prop · H703106 · 2020-03-10 00:00:00 — eller annan författning eller enligt beslut som har meddelats med stöd Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår en annan lagteknisk utformning. Remissinstanserna: ifrågasätter behovet av att införa en begränsning av skyldigheten att informera den registrerade om en Skälen för regeringens förslag: Genom dataskyddsförordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident (artikel 33). Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12). personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten (artikel 34). Informationen ska bl.a. innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art. Sådan information krävs dock inte om a) den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkas av personuppgiftsincidenten, b) den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för de registrerades rättigheter och friheter sannolikt inte längre kommer att uppstå eller c) det skulle inbegripa en I det sistnämnda fallet ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt. De direkt tillämpliga undantagen i artikel 34.3 dataskyddsförordningen omfattar inte situationen att de uppgifter som ska lämnas till den registrerade omfattas av sekretess eller tystnadsplikt. dataskyddsförordningen ger emellertid en möjlighet att i nationell rätt föreskriva begränsningar av bl.a. skyldigheten att informera den registrerade om en personuppgiftsincident förutsatt att en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna intressen, t.ex. säkerställandet av unionens eller en medlemsstats viktiga mål av generellt intresse (artikel 23.1 e) eller skyddet av rättsväsendets oberoende och rättsliga åtgärder (artikel 23.1 f). Dataskyddsförordningens bestämmelse om information till den registrerade vid en personuppgiftsincident skulle, utan en begränsning i enlighet med artikel 23, kunna innebära att uppgifter lämnas ut till den enskilde trots att det gäller sekretess för dessa. Så skulle t.ex. kunna vara fallet beträffande uppgifter som omfattas av den allmänna säkerhetssekretess enligt 18 kap. 8 § offentlighets- och sekretesslagen som gäller i verksamhet (se prop. 2017/18:248 s. 29– 30). Enligt bestämmelsen råder sekretess för alla uppgifter om säkerhets- och bevakningsåtgärder om det kan antas att syftet med åtgärden motverkas om uppgiften lämnas ut. Bestämmelserna i offentlighets- och sekretesslagen som begränsar rätten till information är nödvändiga med hänsyn till enskilda och allmänna intressen. Regeringen anser mot denna bakgrund, till skillnad från , att skyldighet enligt dataskyddsförordningen att informera den registrerade om en personuppgiftsincident inte bör gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. På detta sätt kommer nationella bestämmelser om sekretess och tystnadsplikt att gå före den registrerades rätt att få information om inträffade incidenter. Ett sådant undantag kan göras med stöd av artikel 23.1e eller f i dataskyddsförordningen. Motsvarande bedömning har gjorts även i andra registerförfattningar på dataskyddsförordningens tillämpningsområde (se t.ex. prop. 2017/18:248 s. 29–30, prop. 2017/18:113 s. 35–37 och prop. 2017/18:254 s. 38–39). Regeringen anser till skillnad från vad som föreslås av utredningen att bestämmelsens utformning bör ta sin utgångspunkt i förordningens ordalydelse och därmed i den personuppgiftsansvariges skyldighet att informera om personuppgiftincidenter istället för den registrerades rätt att få information om en personuppgiftsincident. Av 3 kap. 9–11 §§ brottsdatalagen framgår den personuppgifts-ansvariges skyldigheter när det gäller inträffade personuppgiftsincidenter, däribland skyldigheten att lämna viss information till den registrerade. Den personuppgiftsansvarige får underlåta att lämna sådan information i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut bl.a. av hänsyn till intresset av att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen som avses (prop. 2017/18:232 s. 459). Bland annat kan förundersökningssekretess enligt 18 kap. 1 och 3 §§ offentlighets- och sekretesslagen aktualiseras i verksamhet. 2019/20:106 7 Den kemiska benämningen på arvsmassan, som är bärare av en människas gener, är deoxiribonukleinsyra, förkortat dna. Genom att analysera dna kan viktig information erhållas. Vid hanteras prover av dna framför allt vid verkets rättsgenetiska enhet. Med hjälp av dnainformation genomförs huvudsakligen identifieringar av avlidna personer samt faderskaps- och släktskapsutredningar. När det gäller identifiering av avlidna, kan det ske både i de fall då det finns anledning att misstänka brott och när någon sådan misstanke inte finns. Genetiska analyser genomförs också i andra ärendetyper vid , som exempelvis vid vissa uppdrag för hälso- och sjukvårdens räkning. Det rör sig exempelvis om ärenden om vilken betydelse genetiska faktorer har för läkemedelseffekter. Dna kan också analyseras inom ramen för brottsutredningar. Det gäller då ofta spår från brottsplatser, som analyseras bl.a. i syfte att identifiera en tänkbar gärningsman. Sådana analyser genomförs dock oftast av Nationellt forensiskt centrum (NFC) vid och inte av . Dna-analyser är ofta mycket tillförlitliga, men kompliceras av risken för kontaminering. Det innebär att dna som ska analyseras sammanblandas med annan dna, från någon som antingen hanterar dna-provet eller vars dna på annat sätt har kommit i kontakt med det dna-prov som ska analyseras. Kontamineringen kan ske i samtliga hanteringsled av ett dnaprov från det att ett prov tas, till dess att analysen är genomförd och analyssvaret föreligger. Det kan således ske redan vid provtagningen, som förutom vid rättsmedicinska enheter görs vid exempelvis någon av mottagningsenheter eller vid ett Kontamineringen kan också ske när de Rättsmedicinalverket-medarbetare som utför dna-analyser hanterar prover eller genom att dna från personer som tillhör andra yrkeskategorier som rör sig i den laboratoriemiljö där analyser genomförs kommer i kontakt med ett dna-prov. Det kan exempelvis röra sig om personal som städar lokalerna, utför reparationer eller av annan anledning besöker laboratoriet. Kontaminering kan också ske genom att det material som används vid provtagning eller analys inte är dna-fritt, utan innehåller dna t.ex. från personer som har tillverkat eller förpackat materialet. Ytor och föremål i rättsgenetiska laboratorium kan också bära dna. Dna är mycket tidsbeständigt och risken för kontaminering från dna som finns kvar i den miljö där analyser genomförs är därför inte obetydlig. Vid analysen av dna-prover som har kontaminerats kan provsvaren vara svårtolkade och ibland missvisande. Om man exempelvis i ett identifieringsärende vid analysen av ett prov enbart får fram en dna-profil som beror på en kontaminering, kan det leda till en felaktig uteslutning. Den avlidne antas då vara den person vars dna-profil föreligger (alltså den profil som kontaminerat provet). Om inte denna dna-profil kan uteslutas genom en sökning i en elimineringsdatabas, riskeras identifieringsarbetet. Den avlidne antas i sådana fall vara en person vars dna kontaminerat Prop. 2019/20:106 provet och denne persons profil kommer vid en jämförelse med presumtiva släktingar till en försvunnen person, inte att visa någon överensstämmelse. I ett sådant fall kan den avlidne inte identifieras. Med hänsyn till de negativa effekter en kontaminering kan få, har inrättat en elimineringsdatabas. Databasen innehåller dna-profiler från medarbetare vid , vissa besökare och en del personer som annars vistas i det rättsgenetiska laboratoriet, som exempelvis lokalvårdare. Prover som används för att ta fram dna-profiler till elimineringsdatabasen sparas . Elimineringsdatabasen utgör ett dna-register och behandling av uppgifter i databasen är personuppgiftsbehandling. En sådan databas är det enda sättet att systematiskt förebygga och upptäcka kontamineringar och den fungerar som ett stöd för att öka kvaliteten på de analysresultat som fås vid dna-undersökningar och för att förhindra att felaktiga slutsatser dras av ett analysresultat där kontaminering förekommit. En motsvarande databas finns vid och en elimineringsdatabas framstår som ett nödvändigt hjälpmedel även i verksamhet. 7.2Rättsmedicinalverkets elimineringsdatabas bör författningsregleras Regeringens bedömning: Bestämmelser om elimineringsdatabas bör införas i en särskild lag. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: och är positiva till införandet av en lag som reglerar elimineringsdatabas. () är emot införandet av en lag och anser att det inte borde behövas särlagstiftningar för enskilda myndigheter. I övrigt yttrar sig ingen remissinstans särskilt i denna del. Skälen för regeringens bedömning: inhämtas den enskildes samtycke till provtagning, hantering av dna och behandling av personuppgifter i elimineringsdatabas. Som regeringen konstaterar i det föregående är dock utrymmet för offentliga myndigheter att använda sig av samtycke som rättslig grund för behandling av personuppgifter på dataskyddsförordningens område (artikel 6.1 a) begränsat (se avsnitt 6.3.9). Möjligheten att hantera kontamineringar genom en elimineringsdatabas är av avgörande betydelse för att ska kunna få fram så korrekta resultat som möjligt vid de dna-analyser som verket genomför. Det finns därför starka skäl att skapa tydliga rättsliga förutsättningar för att föra en sådan databas. Det kan också konstateras att den elimineringsdatabas som finns vid författningsreglerades 2014 genom lagen (2014:400) om elimineringsdatabas (prop. 2013/14:110). Enligt regeringen saknas det anledning att se annorlunda på behovet av författningsreglering för författningsreglering även för elimineringsdatabas. Frågan är då om bestämmelserna om elimineringsdatabas ska placeras i den lag om behandling av personuppgifter som föreslås (se avsnitt 6) eller om en särskild författning för elimineringsdatabasen är lämpligare. föreslagna lagen rör uteslutande personuppgiftsbehandling vid elimineringsdatabasen väcker även andra frågor, exempelvis om en skyldighet för vissa personer att lämna dna-prov till databasen bör införas. Regeringen delar utredningens bedömning att sådana bestämmelser inte passar särskilt väl i en mer renodlad lag om personuppgiftsbehandling. Bestämmelser om elimineringsdatabas bör därför finnas i en särskild författning. Som framgår av avsnitt 7.5 kommer den i stor utsträckning att tillämpas även vid den En fråga att ta ställning till när det gäller författningsregleringen av elimineringsdatabas är vidare regeringsformens krav på bl.a. normgivningsnivå. Som utvecklas närmare i avsnitt 7.8, ska personer vars dna riskerar att kontaminera material eller prover vara skyldiga att lämna prov för dna- Enligt 2 kap. 6 § första stycket regeringsformen är var och en gentemot det allmänna skyddad mot påtvingat kroppsligt ingrepp. skyldighet att lämna dna-prov utgör ett sådant påtvingat kroppsligt ingrepp som omfattas av skyddet i 2 kap. 6 § regeringsformen (prop. 19–20). Även om det inte är fråga om något fysiskt tvång, får tagandet av ett dna-prov anses påtvingat, om det finns ett krav på att den enskilde ska lämna provet och kravet är förenat med ett hot om vissa följder om provet inte lämnas (se prop. 1993/94:65 s. 111). omfattas av skyddet mot påtvingat kroppsligt ingrepp i förhållande till sin Av 2 kap. 20–21 §§ regeringsformen följer bl.a. att enskildas skydd mot sådana ingrepp endast får begränsas genom lag och för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens dna-analysverksamhet är central bl.a. för många andra myndigheter och är av stor samhällelig betydelse. ska kunna bedriva den verksamheten med hög kvalitet är det en förutsättning att relevanta dna-prover kan registreras i Dna från en enda person skulle kunna leda till För att databasen ska kunna användas för att effektivt avslöja kontamineringar krävs därför att de personer som riskerar att kontaminera material, prover eller lokaler verkligen lämnar dna-prov. Mot den bakgrunden utgör ett system som bygger på frivillighet inte ett Genom den lag som föreslås begränsas skyldigheten att lämna dna-prov till de kategorier av personer som utgör en reell risk för Vidare föreslås bl.a. bestämmelser om på vilket sätt och proverna får användas. 2019/20:106 regeringen att skyldigheten för vissa personer att genomgå provtagning bör regleras i lag liksom även den fortsatta hanteringen av ett lämnat prov (jfr prop. 2013/14:110 s. 456). Vidare anser regeringen att den begränsning av skyddet mot påtvingade kroppsliga ingrepp som den föreslagna regleringen innebär är proportionerlig och sker för ändamål som är godtagbara i ett demokratiskt samhälle. 7.3Förutsättningar och ändamål för behandlingen av personuppgifter Regeringens förslag: ska få föra ett register över dna-profiler i syfte att stärka kvaliteten i den rättsgenetiska verksamheten med dna-analyser (elimineringsdatabasen). Uppgifter i elimineringsdatabasen ska endast få behandlas för att upptäcka och utreda kontamineringar av det som är föremål för dna-analys. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag: I verksamhet sker behandling av personuppgifter inom både dataskyddsförordningens och brottsdatalagens tillämpningsområde. I förslaget till lag om behandling av personuppgifter återspeglas detta genom att bestämmelser som gäller specifikt inom de olika områdena behandlas i olika kapitel. Den personuppgiftsbehandling som sker i elimineringsdatabas kommer på motsvarande sätt att falla inom båda regelverken. Den föreslagna lagen om behandling av personuppgifter kommer att gälla även för den behandling av personuppgifter som sker i elimineringsdatabasen om inte annat följer av lagen om elimineringsdatabas (se avsnitt 7.5). De principer för gränsdragningen mellan dataskyddsförordningens och brottsdatalagens tillämpningsområde som redovisas i avsnitt 6.2 gäller därför även i detta sammanhang. Behandlingen av personuppgifter i elimineringsdatabasen är en integrerad del i rättsgenetiska arbete och en förutsättning för att verket ska kunna utföra sitt rättsgenetiska uppdrag med god kvalitet. Regeringens tidigare ställningstaganden angående rättslig grund (avsnitt 6.3.9 och 6.3.10) och förutsättningarna för att behandla känsliga personuppgifter (avsnitt 6.3.12 och 6.3.13) gäller även i detta sammanhang och det finns således stöd för behandling av personuppgifter i elimineringsdatabasen både på dataskyddsförordningens och brottsdatalagens område. Syftet med elimineringsdatabas är att den ska fungera som ett verktyg för att säkerställa att dna-analyser inte blir missvisande på grund av kontamineringar av i och för sig behöriga personer. Uppgifter i databasen måste kunna behandlas för att upptäcka och utreda kontamineringar, så att resultatet av dna-analyser inte påverkas av dessa och så att rutiner för analyserna och 2019/20:106 hantering av dna-prover kan utvecklas i riktning mot att minska risken för kontaminering. Uppgifter i elimineringsdatabasen bör inte endast få behandlas för att upptäcka och utreda kontamineringar som kan ha uppstått i samband med dna-analyser utan även för att upptäcka och utreda kontamineringar som kan ha uppstått i samband med hanteringen av det biologiska materialet som ligger till grund för analysen. För att tydliggöra det bör bestämmelsen få en delvis annan språklig utformning än den utredningen föreslår. Den språkliga utformningen av bestämmelsen föreslås avvika även delvis från motsvarande bestämmelse i lagen om elimineringsdatabas där det framgår att uppgifter ska få behandlas även för att utreda kontamineringar vid hanteringen av dna-spår. Någon skillnad i sak är inte avsedd utan beror på att inte använder sig av begreppet dna-spår i sin verksamhet. Som framgår i avsnitt 7.1 genomför dna-analyser både i ärenden där det finns en bakomliggande misstanke om brott och i ärenden där någon sådan misstanke inte föreligger. De fall då det finns en misstanke om brott utgörs huvudsakligen av identifieringsärenden, där den avlidne misstänks ha dödats. Majoriteten av dna-analyserna görs emellertid i ärenden där det inte finns någon brottsmisstanke, som faderskaps- och annan släktskapsanalys. Behovet av att upptäcka och utreda kontamineringar är lika stort, oavsett anledning till dna-analysen. Det saknas därför skäl att göra åtskillnad mellan behandling av uppgifter i elimineringsdatabasen som sker när det finns en misstanke om brott och behandling där sådan misstanke saknas. Däremot bör det av lagen framgå att databasen är kopplad till rättsgenetiska verksamhet och inte myndighetens verksamhet i stort. Innebörden av vissa uttryck Regeringens förslag: Begreppen dna-analys och dna-profil ska definieras i lagen. Med dna-analys avses varje förfarande som kan användas för analys av deoxiribonukleinsyra i humant material. Med dna-profil avses resultatet av en dna-analys som presenteras i form av siffror eller bokstäver. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag: Uttrycken dna-analys och dna-profil är Innebörden av dessa uttryck bör definieras för att undvika Av lagen om elimineringsdatabas framgår att begreppen dna-profil och dna-analys som används i lagen har samma betydelse som i lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område (1 kap. 5 §). användas i samma betydelse även i lagen om Definitionen av begreppen bör dock lämpligen anges i lagen, i stället för genom hänvisning till annan lag. I lagen bör därför slås fast att med dna-analys avses varje förfarande som kan användas för analys av deoxiribonukleinsyra i humant material och att med dna-profil avses resultatet av en dna-analys som presenteras i form av siffror eller Prop. 2019/20:106 bokstäver. 7.5Förhållandet till annan dataskyddsreglering Regeringens förslag: I lagen införs en bestämmelse som anger att lagen om behandling av personuppgifter och föreskrifter som har meddelats i anslutning till den gäller om inte annat följer av den föreslagna lagen eller föreskrifter som har meddelats i anslutning till den. Regeringens bedömning: Det behövs inte någon bestämmelse som uttryckligen anger hur lagen förhåller sig till dataskyddsförordningen, dataskyddslagen eller brottsdatalagen. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår att det uttryckligen ska anges hur lagen förhåller sig till dataskyddsförordningen, dataskyddslagen eller brottsdatalagen. Remissinstanserna: noterar att regleringen verkar implicera att elimineringsdatabasen blir allmän handling och ifrågasätter lämpligheten i det. Kammarrätten i har vissa lagtekniska I övrigt yttrar sig ingen remissinstans särskilt i denna del. Skälen för regeringens förslag och bedömning: Ett dna-prov är inte i sig en personuppgift. Däremot går det att koppla ett dna-prov till den person som har lämnat provet eftersom en dna-profil innehåller sådan information att den kan knytas till en enskild individ. därmed en personuppgift och de åtgärder som vidtas med dna-profilerna i databasen utgör personuppgiftsbehandling. Som framgår av bl.a. avsnitt 6.2 aktualiserar behandlingen av personuppgifter vid tillämpning av såväl dataskyddsförordningen och dataskyddslagen som brottsdatalagen. mån det är fråga om personuppgiftsbehandling som i egenskap av behörig myndighet utför för sådana syften som anges i 1 kap. 4 § i den föreslagna lagen om behandling av personuppgifter, är sistnämnda lag tillämplig. dataskyddsförordningens bestämmelser och kompletterande reglering. Bestämmelserna i den föreslagna lagen om behandling av personuppgifter är väl anpassade till verksamhet och kan därför lämpligen reglera behandlingen av personuppgifter även i elimineringsdatabasen, i den utsträckning inte särbestämmelser bör gälla för databasen. Detta bör framgå av den Som Kammarrätten i påpekar bör en sådan bestämmelse dock ges en mer lättillgänglig utformning än den som Att dataskyddsförordningen, dataskyddslagen och brottsdatalagen ska tillämpas på samma sätt som gäller för personuppgiftsbehandlingen i stort vid följer redan av bestämmelserna om förhållandet till annan reglering i lagen om behandling av personuppgifter. I den lagen finns även en bestämmelse som upplyser om den särskilda regleringen för Någon ytterligare reglering av 2019/20:106 detta är inte nödvändig. De särbestämmelser som bör gälla för elimineringsdatabasen behandlas i de följande avsnitten. noterar att regleringen verkar implicera att elimineringsdatabasen blir allmän handling och ifrågasätter lämpligheten i det. Regeringen konstaterar att även för det fall att elimineringsdatabasen skulle anses vara en allmän handling innebär det inte per automatik att den är offentlig utan begränsningarna av rätten att ta del av allmänna handlingar som finns i offentlighets- och sekretesslagen (2009:400) måste beaktas. Regeringens förslag: ska vara personuppgiftsansvarigt för behandling av personuppgifter i elimineringsdatabasen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag: Frågan om personuppgiftsansvar enligt lagen om behandling av personuppgifter behandlas i avsnitt 6.3.8. Enligt såväl dataskyddsförordningen som dataskyddsdirektivet är det möjligt att i nationell rätt slå fast vem som är personuppgiftsansvarig. För tydlighets skull och för att åstadkomma överensstämmelse med motsvarande reglering i lagen om behandling av personuppgifter, bör det i lagen införas en bestämmelse som anger att är personuppgiftsansvarigt för behandling av personuppgifter i elimineringsdatabasen. Regeringens förslag: Elimineringsdatabasen får innehålla dna-profiler från personer som genom att komma i kontakt med material eller prover som ska bli föremål för dna-analys eller lokaler där sådana analyser utförs riskerar att kontaminera dessa. En dna-profil som registreras i databasen får endast ge information om identitet och inte om personliga egenskaper. Utöver dna-profiler får elimineringsdatabasen innehålla uppgifter om vem dna-profilen avser. Det klargörs att elimineringsdatabasen också får innehålla dnaprofiler som har påträffats vid en dna-analys och som inte kan hänföras till en identifierad person.