapsärenden som initierats av de inblandade parterna själva. I skäl 43 i dataskyddsförordningen uttrycks att samtycke inte bör anses ha lämnats frivilligt och därmed kunna utgöra en giltig rättslig grund i fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Utrymmet för offentliga myndigheter att använda sig av samtycke som rättslig grund för behandling av personuppgifter (artikel 6.1 a)får därför anses vara begränsat. I instruktion, där myndighetens uppdrag och befogenheter fastslås, uttrycks bl.a. särskilt uppgiften att utföra rättsgenetiska undersökningar. Även uppdragsverksamhet i form av utredningar på uppdrag av enskilda personer utgör därför, som konstateras ovan, en Prop. 2019/20:106 verksamhet av allmänt intresse. Att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål är en allmän dataskyddsprincip. Enligt den s.k. finalitetsprincipen får personuppgifter inte vidarebehandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Dessa principer kommer till uttryck i artiklarna 5.1 b och 6.4 i dataskyddsförordningen. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b). Ändamålsbestämmelser anger den yttersta ram inom vilken uppgifter får behandlas (se t.ex. 6–7 §§ domstolsdatalagen [2015:728]). I vissa författningar delas ändamålen in i sekundära och primära ändamål. Bestämmelser om primära ändamål reglerar behandling som behövs i den berörda myndighetens egen verksamhet medan sekundära ändamål bl.a. reglerar i vilken utsträckning uppgifter som behandlas för något av de primära ändamålen får vidarebehandlas för att lämnas ut till enskilda eller till andra myndigheter. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt hur personuppgifter dels får användas i myndighetens egen verksamhet, dels får behandlas för att lämnas ut till andra. Ändamålsbestämmelser är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling och är således tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Enligt artikel 23.2 a ska dessutom lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser, när så är relevant. Genom väl avvägda ändamålsbestämmelser kan ges ändamålsenliga möjligheter att behandla personuppgifter i sin verksamhet som risken för obefogade intrång i den personliga integriteten minskar. Regeringen bedömer mot denna bakgrund att ändamålsbestämmelser bör införas i den föreslagna lagen och att dessa ska delas upp i primära och sekundära ändamålsbestämmelser. Av den primära ändamålsbestämmelsen ska framgå att får behandla personuppgifter om det är nödvändigt för att utföra myndighetens uppgifter i sin rättspsykiatriska, rättskemiska, rättsmedicinska och rättsgenetiska verksamhet. Det utgör en lämplig avgränsning som beaktar både verksamhetens behov av att behandla personuppgifter och skyddet för enskildas personliga integritet. För att leva upp till dataskyddsförordningens krav på särskilda, uttryckligt angivna och berättigade ändamål kommer dock normalt också att behöva formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndighetens verksamhet. När det gäller de sekundära ändamålen bör en allmän förutsättning vara att utlämnande till andra får ske om uppgiftslämnandet sker i överenstämmelse med lag eller förordning, dvs. med stöd av bestämmelser som påbjuder eller tillåter 2019/20:106 utlämnande. När bestämmelser som påbjuder eller tillåter utlämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, och att man vid denna avvägning funnit att uppgiften ska eller får lämnas ut. Utredningen föreslår att det ska införas bestämmelser som uttryckligen anger att personuppgifter även får behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enligt med artikel 89.1 i dataskyddsförordningen. Det föreslås också en uttrycklig hänvisning till dataskyddsförordningens bestämmelser om finalitetsprincipen (artiklarna 5.1b och 6.4).