Känsliga personuppgifter får behandlas

utsträckning som i dag

Regeringens förslag: Säkerhetspolisen ska inte få behandla person-

uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Om uppgifter om en person be- handlas ska de dock få kompletteras med sådana uppgifter när det är absolut nödvändigt för ändamålet med behandlingen.

Prop. 2018/19:163 Säkerhetspolisen ska få behandla biometriska uppgifter endast om det är absolut nödvändigt för ändamålet med behandlingen, men ska inte få behandla genetiska uppgifter.

Känsliga personuppgifter får alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning.

Utredningens förslag överensstämmer med regeringens.

Remissinstanserna: Säkerhets- och integritetsskyddsnämnden påpekar

att 2 kap. 10 § i den nya lagen inte helt överensstämmer med motsvarande bestämmelse i förslaget till brottsdatalag. Säkerhetspolisen framhåller att myndigheten har ett faktiskt behov av att kunna samla in dna-spår och att kunna ta emot genetiska uppgifter som ges in till myndigheten, exempelvis från samarbetspartner. Övriga remissinstanser yttrar sig inte särskilt i denna del.

Skälen för regeringens förslag

Fler kategorier av uppgifter blir känsliga personuppgifter

Enligt 2 kap. 10 § polisdatalagen, som genom en hänvisning i 6 kap. 4 § 4 gäller för Säkerhetspolisen, får uppgifter om en person inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, med- lemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person redan behandlas på någon annan grund, får de dock kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen. Innebörden är att det t.ex. inte är tillåtet att föra särskilda register över personer baserat på deras politiska åsikter. Om uppgifter om en person redan behandlas får dock uppgifter om politiska åsikter be- handlas, om det bedöms vara absolut nödvändigt för ändamålet med be- handlingen. Det kan t.ex. vara fallet om motivet för ett brott är politiskt.

I brottsdatalagen utökas uppräkningen av vad som betecknas som käns- liga personuppgifter. Dit hör enligt 2 kap. 11 § även uppgifter som rör sexuell läggning och enligt 2 kap. 12 § biometriska och genetiska upp- gifter.

För att den nya regleringen så långt möjligt ska stämma överens med övriga registerförfattningar bör uppräkningen av känsliga personuppgifter i den nya lagen omfatta både uppgifter som rör sexualliv och sexuell läggning. Även biometriska och genetiska uppgifter bör i den nya lagen betecknas som känsliga personuppgifter. Vad som avses med genetiska och biometriska uppgifter redovisas i avsnitt 7.7. I förarbetena till brotts- datalagen utvecklas varför ordet ”ras” även fortsättningsvis används (prop. 2017/18:232 s. 151 f.).

Känsliga personuppgifter bör få behandlas i samma utsträckning som i dag

På samma sätt som i dag bör Säkerhetspolisen bara få behandla känsliga personuppgifter om uppgifter om personen redan behandlas på någon annan grund och behandlingen av känsliga personuppgifter är absolut nödvändig för ändamålet med behandlingen. Bestämmelserna om känsliga

personuppgifter i den nya lagen bör formuleras på samma sätt som i Prop. 2018/19:163 brottsdatalagen. Det blir då tydligare vilka uppgifter som utgör känsliga

personuppgifter och när de får behandlas. Någon förändring av synen på vad som är absolut nödvändigt vid behandling av känsliga personuppgifter är inte avsedd. Sådana uppgifter ska alltjämt användas restriktivt och behovet av att komplettera med sådana uppgifter ska prövas noga i det enskilda ärendet (prop. 2009/10:85 s. 325). Säkerhetspolisens möjligheter att behandla sådana uppgifter som redan i dag betecknas som känsliga personuppgifter förändras därmed inte.

Behandling av biometriska och genetiska uppgifter

Fingeravtryck eller dna-spår från personer som inte förekommer i finger- avtrycks- eller dna-registren är vanligt förekommande i brottsbekämpande verksamhet. Sådana oidentifierade fingeravtryck eller dna-spår som genomgår särskild teknisk behandling för att möjliggöra unik identifiering utgör som framgår av avsnitt 7.7 biometriska uppgifter. Regeln om att känsliga personuppgifter endast får behandlas om någon annan uppgift om personen i fråga samtidigt behandlas fungerar därmed inte när det gäller oidentifierade avtryck eller spår. Behandlingen av biometriska och genetiska uppgifter regleras därför särskilt i brottsdatalagen (prop. 2017/18:232 s. 154). Enligt 2 kap. 12 § brottsdatalagen får biometriska och genetiska uppgifter behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen.

I förarbetena till de brottsbekämpande myndigheternas registerförfatt- ningar konstaterar regeringen att Polismyndigheten och Säkerhetspolisen har behov av att behandla biometriska uppgifter (prop. 2017/18:269 s. 150 f.). Regeringen delar utredningens bedömning att detta gäller även när behandlingen rör nationell säkerhet. En bestämmelse motsvarande 2 kap. 12 § brottsdatalagen för biometriska uppgifter bör därför tas in i den nya lagen.

Genetiska uppgifter föreslogs enbart få behandlas i Polismyndighetens forensiska verksamhet (prop. 2017:18:269 s. 151 och 6 kap. 4 § polisens brottsdatalag). Utredningen föreslår att Säkerhetspolisen inte ska får behandla genetiska uppgifter, eftersom myndigheten inte behandlar sådana uppgifter i dag och det inte heller kan förutses något framtida behov av det. Säkerhetspolisen har invänt att myndigheten har ett faktiskt behov av att kunna samla in dna-spår och att kunna ta emot genetiska uppgifter som ges in till Säkerhetspolisen, exempelvis från myndighetens samarbetspartner. Med genetiska uppgifter avses enligt den definition som föreslås i avsnitt 7.7 personuppgifter som rör en persons nedärvda eller förvärvade kännetecken som härrör från en analys av ett spår eller ett prov från personen. Det innebär att ett dna-spår eller ett dna-prov inte utgör genetiska uppgifter, utan det är enbart den information som kan tas fram ur spåret eller provet som utgör sådana uppgifter. Genetiska uppgifter behandlas vid dna-analyser i den forensiska verksamheten för att ta fram dna-profiler eller forensiska uppslag (prop. 2017/18:232 s. 435 f.). Säkerhetspolisen kan alltså säkra dna-spår och skicka eller ta emot dna- spår eller dna-profiler utan att myndigheten behandlar genetiska uppgifter. Själva dna-profilen är endast en sifferkombination och därmed ingen

Prop. 2018/19:163 genetisk uppgift. Den är däremot en biometrisk uppgift som Säkerhets- polisen föreslås få rätt att behandla om det är absolut nödvändigt. Det har således inte framkommit att Säkerhetspolisen har något konkret behov av att behandla genetiska uppgifter. Regeringen delar därför utredningens bedömning att Säkerhetspolisen inte bör ges rätt att behandla genetiska uppgifter.

Att biometriska uppgifter behandlas särskilt är en lagteknisk fråga och innebär inte att de ska betraktas på något annat sätt än övriga kategorier av känsliga personuppgifter.

Behandling för diarieföring eller liknande

Enligt 2 kap. 10 § andra stycket och 6 kap. 4 § 4 polisdatalagen får Säkerhetspolisen behandla känsliga personuppgifter om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till myndigheten i en anmälan eller liknande och behandlingen är nödvändig för handlägg- ningen. Som framgår av avsnitt 8.3.2 måste Säkerhetspolisen alltid ha möjlighet att behandla personuppgifter för att diarieföra och handlägga in- kommande anmälningar, ansökningar och andra liknande handlingar. Det bör gälla även i de fall där sådana handlingar innehåller känsliga per- sonuppgifter, eftersom det ligger utanför Säkerhetspolisens kontroll om sådana uppgifter finns i handlingarna. Det bör därför framgå av den nya lagen att sådan behandling är tillåten. Bestämmelsen bör formuleras på motsvarande sätt som 2 kap. 13 § brottsdatalagen.