prop · H703106 · 2020-03-10 00:00:00 — Regeringens instämmer i att finalitetsprincipen bör utgöra den yttersta ramen inom vilken personuppgifter får behandlas på dataskyddsförordningens område enligt den föreslagna lagen. Regeringen anser dock inte att en hänvisning till artikel 5.1 b och 6.4 i dataskyddsförordningen eller en uttrycklig bestämmelse om behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör införas i lagen. I stället bör det anges att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. En sådan tydliggörande bestämmelse finns i många andra registerförfattningar på dataskyddsförordningens område (se t.ex. 4 § kriminalvårdsdatalagen [2018:1235]) och utgör tillsammans med uppräkningen av tillåtna ändamål i 2 kap. 1 § en lämplig ändamålsbegränsning som kan införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen (prop. 2017/18:115 s. 17). Behandling för nya ändamål utanför brottsdatalagens område Utredningen föreslår en bestämmelse som slår fast att personuppgifter som behandlas eller har behandlats med stöd av brottsdatalagen eller 3 kap. i den nu föreslagna lagen får behandlas med stöd av dataskyddsförordningen och de bestämmelser i lagen som rör personuppgiftsbehandling på förordningens område, i de fall sådan behandling behövs för att fullgöra uppgiftslämnande enligt lag eller förordning, eller för vissa arkivändamål. Den lagtekniska lösning som regeringen väljer innebär dock att den sekundära ändamålsbestämmelsen inte är uttömmande, vilket innebär att bestämmelsen inte ska tolkas som ett hinder mot utlämnande av personuppgifter som behandlas eller har behandlats med stöd av brottsdatalagen eller 3 kap. i lagen. Eftersom frågan om behandling för nya ändamål utanför brottsdatalagens tillämpningsområde regleras i 3 kap. i lagen genom en hänvisning till brottsdatalagen, skulle bestämmelsen som föreslås av utredningen utgöra en form av dubbelreglering. En sådan bestämmelse om utlämnande av personuppgifter som behandlas eller har behandlats med stöd av brottsdatalagen eller 3 kap. i lagen som utredningen föreslår bör därför inte införas i lagen. Att den sekundära ändamålsbestämmelsen inte är uttömmande innebär vidare att den inte utgör något hinder mot att personuppgifter som behandlas eller har behandlats med stöd av brottsdatalagen eller 3 kap. i lagen får behandlas för arkivering. Regeringen bedömer därför att inte heller sådan behandling av Prop. 2019/20:106 personuppgifter uttryckligen behöver regleras i lagens 3 kap. bedömning har gjorts i förarbetena till lagen (2018:1698) om domstolarnas behandling av personuppgifter inom brottsdatalagens område (prop. 2017/18:269 s. 231–232). Rättslig grund och ändamål för behandling av Regeringens förslag: ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. verkställa straffrättsliga påföljder, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Det ska framgå genom en hänvisning till brottsdatalagen att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Regeringens bedömning: Det behövs ingen upplysning om att arbetsuppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt att ansvara för en Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att regleringen i brottsdatalagen om att en arbetsuppgift ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften ska upprepas i den nu föreslagna lagen. Remissinstanserna: framför lagtekniska synpunkter. övrigt yttrar sig ingen remissinstans särskilt i denna del. Skälen för regeringens förslag och bedömning Rättslig grund och ändamål I artikel 8.1 i dataskyddsdirektivet anges att en behandling av personuppgifter är laglig endast om den är nödvändig för att en behörig myndighet ska kunna utföra en uppgift i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder eller skydda mot eller förebygga och förhindra hot mot den allmänna Behandlingen ska ske på grundval av unionsrätt eller medlemsstaternas nationella rätt. För att uppfylla detta krav är det nödvändigt att, i den mån det inte finns tillämpliga unionsrättsliga bestämmelser, i svensk rätt ange ramarna för när behandling av personuppgifter är tillåten. Av 2 kap. 1 § brottsdatalagen, som genomför artikel 8.1 i direktivet, framgår att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en 2019/20:106 straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Personuppgifter får dessutom behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning (2 kap. 2 § brottsdatalagen). Begreppet nödvändig är ett EU-rättsligt begrepp. Det innebär inte att någonting absolut fordras eller inte kan underlåtas utan att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften eller med andra ord att behandlingen leder till effektivitetsvinster (prop. 2017/18:105 s. 189 och prop. 2017/18:232 s. 117). Regeringen har tidigare gjort bedömningen att registerförfattningar på brottsdatalagens område bör innehålla bestämmelser om tillåtna rättsliga grunder (prop. 2017/18:269 s. 151). En sådan bestämmelse bör införas även i registerförfattning. Den bör utformas med hänsyn tagen till de syften för vilka behöver kunna behandla personuppgifter och på ett motsvarande sätt som i andra registerförfattningar på brottsdatalagens område (se t.ex. 2 kap. 1 § lagen [2018:1697] om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område). I 1–3 §§ förordningen (2007:976) med instruktion för Rättsmedicinal- verket anges vilka uppgifter ansvarar för. uppgifter för vilka det är nödvändigt att behandlar personuppgifter inom brottsdalagens område är av olika slag, men i merparten av fallen består uppgiften antingen i att agera stödfunktion för att utreda eller lagföra brott eller att verkställa en straffrättslig påföljd. ärenden som utförs på uppdrag av eller allmän åklagare är uppgift oftast brottsutredande eller utförs för lagföring av brott. I de fall det är fråga om rättspsykiatriska undersökningar eller s.k. § 7-intyg är uppgift ett led i lagföringen av brott eftersom sådana yttranden från verket används vid riskbedömningar enligt lagen om omvandling av fängelse på livstid omfattar uppgiften i stället verkställighet av en straffrättslig påföljd. Betydligt mer sällan torde det förekomma behandling av personuppgifter för att ska kunna utföra en uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet. roll som stödfunktion för brottsutredande och annan verksamhet kan det dock inte uteslutas att personuppgifts- behandling för sådana ändamål skulle kunna aktualiseras. avsnitt 6.3.2 kommer det dock inte att vara aktuellt för att behandla uppgifter i syfte att upprätthålla allmän ordning och säkerhet. Det förekommer dessutom att har vissa internationella förpliktelser, bl.a. i ärenden avseende identifiering av avlidna vid terrordåd eller i rättsmedicinska uppdrag med att lämna s.k. second opinion på begäran från utlandet. I likhet med vad som gäller enligt flera andra registerförfattningar på brottsdatalagens område, bör fullgörande av internationella förpliktelser vara en tillåten rättslig grund Den rättsliga grunden bör således uttryckas som att ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: 1. förebygga, förhindra eller upptäcka brottslig verksamhet, 2. utreda eller lagföra brott, 3. verkställa straffrättsliga påföljder, eller 4. fullgöra förpliktelser som följer av internationella åtaganden. Denna utformning av den rättsliga grunden innebär inte att tilldelas några nya arbetsuppgifter. Vilka ansvarsområden myndigheten har framgår alltjämt av dess instruktion. stödfunktion i förhållande till andra myndigheter medför dock att man i ett dataskyddsrättsligt sammanhang kan tala om att myndigheten har till uppgift att bekämpa och lagföra brott, verkställa straffrättsliga påföljder och fullgöra förpliktelser som följer av internationella åtaganden. En sådan bestämmelse i kombination med regleringen av myndighetens arbetsuppgifter i förordningen med instruktion för , utgör en tydlig, precis och förutsägbar rättslig grund för personuppgiftsbehandling som uppfyller kraven i dataskyddsdirektivet (skäl 33 dataskyddsdirektivet, jfr prop. s.209–210). I avsnitt 6.3.2 föreslås att brottsdatalagen ska gälla om inte annat följer av den föreslagna lagen eller föreskrifter som meddelats i anslutning till den. Bestämmelsen om rättsliga grunder i den nu föreslagna lagen ersätter bestämmelsen i 2 kap. 1 § första stycket brottsdatalagen. Det behöver inte, såsom utredningen föreslår, föreskrivas att den uppgift som ska utföras ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Detta framgår nämligen redan av 2 kap. 1 § andra stycket brottsdatalagen. Den omständigheten att en viss behandling av personuppgifter är rättsligt grundad innebär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Dataskyddsdirektivet ställer upp ett antal principer för personuppgiftsbehandling som, utöver kravet på rättslig grund, ska vara uppfyllda för att behandlingen ska få utföras. Av artikel 4.1 framgår bl.a. att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De personuppgifter som behandlas ska dessutom vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas. Dessa grundläggande krav på behandling av personuppgifter genomförs i brottsdatalagen genom 2 kap. 3–8 §§. Där framgår bl.a. att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål (2 kap. 3 §). I förarbetena framhålls att ändamålet måste vara tillräckligt preciserat för att det ska kunna avgöras om de personuppgifter som behandlas är adekvata och relevanta för ändamålet med behandlingen eller om för många personuppgifter behandlas. Ändamålet får alltså inte vara så vagt eller vittomfattande att någon sådan prövning i praktiken inte blir möjlig (prop. 2017/18:232 s. 441). Det innebär att , precis som på dataskyddsförordningens område, kommer att behöva formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndighetens verksamhet. 2019/20:106 Behandling för nya ändamål Innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att det finns en tillåten rättslig grund för den nya behandlingen. Dessutom ska det vara nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 4 § brottsdatalagen). Motsvarande prövning ska enligt 2 kap. 22 § göras när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför lagens tillämpningsområde. Inte i något av fallen behöver dock en prövning av om behandlingen är nödvändig och proportionerlig göras i den utsträckning en skyldighet att lämna ut uppgifter följer av lag eller förordning. En behörig myndighet får vidare behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål (2 kap. 5 §). Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt (2 kap. 6 §). De ska vara korrekta och, om det är nödvändigt, uppdaterade (2 kap. 7 §). Personuppgifter som behandlas ska dessutom vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till dessa ändamål (2 kap. 8 §). När det gäller förutsättningarna för behandling av personuppgifter för nya ändamål utgör brottsdatalagens bestämmelser en lämplig reglering enligt regeringen. För tydlighets skull bör dock en upplysning om att frågan regleras i brottsdatalagen tas in i den nu föreslagna lagen. Motsvarande lösning har använts i andra registerförfattningar på dataskyddsdirektivets område (se t.ex. 2 kap. 2 § lagen [2018:1694] om behandling av personuppgifter inom brottsdatalagens område). har lagtekniska synpunkter på bestämmelserna som avser rättslig grund. De bestämmelser som föreslås av regeringen följer dock den systematik som används vid utformningen av bestämmelserna om rättslig grund i många andra registerförfattningar på brottsdatalagens område (se t.ex. 2 kap. 1 § lagen [2018:1695] om behandling av personuppgifter inom brottsdatalagens område). Eftersom det är angeläget att eftersträva en så likartad lagstiftningsteknik som möjligt på detta område, finner inte regeringen skäl att utforma regleringen av personuppgiftsbehandlingen vid på något annat sätt. Regeringens bedömning: I lagen bör uttrycket känsliga personuppgifter användas i stället för uttrycket särskilda kategorier av Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens bedömning: I dataskyddsförordningen och dataskyddsdirektivet används uttrycket särskilda kategorier av personuppgifter för att beskriva de uppgifter som enligt den numera upphävda personuppgiftslagen kallades känsliga personuppgifter. brottsdatalagen (2 kap. 13 §) som dataskyddslagen (3 kap. 1 §) används i svensk rätt inarbetade termen känsliga personuppgifter, eftersom denna term tydligare talar om vad det är för slags uppgifter som Prop. 2019/20:106 avses (se prop. 2017/18:105 s. 74 och prop. 2017/18:232 s. samma skäl bör uttrycket känsliga personuppgifter, i samma betydelse som i brottsdatalagen och dataskyddslagen, användas i lagen i stället för uttrycket särskilda kategorier av personuppgifter. 6.3.12Behandling av känsliga personuppgifter inom dataskyddsförordningens tillämpningsområde Regeringens förslag: Det ska vara förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör sexualliv eller sexuell läggning. Sökförbudet ska inte hindra att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar och uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet ska inte heller hindra sökning i en viss handling eller i ett visst ärende. Regeringens bedömning: behandling av känsliga personuppgifter i övrigt bör inte särregleras i den lag som föreslås. Det behövs ingen bestämmelse som uttryckligen anger att känsliga personuppgifter i bild får behandlas i verksamhet. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Utredningen föreslår en bestämmelse som anger att känsliga personuppgifter i bild får behandlas i verksamhet. Utredningen föreslår en annan lagteknisk utformning av sökförbudet. Remissinstanserna: Datainspektionen och efterfrågar ett förtydligande av undantaget gällande användningen av särskilda beteckningar för identifiering av en viss ärendetyp som sökbegrepp och menar att det med föreslagen lydelse finns en risk för kringgående av sökförbudet. RSMH avstyrker förslaget i stort och i synnerhet att det ska vara tillåtet för att göra sökningar avseende känsliga personuppgifter som rör hälsa då det står i direkt strid med artikel 9.1 i dataskyddsförordningen. ifrågasätter behovet av bestämmelserna om sökbegränsningar och föreslår att de ska utgå. Övriga remissinstanser yttrar sig inte särskilt. Skälen för regeringens förslag och bedömning behandling av känsliga personuppgifter I dataskyddsförordningens artikel 9.1 stadgas ett principiellt förbud mot att behandla känsliga personuppgifter. Förbudet gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk 2019/20:106 person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Med genetiska uppgifter avses alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga (artikel 4.13 i personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 4.14 i dataskyddsförordningen). Från förordningens förbud görs en rad undantag, som tillåter behandling av känsliga personuppgifter under vissa förutsättningar, t.ex. om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (artikel 9.2 j). Ytterligare ett undantag gäller behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Artikel är visserligen direkt tillämplig men det är möjligt för medlemsstaterna att i nationell rätt införa mer specifika bestämmelser även avseende känsliga personuppgifter (artikel 6.2 och skäl Artikel 9.4 stadgar vidare att medlemsstater får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Dataskyddslagen innehåller vissa bestämmelser om känsliga Bland annat regleras myndigheters behandling av känsliga personuppgifter för ett viktigt allmänt intresse i 3 kap. 3 och 4 §§. Där framgår att känsliga personuppgifter, med stöd av artikel i förordningen, får behandlas av en myndighet om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller, i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket). uppdrag framgår i huvudsak av 1–3 §§ i myndighetens instruktion (se avsnitt 4). I förarbetena till dataskyddslagen gör regeringen bedömningen att det är ett viktigt allmänt intresse att myndigheterna kan sköta sitt uppdrag på ett korrekt, rättssäkert och effektivt sätt (prop. 2017/18:105 s. 85). behandlar känsliga personuppgifter som är nödvändiga för att utföra de uppgifter som framgår av dess instruktion rör det sig således om en sådan behandling som avses i artikel i dataskyddsförordningen. Vid behandling av känsliga personuppgifter med stöd av artikel 9.2 g uppställer dataskyddsförordningen även ett krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och I 3 kap. 3 § andra stycket dataskyddslagen har det införts ett förbud att utföra sökningar i syfte att få fram ett urval av personer grundat Prop. 2019/20:106 på känsliga personuppgifter. känsliga personuppgifter en betydande del av den totala mängden personuppgifter som behandlas. En begränsning av hur känsliga personuppgifter får behandlas, exempelvis när det gäller sökning, skulle få en stor effekt i verksamhet och stärka skyddet för enskildas personliga integritet. Regeringen anser därför att den lag om nu förslås bör innehålla ett sökförbud som gäller när behandlar känsliga personuppgifter inom dataskyddsförordningens tillämpningsområde. Regeringen behandlar frågan om utformningen av bestämmelserna om sökförbud vidare nedan. Utöver bestämmelser om sökförbud innehåller den föreslagna lagen ändamålsbestämmelser som anger den yttre ramen för all behandling av personuppgifter och regler om tillgången till personuppgifter (se avsnitt 6.3.9). Därtill kommer bestämmelser om sekretess i offentlighets- och sekretesslagen (2009:400) som gäller i verksamhet. Exempelvis föreskriver 25 kap. 1 § offentlighets- och sekretesslagen att sekretess gäller i bl.a. rättsmedicinsk och rättspsykiatrisk verksamhet för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sammantaget uppfyller denna reglering, enligt regeringens mening, dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Sammanfattningsvis bedömer regeringen att det finns stöd i artikel dataskyddsförordningen och 3 kap. 3 § dataskyddslagen för den behandling av känsliga personuppgifter som är nödvändig i verksamhet. Därutöver kan det, som utredningen framhåller, finnas andra undantag från förbudet att behandla känsliga personuppgifter i dataskyddsförordningen och dataskyddslagen som skulle kunna aktualiseras för . Utredningen föreslår en särreglering i förhållande till dataskyddslagen när det gäller känsliga personuppgifter i bild eftersom utredningen inte anser att bestämmelserna i 3 kap. 3 § dataskyddslagen är tillräckliga för att möjliggöra behandling av sådana uppgifter. Känsliga personuppgifter i bild förekommer i mycket stor utsträckning vid . Som exempel kan nämnas digitala röntgenbilder som används vid rättsmedicinska åldersbedömningar. Sådana bilder kan bl.a. innehålla uppgifter om hälsa. Regeringens instämmer i utredningens bedömning att behandling av känsliga personuppgifter i bild är nödvändig för att ska kunna utföra sitt uppdrag. I 3 kap. 3 § dataskyddslagen, såsom den slutligen kom att utformas (prop. 2017/18:105 s. 9–10), finns dock inga begränsningar som utesluter att den är tillämplig på bilder. Dataskyddsförordningen ställer inte heller upp några särskilda krav vad gäller känsliga personuppgifter i bilder. Det finns därmed inget behov av att införa en särbestämmelse för att göra det möjligt för att behandla känsliga personuppgifter i bild. Sökningar som avslöjar och sammanställer känsliga personuppgifter innebär särskilda risker för den personliga integriteten och ett sökförbud kan vara ett viktigt och ändamålsenligt sätt att begränsa dessa risker. Som konstateras i föregående avsnitt får en sådan reglering en stor effekt i verksamhet, där känsliga personuppgifter behandlas i stor utsträckning. Ett sökförbud utgör därför en verkningsfull åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen som föreskrivs i artikel i dataskyddsförordningen. Som framgår ovan bedömer regeringen således att ett sådant förbud bör gälla vid behandling av känsliga personuppgifter på dataskyddsförordningens område. Regeringen anser vidare, till skillnad från och i likhet med utredningen, att dessa bestämmelser bör utformas med hänsyn tagen till de särskilda behov som föreligger i verksamhet.