sou · H2B345 · 2014-06-25 00:00:00 — Den information som lämnas till den registrerade ska innehålla uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som kan behövas för att den registrerade ska kunna ta tillvara sina rättigheter under behandlingen (25 § PUL). Den personuppgiftsansvarige är också skyldig att till den som ansöker om det en gång gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte (26 §). Behandlas sådana uppgifter ska information lämnas om vilka uppgifter som behandlas, varifrån de har hämtats, ändamålen med behandlingen och vem som tagit emot dem. På begäran av den re- gistrerade är den personuppgiftsansvarige skyldig att rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med PUL eller föreskrifter som meddelats med stöd av PUL (28 § PUL). Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas (31 § PUL). Datainspektionen får i enskilda fall besluta om vilka säkerhetsåtgärder som den personuppgifts- ansvarige ska vidta (32 § PUL). Datainspektionen har möjlighet att förena ett sådant beslut med vite. 123Öman, S. och , H.-O., Personuppgiftslagen En kommentar, 4 uppl., 2011 s. 378. 124Information till registrerade enligt personuppgiftslagen – Datainspektionens allmänna råd, s. 7. Rättsliga förutsättningar för registerbaserad forskning Den personuppgiftsansvarige ska göra en skriftlig anmälan till Datainspektionen innan en behandling av personuppgifter som är helt eller delvis automatiserad påbörjas (36 § PUL). Om den person- uppgiftsansvarige har utsett ett personuppgiftsombud och anmält detta till inspektionen behöver sådan anmälan emellertid inte göras (37 § PUL). Personuppgiftsombudet ska dock föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. 5.3.4.13 Rättelse, skadestånd och straff Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande får myndigheten vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem (45 § PUL). Datainspektionen får an- söka hos förvaltningsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas (47 § PUL). Enligt 48 § PUL är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL har orsakat. I 49 § PUL finns bestämmelser om straff vid överträdelse av vissa bestämmelser i . Den som uppsåtligen eller av grov oaktsam- het till exempel behandlar personuppgifter i strid med 13–21 §§ PUL kan dömas till böter eller fängelse , eller vid grovt brott högst . PUL innehåller generella regler om behandling av personuppgifter. Som framgår av 2 § PUL är lagen subsidiär i förhållande till andra författningar, vilket innebär att om det i en annan lag eller i en för- ordning finns bestämmelser som avviker från ska de bestämmelserna gälla. Det finns över 100 olika författningar Rättsliga förutsättningar för registerbaserad forskning som innehåller bestämmelser om behandling av personuppgifter som kompletterar PUL.125 Dessa brukar kallas särskilda registerförfatt- ningar. De särskilda registerförfattningarnas huvudsakliga syfte är att reglera inrättandet och användningen av viktiga register eller andra personuppgiftssamlingar inom den offentliga sektorn.126 För- fattningarna är avsedda att ge ett anpassat integritetsskydd vid myn- dighetens hantering av personuppgifter då det finns behov av att avvika från eller komplettera det integritetsskydd som PUL ger. Utgångspunkten är att myndighetsregister med ett stort antal regi- strerade och med ett känsligt innehåll ska regleras särskilt i lag.127 Vid införandet av PUL anfördes i propositionen att det traditio- nella svenska systemet med särreglering i särskilda författningar var att föredra framför generella undantag från PUL.128 Vidare anfördes att det i stort sett bara var verksamhet inom den offentliga sektorn som skulle kunna undantas från PUL, och eftersom det inom den sektorn ofta förekommer stora mängder känsliga personuppgifter som har hämtats in med straffsanktionerad uppgiftsplikt bedömdes det särskild viktigt med ett starkt integritetsskydd. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som PUL ger garanteras att behovet av särregler alltid övervägs noga i den ordning som krävs för författningsgivning. Vidare anfördes att målsättningen är att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen fann ingen anledning att ändra på det målet. När föreligger skäl att införa en särskild registerförfattning? En omständighet som talar för att det bör införas en särreglering i form av en särskild registerlag är att en särskild författning under vissa förutsättningar anses innebära en bättre garanti för utformningen av integritetsskyddet.129 Ett annat skäl för en särskild registerlag kan vara att en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt PUL. Vidare kan en särskild registerlag vara motiverad när det finns anledning att avvika från eller precisera regleringen i PUL eller när kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser. Det kan också bli aktuellt när det finns anledning att begränsa 125Öman, S., Särskilda registerförfattningar i till , 2006, s. 686. 126SOU 2012:90 s. 51. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och 1997/98:44 s. 41. 1997/98:44 s. 41. 129SOU 2012:90 s. 52. Rättsliga förutsättningar för registerbaserad forskning möjligheten till behandling av uppgifter av integritetsskäl eller när det finns anledning att vara särskilt tydlig gentemot allmänheten. 5.3.5.2Något om registerförfattningarnas struktur Det finns ingen klar uppfattning om hur många olika särskilda registerförfattningar det finns.130 Författningarna är uppbyggda på olika sätt och saknar en gemensam begreppsstruktur. har dock i artikeln Särskilda registerförfattningar försökt att göra en sammanställning av några vanliga typer av bestämmelser i de särskil- da registerförfattningarna. Som underlag för genomgången har bland annat 18 angivna särskilda registerförfattningar använts. kon- staterar att de särskilda registerförfattningarna för myndigheters behandling av personuppgifter normalt brukar innehålla vissa typer av bestämmelser, men att utformningen av bestämmelserna varierar och att inte alla registerförfattningar innehåller alla typer av bestäm- melser.131 Varje författning har ett visst tillämpningsområde, som vanligtvis brukar anges i en inledande bestämmelse.132 Det normala är att det i bestämmelsen anges att författningen gäller vid behandling av personuppgifter i en viss myndighets eller vissa myndigheters verk- samhet av visst slag. Det vanligaste är att författningen gäller för samma slags behandling som PUL, det vill säga behandling som är helt eller delvis automatiserad eller annan () behandling som avser personuppgifter som ingår i eller är avsedda att ingå i register. anges det att vissa bestämmelser i författningen bara gäller automatiserad behandling. Författningarna gäller vanligtvis för behandling av personupp- gifter i enlighet med PUL:s definition. I vissa fall har tillämpnings- området utsträckts till att även gälla avlidna eller juridiska personer. finns det detaljerade regler om vilka uppgifter som får be- handlas om en viss kategori av personer. När det gäller hur verksamheten anges kan det ske på olika sätt. Det kan hända att författningen hänvisar till verksamhet som myn- 130Öman, S., Särskilda registerförfattningar i till , 2006, s. 686. 131Öman, S., Särskilda registerförfattningar i till , 2006, s. 690. 132Öman, S., Särskilda registerförfattningar i till , 2006, s. 691 f. Rättsliga förutsättningar för registerbaserad forskning digheten ska bedriva enligt andra författningar, till exempel verksam- het enligt lagstiftningen om . Det förekommer ibland också mer allmänna beskrivningar av verksamheten, till exempel be- skattningsverksamheten, men då brukar verksamheten konkretiseras i förarbetena. Utanför tillämpningsområdet faller regelmässigt verk- samhet som avser myndigheternas interna administrativa verksamhet. Författningarnas förhållande till PUL och dataskyddsdirektivet De särskilda registerförfattningarna gäller före PUL:s bestämmel- ser, men får inte stå i strid med dataskyddsdirektivet. Direktivet gäller inte för sådan verksamhet som inte omfattas av och inte heller för sådana behandlingar som rör allmän säkerhet, för- svar, statens säkerhet och straffrätt. Registerlagar som faller utanför tillämpningsområde behöver således inte vara förenliga med dataskyddsdirektivet. Utgångspunkten är emellertid att de sär- skilda registerförfattningarna så långt som möjligt ska stämma över- ens med PUL och därmed också med dataskyddsdirektivet.133 Personuppgiftsansvaret och ändamålen med behandlingen De särskilda registerförfattningarna innehåller vanligtvis bestäm- melser om ändamålen med behandlingen. delas ändamålen in i primära och sekundära.134 De primära ändamålen avser myndig- hetens eget behov av att behandla personuppgifter, till exempel för att kunna handlägga myndighetens ärenden. De sekundära ändamålen avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Huvudregeln är att behandling för att lämna ut personuppgifter till annan enligt de sekundära ändamålen bara får avse personuppgifter som myndigheten samlat in och behandlat för sina primära ändamål. Myndigheten får således inte samla in personuppgifter som den inte behöver för sin egen verksamhet. När det gäller frågan hur preciserad en ändamålsbestämmelse i en registerförfattning ska vara har regeringen i prop. 1997/98:97 om polisens register anfört att syftet med en ändamålsbestämmelse är att ange en yttersta ram inom vilken uppgifterna får behandlas och 133Öman, S., Särskilda registerförfattningar i till , 2006, s. 694 f. 134Öman, S., Särskilda registerförfattningar i till , 2006, s. 699 f. Rättsliga förutsättningar för registerbaserad forskning att det ligger i sakens natur att ändamålsbestämmelser ofta måste formuleras tämligen generellt.135 Enligt definitionen i PUL är den personuppgiftsansvarige ensam eller tillsammans med andra ansvarig för att bestämma ändamålen med och medlen för behandlingen av personuppgifter. I de sär- skilda registerförfattningarna anger man regelmässigt de tillåtna ända- målen med behandlingen. På inrådan av Lagrådet började man där- för införa uttryckliga bestämmelser i de särskilda registerförfatt- ningarna om vilken myndighet som är personuppgiftsansvarig.136 Vilka personuppgifter som får behandlas De särskilda registerförfattningarna innehåller i regel någon form av bestämmelse om vilka personuppgifter som får behandlas.137 Av författningarna, ibland kompletterade av PUL, framgår att person- uppgifter får behandlas bara om det är nödvändigt för de angivna ändamålen. finns det särskilda bestämmelser om en databas med uppgifter som används i verksamheten. finns det dess- utom en förordning med detaljerade bestämmelser om vilka upp- gifter som får finnas i registret eller databasen. För behandling av känsliga personuppgifter enligt 13 § PUL och uppgifter om lagöverträdelser med mera enligt 21 § PUL finns det vanligtvis vissa begränsningar. Det anges till exempel att uppgifter- na bara får behandlas om det är nödvändigt med hänsyn till ända- målet med behandlingen och att de inte får användas som sökbegrepp, det vill säga för att få fram listor på personer med de egenskaper som avspeglas i uppgifterna.138 Registerförfattningar innehåller inte sällan särskida bestämmelser om direktåtkomst. Begreppet direktåtkomst är ett av de begrepp som kan ha olika innebörd i olika registerförfattningar. Med direkt- åtkomst avses vanligtvis att någon (här kallad mottagarmyndighet) har direkt tillgång till någon annans (här kallad värdmyndighet) register eller databaser och på egen hand kan söka efter information, 1997/98:97 s. 121. 136Öman, S., Särskilda registerförfattningar i till , 2006, s. 697. 137Öman, S., Särskilda registerförfattningar i till , 2006, s. 702. 138Öman, S., Särskilda registerförfattningar i till , 2006, s. 704. Rättsliga förutsättningar för registerbaserad forskning dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att värdmyndigheten inte har någon kontroll över vilka uppgifter som mottagarmyndigheten vid ett visst tillfälle tar del av.139 Direktåtkomst kan till exempel ske genom att mottagarmyndigheten ges elektronisk tillgång till hela eller delar av värdmyndighetens elektroniska informationssamlingar.140 Det finns också myndigheter som har gemensamma register och där de deltagande myndigheterna behandlar sina egna uppgifter men också har möjlighet att ta del av uppgifter som andra myndigheter har registrerat i registret. Direktåtkomst anses innebära särskilda risker för otillbörliga integritetsintrång. Det beror på bestämmelserna om elektroniska upp- tagningar i TF. När det gäller elektroniska upptagningar är huvud- regeln att en sådan anses förvarad hos en myndighet om upptag- ningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (2 kap. 3 § andra och tredje stycket TF). Det saknar betydelse var den begärda elektroniska handlingen rent fysiskt befinner sig. Frågan om en elektronisk hand- ling ska anses förvarad hos en myndighet ska i stället avgöras utifrån myndighetens möjligheter att förfoga över upptagningen. Det finns två undantag från huvudregeln, som avser sammanställningar av uppgifter ur en eller flera upptagningar för automatiserad behand- ling, så kallat potentiella handlingar.141 Dels anses en potentiell hand- ling förvarad hos myndigheten endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder (2 kap. 3 § andra stycket andra meningen TF). Dels anses en potentiell handling inte förvarad hos en myndighet om sammanställningen inne- håller personuppgifter som myndigheten enligt lag eller förordning saknar befogenhet att tillgängliggöra. Denna regel brukar kallas begränsningsregeln. En handling ska, för att vara allmän i TF:s bemärkelse, vara antingen inkommen eller upprättad hos myndigheten. En upptag- ning anses inkommen till en myndighet när någon har gjort den tillgänglig för myndigheten med hjälp av tekniskt hjälpmedel som 139Se till exempel prop. 2004/05:164 s. 83, 2009/10:85 s. 168 och 2011/12:45 s. 133. 140SOU 2012:90 s. 82. 141En potentiell handling anses utgöra en handling hos myndigheten oavsett om samman- ställningen gjorts tidigare eller om myndigheten själv har behov av att göra en sådan sam- manställning eller inte. Bestämmelsen ger uttryck för likställighetsprincipen, som innebär att allmänheten ska ha tillgång till datalagrad information i samma utsträckning som myndig- heten. Rättsliga förutsättningar för registerbaserad forskning myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Bestämmelsen innebär att en upptagning för automatiserad behandling som av en myndig- het tillförts ett informationssystem som är gemensamt för flera myndigheter ska anses som inkommen hos alla myndigheter som har tillgång till systemet. I TF görs det ingen skillnad mellan den elektroniska information som en myndighet själv har samlat in och den information från en annan myndighet som den har direktåt- komst till. Sammanställningar av uppgifter ur en värdmyndighets upp- tagningar för automatiserad behandling som genom direktåtkomst görs tekniskt tillgängliga för en mottagarmyndighet utgör således som huvudregel allmänna handlingar hos mottagarmyndigheten. Det saknar betydelse om mottagarmyndigheten rent faktisk använder sig av möjligheten. Det räcker att den finns för att uppgiften ska anses utgöra allmän handling hos mottagarmyndigheten. Det med- för att om någon begär att få ut en allmän handling som är en så kallad potentiell handling från mottagarmyndigheten är denna skyl- dig att göra de sökningar i och bearbetningar av värdmyndighetens information som kan ske med rutinbetonade åtgärder. Det är oklart vilken betydelse så kallade absoluta sökförbud kan ha, det vill säga förbud i en värdmyndighets registerförfattning mot användning av vissa sökbegrepp, för att begränsa mottagarmyndighetens skyldig- het.142 Men det är klart att en motttagarmyndighet är skyldig att göra en sökning och ta fram och lämna ut en potentiell handling, även om den i sin egen verksamhet är förhindrad på grund av sök- eller ändamålsbegränsningar i författningen att utnyttja direktåtkomst. Andra typer av bestämmelser Många särskilda registerförfattningar innehåller bestämmelser om tillåtna sökbegrepp, som begränsar myndighetens möjlighet och skyl- dighet att ställa samman personuppgifter. De kan också innehålla bestämmelser om information, samtycke och sambearbetning. Alla dessa typer av bestämmelser påverkar möjligheten för forskare att få tillgång till uppgifter och på vilket sätt det kan ske. 142 SOU 2012:90 s. 115 f. Rättsliga förutsättningar för registerbaserad forskning 5.3.5.3En översyn av registerlagstiftningen Flera statliga utredningar, bland annat och , har föreslagit att de särskilda register- författningarna ska ses över. Det har anförts att registerförfatt- ningarna saknar en sinsemellan enhetlig struktur och att olika begrepp används för att beskriva samma sak. tillsattes en utredning för att se över den så kallade registerlagstiftningen. Utredningen har tagit sig namnet . I delbetän- kandet Överskottsinformation vid direktåtkomst (SOU 2012:90) redovisades vissa delfrågor. Enligt de ursprungliga direktiven skulle utredningen göra en översiktlig inventering av gällande register- författningar och inom tre olika verksamhetsområden närmare ana- lysera hur de är uppbyggda och tillämpas.143 Utredningens uppdrag har ändrats och arbetet ska i stället koncentreras på att utreda förutsättningarna för att skapa en generell, enhetlig och samlad reglering för myndigheternas personuppgiftsbehandling och lämna författningsförslag till en sådan.144 Utredningen ska härvid bland annat beakta den pågående översynen inom EU av regleringen om skyddet för personuppgifter. 5.3.6Exempel på register som kan användas vid forskning Vissa av de särskilda registerförfattningarna reglerar register som kan användas i forskning. Nedan följer en översiktlig genomgång av några av dessa. En central förvaltningsmyndighet inom hälso- och sjukvården får enligt 1 § lagen (1998:543) om hälsodataregister utföra automatise- rad behandling av personuppgifter i hälsodataregister. Personupp- gifter i ett hälsodataregister får behandlas för framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar. 143Kommittédirektiv Integritet, effektivitet och öppenhet i en modern e-förvaltning, (Dir. 2011:86) s. 19 f. Rättsliga förutsättningar för registerbaserad forskning samma lag är den som bedriver verksamhet inom hälso- och sjuk- vård skyldig att lämna uppgifter till ett hälsodataregister för dessa ändamål. Uppgifterna samlas in utan den enskildes samtycke. Regeringen får bland annat meddela föreskrifter om vilka myn- digheter som får föra hälsodataregister, begränsning av ändamålen och begränsningar av de uppgifter ett hälsodataregister får inne- hålla. Regeringen har med stöd av denna bestämmelse utfärdat flera förordningar om hälsodataregister. Exempel på sådana register där personuppgifterna bland annat får behandlas för forskningsändamål och för epidemiologiska undersökningar är cancerregistret och patientregistret.145 Båda dessa register förs av . Även personuppgifter i läkemedelsregistret, register över insatser inom den kommunala hälso- och sjukvården och tandhälsoregistret hos får användas för forskningsändamål.146 Med kvalitetsregister avses enligt 7 kap. 1 § patientdatalagen en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska vidare möjliggöra jämförelser inom hälso- och sjukvården på nationell eller regional nivå. Bestämmelser om hanteringen av personuppgifter i nationella och regionala kvalitetsregister finns i 7 kap. patientdatalagen. Patient- datalagen innehåller en samlad reglering av informationshanteringen inom hälso- och sjukvård som ska tillämpas av alla vårdgivare, både i offentlig och privat verksamhet. Om inte annat följer av patient- datalagen eller föreskrifter som meddelats med stöd av lagen gäller bestämmelserna i . Till exempel är definitionerna i 3 § PUL, rätten till registerutdrag enligt 26 § PUL och bestämmelserna om säkerhetsåtgärder i PUL tillämpliga även inom vård och omsorg. Inom hälso- och sjukvården förs kvalitetsregister på flera olika nivåer. De kan föras alltifrån lokalt inom en offentlig eller privat 145Förordning (2001:709) om cancerregister hos och förordning (2001:707) om patientregister hos . 146Förordning (2005:363) om läkemedelsregister hos , förordning (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården och förordning (2008:194) om tandhälsoregister hos . Rättsliga förutsättningar för registerbaserad forskning vårdgivares verksamhet till nationellt med hela landet som upptag- ningsområde.147 Ett lokalt kvalitetsregister innebär att personuppgifter från en eller flera vårdenheter hos samma vårdgivare samlas in till ett gemensamt register i syfte att utveckla och säkra kvaliteten i verksamheten. Samma juridiska person är således ansvarig för hanteringen av upp- gifterna. Lokala kvalitetsregister regleras av patientdatalagens allmänna bestämmelser. Behandling av personuppgifter i ett lokalt kvalitetsregister får utföras även om den enskilde motsätter sig behandlingen (2 kap. 2 § patient- datalagen). Av 2 kap. 4 § patientdatalagen framgår för vilka ändamål vårdgivare får behandla personuppgifter inom hälso- och sjukvården. Enligt fjärde punkten får personuppgifter behandlas för att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten. Vårdgivaren är personuppgiftsansvarig för behandlingen av person- uppgifter (2 kap. 6 § patientdatalagen). Personuppgifter som får behandlas En vårdgivare får endast behandla sådana personuppgifter som be- hövs för de ändamål som anges i 2 kap. 4 § patientdatalagen. Upp- gifter om lagöverträdelser med mera enligt 21 § PUL får endast 2007/08:126 s. 177, se även avsnitt 8.2.2. Rättsliga förutsättningar för registerbaserad forskning behandlas om det är absolut nödvändigt för ett sådant ändamål (2 kap. 7 § patientdatalagen). Den som är personuppgiftsansvarig ska se till att den registrerade får information om personuppgiftsbehandlingen (8 kap. 6 § patient- datalagen). Informationen ska innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålet med behandlingen, vilka kate- gorier av uppgifter som behandlas, den uppgiftsskyldighet som kan följa av lag eller förordning och de sekretess- och säkerhetsbestäm- melser som gäller.