I vilket syfte behandlingen av personuppgifter vid Rättsmedicinalverket utförs avgör vilket regelverk vid Rättsmedicinalverket utförs avgör vilket regelverk

som ska tillämpas

RMV kommer, liksom flera andra myndigheter som bedriver verk-samhet som kan omfattas av dataskyddsdirektivets och brottsdata-lagens regelverk, att ställas inför vissa gränsdragningsproblem. Den verksamhet som bedrivs vid RMV omfattar ett flertal olika aktivitet-er för vilka det förefallaktivitet-er klart att de som huvudregel inte har något samband med att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Däribland finns exempelvis det rättsgenetiska verksam-hetsområdets arbete med släktskaps- eller faderskapsanalyser, till-varatagandet av vävnader för transplantationsändamål inom det rätts-medicinska verksamhetsområdet och de toxikologiska analyser som på det rättskemiska verksamhetsområdet genomförs på uppdrag av hälso- och sjukvården. För sådan behandling som inte faller inom dataskyddsdirektivets tillämpningsområde, ska dataskyddsförord-ningen tillämpas.

Vid RMV bedrivs emellertid också verksamhet som kan omfattas av dataskyddsdirektivets, och därigenom brottsdatalagens, tillämp-ningsområde. Det är en fråga för rättstillämpningen, i det enskilda

SOU 2017:80 En datalag för Rättsmedicinalverket

fallet den handläggande tjänstemannen, att avgöra vilka regler för dataskydd som ska tillämpas i ett enskilt ärende.

Eftersom dataskyddsförordningen, med några undantag som inte är relevanta i detta sammanhang, är tillämplig på all behandling av personuppgifter som inte omfattas av dataskyddsdirektivets be-stämmelser, är det nödvändigt att tydligt avgränsa tillämpningsom-rådet för brottsdatalagen. Som vi nämnt ovan, är ramlagen tillämplig för behandling av personuppgifter som utförs av behöriga myndig-heter i syfte att förebygga, förhindra eller upptäcka brottslig verk-samhet, utreda eller lagföra brott eller verkställa straffrättsliga på-följder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Av central betydelse är således om den myndighet som behandlar personuppgifterna är att betrakta som behörig myndighet och om behandlingen utförs i något eller några av de syften som anges i dataskyddsdirektivet och brottsdatalagen.

Ramlagen definierar (se 1 kap. 6 §) behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upp-täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säker-het. Som behörig myndighet ska också förstås en annan aktör som utövar myndighet för något av de syften som nyss nämnts. Myndig-heter som arbetar med bl.a. brottsbekämpande och brottsutredande verksamhet, som exempelvis Polismyndigheten eller Åklagarmyndig-heten, behöver ibland stöd från myndigheter med annan kompetens än som finns inom den egna verksamheten. Det kan röra sig om medicinsk, psykiatrisk eller viss forensisk kompetens. De myndig-heter som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör anses som behöriga myndigheter när de utför dessa uppgifter. För behand-ling av personuppgifter ska i dessa fall brottsdatalagen tillämpas (se SOU 2017:29, s. 183).

RMV ansvarar (se 1 § förordningen [2007:976] med instruktion för Rättsmedicinalverket) för rättspsykiatrisk, rättskemisk, rätts-medicinsk och rättsgenetisk verksamhet i den utsträckning sådana frågor inte ska handläggas av någon annan statlig myndighet. Verket ska bl.a. (se 2 § i instruktionen) ansvara för rättspsykiatriska under-sökningar i brottmål och läkarintyg som avses i 7 § lagen (1991:2041) om särskild personutredning i brottmål, m.m.

(personutrednings-En datalag för Rättsmedicinalverket SOU 2017:80

lagen), rättsmedicinska obduktioner och andra rättsmedicinska under-sökningar, utfärdande av intyg enligt lagen (2005:225) om rättsintyg i anledning av brott, rättsmedicinsk medverkan på begäran av dom-stol, allmän åklagare, Polismyndigheten eller Säkerhetspolisen, rätts-kemiska och rättsgenetiska undersökningar, rättsmedicinska ålders-bedömningar samt utredningar om risk för återfall i brottslighet enligt lagen (2006:45) om omvandling av fängelse på livstid.

Den verksamhet som bedrivs vid RMV är av central betydelse för den brottsutredande verksamheten vid Polismyndigheten och hos allmän åklagare, men också t.ex. för domstolarnas påföljdsbestäm-ning i mål där fråga är om den tilltalade kan dömas till fängelse eller om påföljden i stället bör vara rättspsykiatrisk vård. RMV:s ställning är unik på det viset att många av de uppgifter som verket svarar för inte kan genomföras av någon annan aktör. Samarbetet med de myn-digheter som lämnar uppdrag till RMV är nära. RMV har således en mycket viktig funktion att fylla på det straffrättsliga området, men myndigheten är en självständig aktör och kan inte med självklarhet klassificeras som ett led i en brottsförebyggande, brottsutredande eller brottsbekämpande verksamhet. RMV har en roll av en självstän-dig och oberoende expertmynsjälvstän-dighet, fristående från sina uppdrags-givare, samtidigt som myndigheten inte bedriver någon egeninitierad utredningsverksamhet, utan arbetar inom de ramar som uppdrags-givarna sätter upp när de vänder sig till RMV med en begäran.

I RMV:s instruktion finns inget uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Vid utförandet av de uppgifter som nyss nämnts kan RMV dock sägas fylla en stödfunktion för den brottsbekämpande eller brottsutredande verksamhet som bedrivs vid främst Polismyndigheten och Åklagarmyndigheten. Även när det gäller domstolarnas påföljdsbestämning kan RMV:s verksamhet med att genomföra rättspsykiatriska undersökningar, i den mån detta är aktuellt i ett mål, sägas utgöra en stödfunktion i syfte att lagföra brott. I ärenden vid RMV där det bakomliggande syftet med be-handlingen är de ändamål som anges i 1 kap. 2 § brottsdatalagen, att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, är därför data-skyddsdirektivet och brottsdatalagen tillämpliga. Så är även fallet då det bakomliggande syftet är att upprätthålla allmän ordning och säkerhet, men sådana ärenden förekommer i princip aldrig (se

av-SOU 2017:80 En datalag för Rättsmedicinalverket

snitt 6.5.5) vid RMV. RMV har möjlighet att genom avtal uppdra åt personer utanför myndigheten att fullgöra uppgifter som åvilar verket. Så kan exempelvis ske när det gäller rättsintyg. Enligt 2 § lagen om rättsintyg i anledning av brott ska rättsintyg inhämtas från läkare vid rättsmedicinsk avdelning inom RMV eller läkare som enligt avtal med verket har åtagit sig att utfärda sådana intyg. I den mån denna möjlighet utnyttjas bör, för den personuppgiftsbehandling som sker vid sådan kontrakterad verksamhet, samma bestämmelser gälla som om RMV utfört uppdraget. Vi instämmer således i den bedömning av vilka bestämmelser som är tillämpliga vid RMV:s behandling av personuppgifter som Utredningen om 2016 års dataskyddsdirektiv har gjort (se SOU 2017:29, s. 189).

Att RMV, när verket behandlar personuppgifter i något av de syften som omfattas av dataskyddsdirektivet, som utgångspunkt ska tillämpa brottsdatalagen, stämmer väl överens med det bakomlig-gande syftet med dataskyddsdirektivet (se avsnitt 6.4.3). Genom en sådan tillämpning kan behandlingen av personuppgifter genom hela brottmålsprocessen omfattas av samma regler och samma skyddsnivå kan säkerställas mellan de olika myndigheter som är involverade.

En konsekvens av att det är syftet med behandlingen som avgör vilket regelverk som är tillämpligt för en viss personuppgiftsbehand-ling vid RMV, är att om detta syfte ändras, ändras också valet av tillämpliga bestämmelser. Som exempel kan nämnas obduktioner som genomförs vid RMV. En obduktion kan vara rättsmedicinsk eller klinisk (se avsnitt 6.4.5). En rättsmedicinsk obduktion kan utföras i bl.a. de fall då det finns en misstanke om att ett dödsfall har sam-band med ett brott. Behandlingen av personuppgifter i ett sådant rättsmedicinskt obduktionsärende, ska följa dataskyddsdirektivets reglering. Skulle obduktionen visa att den undersökte avlidit av exempelvis sjukdom och det inte längre finns någon misstanke om brott, är syftet med behandlingen av personuppgifter inte längre sådant som avses i dataskyddsdirektivet och brottsdatalagen. Den behandling av personuppgifter som är nödvändig för att avsluta ären-det, får göras enligt de bestämmelser som var tillämpliga då ärendet inleddes, dvs. de bestämmelser som har sitt ursprung i dataskydds-direktivet. Behandlingen av personuppgifter som sker i samband med att RMV lämnar sin rapport till den uppdragsgivande myndigheten är således fortfarande direktivsstyrd. Om däremot ytterligare åtgärder ska vidtas, utöver att avsluta ärendet, ska för en eventuell sådan

En datalag för Rättsmedicinalverket SOU 2017:80

fortsatt behandling av personuppgifter i stället ningen tillämpas. För arkiveringsändamål gäller dataskyddsförord-ningen.

Även andra myndigheter, förutom RMV, kommer att ställas inför liknande problematik. Så är exempelvis fallet, som Utredningen om 2016 års dataskyddsdirektiv framhållit, om Tullverket tar en viss mängd vitt pulver i beslag i tron att det är fråga om narkotika. Om pulvret efter analys visar sig vara något som inte är straffbart att inneha, är brottsdatalagen inte längre tillämplig. Utöver den behand-ling av personuppgifter som är nödvändig för att avsluta Tullverkets ärende, får uppgifterna inte längre behandlas i den brottsbekäm-pande verksamheten (se SOU 2017:29, s. 185).

6.4.5 Några exempel på vilket regelverk som regelmässigt