sou · H3B332 · 2015-03-27 00:00:00 — Nedan berörs bara den förslagna dataskyddsförord- ningen. Förslaget till dataskyddsförordning omfattar hantering av per- sonuppgifter för aktörer inom både den privata och den offentliga sektorn. I vilken utsträckning den offentliga sektorn ska omfattas har varit omdiskuterat, men det har uttalats av rådet att medlems- staterna ska tillerkännas ett visst utrymme i nationell lagstiftning att avvika eller specificera regleringen inom vissa områden.71 Vad utfallet blir är ännu inte fastställt. Förslaget baseras i stor del på den struktur och reglering som finns i det nu gällande dataskydds- direktivet, men innehåller även en del nyheter. Vad gäller över- föring av uppgifter till tredje land har det föreslagits att företag utanför EU som erbjuder tjänster till konsumenter inom EU ska följa dataskyddsförordningen i sin helhet. En rätt att bli bortglömd föreslås, det vill säga att en enskild under vissa förutsättningar ska kunna se till att sina uppgifter raderas och inte sprids ytterligare. Samtyckets definition förändras genom att det kommer krävas att samtycket är uttryckligt istället för underförstått, som gäller enligt gällande reglering (med undantag för känsliga personuppgifter). En princip om ”one stop shop” föreslås, vilken bland annat innebär att individen ska ha möjlighet att vända sig till tillsynsmyndigheten i sitt hemland vid frågor om personuppgiftshantering även om den personuppgiftsansvarige är etablerad i ett annat land. Det föreslås vidare en rätt till uppgiftsportabilitet72 och skyldig- heter för den personuppgiftsansvariga och den som behandlar upp- gifterna för dennes räkning. Till exempel ska personuppgifts- ansvarig rapportera säkerhetsincidenter till tillsynsmyndigheten. Vidare införs en skyldighet för tillsynsmyndigheter att utfärda sanktionsavgifter mot vissa överträdelser av dataskyddsförord- 71 Detta framgår av rådets tillfälliga partiella överenskommelse avseende ändringar i artikel 1, 6 (punkt 20 och 3) och 21 samt kapitel IX i dataskyddsförordningen vid rådsmötet , se rådsdokumentet daterat från det italienska ord- förandeskapet (Proposal for a Regulation of Parliament and of protection of individuals with regard to the processing of personal data and on the free movement of such data (Protection Regulation) = Partial general approach = Orientation debate, interinstitutional file 2012/0011 (COD), , 1 Dec- ember 2014). 72 Uppgiftsportabilitet innebär bland annat att den registrerade ska ha rätt att få en kopia av de personuppgifter som behandlas och en rätt att få personuppgifter överförda från en personuppgiftsansvarig (till exempel en tjänsteleverantör) till en annan. ningen som kan uppgå till eller av ett företags globala omsättning.73 grundinställning i arbetet med förslaget har varit att det är av yttersta vikt att medlemsstaterna i så stor utsträckning som möjligt ges behörighet att i nationell lagstiftning reglera behandling av personuppgifter i särskilda registerlager så att inte sektors- specifika regleringar försvagas, vilket är en av flera omständigheter som motiverat att driva linjen att den aktuella rättsakten ska ges formen av ett direktiv i stället för en förordning.74 Diskuss- ioner kring hantering av sådana regleringar har förts i rådet vid mötet i december 2014.75 Regeringen har bland annat även verkat för att dataskyddsförordningen ska utformas enligt en missbruks- modell som personuppgiftslagen är . Det vill säga en modell som i princip tillåter personuppgiftsbehandlingen så länge den inte innebär en kränkning av den personliga integriteten.76 Förslaget är utformat enligt en hanteringsmodell, som innebär att hanteringen av personuppgifter regleras från det att personuppgifterna samlas till dess de utplånas oavsett om uppgifterna kan betecknas som harmlösa eller känsliga.77 Dataskyddsförordningen kommer att träda i kraft efter att den har antagits78, men innan ett slutligt förslag är på plats krävs dels att rådet uppnår en gemensam ståndpunkt om dataskyddsför- ordningen och dels att kommissionen, parlamentet och rådet där- efter når en slutlig överenskommelse om dataskyddsförordningen. 73Parlamentet har istället förslagit sanktionsavgifter om högst eller av företags globala omsättning, Europeiska kommissionen, PM, Progress on EU data protection reform now irreversible following European Parliament vote, , . 74Regeringskansliet, , Rådspromemoria Rådets möte för rättsliga och inrikes frågor (RIF) den 4–, , daterat . 75Rådets tillfälliga partiella överenskommelse avseende ändringar i artikel 1, 6 (punkt 20 och 3) och 21 samt kapitel IX i dataskyddsförordningen vid rådsmötet , se rådsdokumentet daterat från det italienska ordförandeskapet (Proposal for a Regulation of Parliament and of protection of individuals with regard to the processing of personal data and on the free movement of such data (Protection Regulation) = Partial general approach = Orientation debate, interinstitutional file 2012/0011 (COD), , ). 76Till exempel e-post och ordbehandling. 77Regeringskansliet, Faktapromemoria 2011/12:FPM117 Allmän data- skyddsförordning daterad , s. 10. 78Det vill säga efter dataskyddsförordningen offentliggjorts I europeiska unionens tidning enligt artikel 91 dataskyddsförordningen. Rådet skulle ha nått en gemensam ståndpunkt , men så blev det inte. Det återstår att se när arbetet med data- skyddsförordningen är genomfört. lade Europeiska kommissionen och Europeiska utrikestjänsten fram en strategi för internetsäkerhet. för it-säkerhet: en öppen, säker och trygg cyberrymd. Strategin syftar till att främja frihet och demokrati samt till att den digitala ekonomin ska kunna växa på ett säkert sätt. I strategin anges bland annat att särskilda åtgärder planeras för att stärka beredskapen inom it-systemen, minska it-brottsligheten och stärka EU:s inter- nationella policy för it-säkerhet och it-försvar kopplade till den gemensamma säkerhets- och försvarspolitiken samt att utveckla industrilösningar och teknologiska lösningar för it-säkerhet.80 I samband med offentliggörandet av it-strategin lade kom- missionen även fram ett förslag på direktiv om nät- och inform- ationssäkerhet81, det så kallade NIS-direktivet, som utgör en viktig del i den övergripande strategin. NIS-direktivet syftar till att säkerställa en hög gemensam nivå av nät- och informationssäkerhet för att förbättra säkerheten för internet och för de privata nät- och informationssystem som behövs för att våra samhällen och ekonomier ska fungera. Förslaget läggs fram mot bakgrund av att kommissionen anser att den fri- villiga väg inom EU som valts inte ger tillräckligt starkt skydd mot nät- och informationsincidenter och att de initiativ som har tagits i medlemsstaterna avseende beredskap och kapacitet är på olika nivå, vilket skapar en fragmentering inom EU som hindrar uppbyggandet av förtroende mellan medlemsstaterna. 79Justice and home Affairs, Council October 2014, Press Conference Part 2 (), Preliminary remarks by , European Commissioner for , following the and focused on on 10 October 2014, in , council-october-2014/press-conference-justice-part-2182#/event-media 80Europeiska kommissionen, pressmeddelande, för it-säkerhet ska skydda ett öppet internet, , . 81Förslag till och rådets direktiv om åtgärder för att säkerställa en hög gemensam av nät och informationssäkerhet i hela unionen COM(2013) 48 final. I direktivet föreslås att respektive medlemsstat ska säkerställa en miniminivå av nationell kapacitet genom att inrätta en nationell behörig myndighet för nät- och informationssäkerhet som över- vakar tillämpningen av direktivet i medlemsstaten och genom att inrätta en incidenthanteringsorganisation som ska ansvara för han- tering av incidenter och risker. Därutöver föreslås också att varje medlemsstat ska anta nationella strategier respektive nationella samarbetsplaner för nät- och informationssäkerhet. Det föreslås vidare att de nationella behöriga myndigheterna tillsammans med kommissionen ska samarbeta i ett nätverk för informationsutbyte för att bland annat flagga upp risker och för att göra gemensamma insatser på EU-nivå. Förslaget avser även säkerställa att en riskhanteringskultur utvecklas mellan privat och offentlig sektor. Den offentliga förvalt- ningen, det vill säga myndigheter, kommuner och landsting, och marknadsoperatörer ska åläggas att bedöma de risker som de står inför och vidta ändamålsenliga åtgärder som är proportionella till hoten. Dessa ska även vara skyldiga att underrätta den behöriga myndigheten för nät- och informationssäkerhet i medlemsstaten om incidenter som har betydande inverkan på säkerheten för de kärntjänster som tillhandahålls. Med marknadsoperatörer avses i förslaget leverantörer av tjänster som möjliggör tillhandahållandet av andra tjänster (till exempel e-handelsplattformar, sociala medier och molntjänster), och operatörer av kritisk infrastruktur som krävs för att upprätthålla centrala ekonomiska och samhälleliga funktioner (operatörer inom områden som energi-, transport-, bank, börs- samt hälso- och sjukvårdsverksamhet). Vilka som ska omfattas av dessa skyldigheter råder det delande meningar om och har i sin version av förslaget exkluderat leve- rantörer av sådana informationssamhälletjänster så som moln- tjänster, men även offentliga förvaltningar generellt, från dessa skyldigheter. Incidenttrapporteringen ska istället vara frivillig för sådana marknadsoperatörer.82 82 lagstiftningsresolution av om förslaget till Europa- parlamentets och rådets direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen (COM(2013)0048 – C7-0035/2013 – 2013/0027(COD)) (Ordinarie lagstiftningsförfarande: första behandlingen), artikel 3 och 14, 2014-0244+0+DOC+XML+V0//SV. Regeringen har uttalat sig avseende kommissionens förslag och anser att detta är för omfattande, långtgående och oproportioner- ligt kostsamt i förhållande till vad som kan förväntas uppnås däri- genom.83 Regeringen anser också att åtgärderna i direktivet inte bör vara tvingande, utan bör genomföras utifrån de förutsättningar som finns i respektive medlemsstat samt att EU:s gemensamma nät- och informationssäkerhet istället kan stärkas genom icke tvingande åtgärder, genom samverkan mellan medlemsstaterna och ett aktivt nationellt arbete.84 Av förslaget framgår att åtgärderna enligt direktivet ska vara genomförda inom ett till efter beslut om direk- tivet,85 vilket regeringen anser är en orimligt kort tidsfrist. Europa- parlamentet beslutade om sin version av NIS-direktivet och ska rådet besluta om förslaget. diskuteras förslaget mellan rådet och parlamentet avseende frågor om bland annat direktivets omfattning.86 Mot bakgrund av att allt fler förfalskade läkemedel avseende identitet, historia eller ursprung upptäcktes inom EU antog Euro- paparlamentet och rådet ett direktiv (2011/62/EU) om ändring av direktivet 2001/83/EG om upprättande av gemen- skapsregler för humanläkemedel, det så kallade E-verifikations- direktivet87, Det ursprungliga direktivet inkluderar föreskrifter om tillverkning, distribution och användningen av läkemedel med huvudsyftet att värna om folkhälsan. 83Regeringskansliet, Försvarsdepartementets faktapromemoria 2012/13:FPM68 NIS-direk- tivet, daterad . 84Regeringskansliet, Försvarsdepartementets faktapromemoria 2012/13:FPM68 NIS-direk- tivet, daterad . 85Europeiska kommissionen, pressmeddelande, för it-säkerhet ska skydda ett öppet internet, , , artikel 21, , Försvarsdepartementets faktapromemoria 2012/13:FPM68 NIS-direktivet, daterad . , pressmeddelande, 3350:de rådsmötet avseende transport, telekom- munikation och energi, , , s. 13, och Institutional File 2013/0027, Presedency Information, Proposal for a Directive of Parliament and of the Council concerning measures to ensure high common level of network and information security across the Union – Information on the state of play, , . 87Europarlamentets och rådets direktiv /62/EU av om ändring av direktiv /83/EG om upprättande av gemenskapsregler för humanläkemedel vad gäller att förhindra att förfalskade läkemedel kommer in i den lagliga försörjningskedjan. Syftet med ändringsdirektivet var att införa harmoniserade regler som motverkar att förfalskade läkemedel kommer in i den lagliga distributionskedjan och som säkerställer en hög skyddsnivå för folkhälsan. Direktivet implementerades i genom främst ändringar i läkemedelslagen (1992:859), vilka trädde i kraft . Ändringsdirektivet innehåller därför bland annat regler för att kunna skilja förfalskade läkemedel från andra läkemedel och regler som syftar till att trygga tillförlitligheten i hela distribu- tionskedjan. Det innehåller också obligatoriska krav på säkerhets- detaljer på förpackningar för receptbelagda läkemedel, med vissa undantag, för att förhindra att förfalskade läkemedel att nå patienterna i de fall förfalskningarna inte på annat sätt upptäckts av myndigheter eller aktörer i distributionskedjan. Säkerhetsdetaljerna ska bestå av en unik förpackningsidentitet kombinerad med säker- hetsförslutning. Det framgår även att databassystem (verifikationssystem) ska upprättas som innehåller uppgifter om säkerhetsdetaljerna och ska användas för att möjliggöra kontroll av äktheten av läkemedel över hela EES.88 Hur detta ska gå till och mer bestämmelser om hur säkerhetsdetaljerna ska se ut, vilka läkemedel som ska förses med säkerhetsdetaljer och hur kontrollen av säkerhetsdetaljer ska utföras ska kommissionen definiera genom att anta så kallade dele- gerade akter89. Målsättningen var att kommissionen skulle anta de delegerade akterna . Detta har blivit något förskjutet.90 Det föreskrivs i ändringsdirektivet att det ska vara tillverkarna av läkemedel, som ska bära kostnaderna för databassystemet.91 På europeisk nivå har den icke vinstdrivande intresseorganisationen () bildats av 88Europarlamentets och rådets direktiv /62/EU av om ändring av direktiv /83/EG om upprättande av gemenskapsregler för humanläkemedel vad gäller att förhindra att förfalskade läkemedel kommer in i den lagliga försörjningskedjan, artikel 54a, punkt 2. 89Enligt artikel 290 i EUF-fördraget kan kommissionen tilldelas befogenheter att anta deleg- erade akter då enhetliga regler för genomförandet av EU:s lagstiftning krävs. En delegerad akt är en EU-rättsakt som kompletterar eller ändrar vissa icke väsentliga delar av lagstift- ningsakten. 2012/13:40, beslut i bet. 2012/13:NU7, rskr. 2013/14:141. 91Europarlamentets och rådets direktiv /62/EU av om ändring av direktiv /83/EG om upprättande av gemenskapsregler för humanläkemedel vad gäller att förhindra att förfalskade läkemedel kommer in i den lagliga försörjningskedjan, artikel 54a, punkt 2. olika intresseorganisationer92 med uppgift att bland annat etablera ett övergripande europeiskt system, som ska bestå av ett europeiskt nav (European ), till vilket nationella eller regionala databas- erna hos varje medlemsstat ska vara kopplade.93 EMVO ska även ansvara för att det europeiska navet fungerar, sätta standarder och säkerställa kvalitet och tillgänglighet till detta. Avsikten är att de nationella eller regionala databaserna ska hanteras av nationella eller regionala organisationer i respektive medlemsstat. I har (), , och Läkemedels- handlarna ingått en avsiktsförklaring för att bland annat samarbeta om att beskriva förutsättningarna för utveckling av ett svenskt verifikationssystem, inklusive en databas, som ska vara kompatibelt med och kopplat till det europeiska. Med stöd av verifikations- systemet ska läkemedel kunna kontrolleras i alla led, från tillverkare till det att expedierar läkemedlet till patient.94 I avvaktan på kommissionens delegerade akt om det aktuella området förs alltså diskussioner mellan intressegrupper, enligt ovan beskrivna avsiktsförklaring, för hur verifikationssystemet ska kunna hanteras i . finns inom EU en anmälningsprocedur som syftar till att motverka handelshinder orsakade av tekniska föreskrifter på det icke-harmoniserade området. Bestämmelserna finns nu i Europa- parlamentets och rådets direktiv /34/EG av om ett informationsförfarande beträffande tekniska standarder och föreskrifter och beträffande föreskrifter för informationssamhällets tjänster (ändrat genom och rådets direktiv 92European har bildats av de europeiska intresse- organisationerna EAEPC (of ), EFPIA (European ), GIRP () och PGEU (of Union representing community pharmacists). 93Memorandum of Understanding between EFPIA, PGEU, GIRP and EAEPC on the Formation and Governance of a ceutical Products in Europe, dated 15 February 2012. 94Avsiktsförklaring mellan , , och Läkemedelshandlarna om bildandet och styrning av ett gemensamt intressestyrt verifikationssystem för läkemedel i , version 1.0, . 98/48/EG). Syftet med anmälningsproceduren är att nationella tekniska regler inte ska skapa omotiverade handelshinder för varor och e-tjänster. I är direktivet genomfört i förordningen (1994:2029) om tekniska regler. Förordningen innehåller de föreskrifter som stat- liga myndigheter under regeringen ska iaktta när det gäller tekniska regler enligt direktivet, vilka bland annat innebär att myndigheter behöver underrätta kommerskollegiet om en myndighet ska fatta beslut om tekniska regler som omfattas av förordningen. Kom- merskollegiet ska i sin tur anmäla till bland annat EU-kommiss- ionen för granskning. I 2 § förordningen om tekniska regler anges att med tekniska regler avses: a)föreskrifter eller andra bestämmelser som utgörs av eller hän- visar till tekniska specifikationer95 eller andra krav96 och som är rättsligt eller faktiskt tvingande vid saluföring eller användning av en vara, b)föreskrifter om informationssamhällets tjänster97 som är rättsligt eller faktiskt tvingande vid tillhandahållande, etablering eller användande av sådana tjänster, eller 95Med teknisk specifikation avses, enligt 2 § förordningen om tekniska regler, specifikationer intagna i ett dokument och som fastställer de egenskaper som krävs av en vara, till exempel kvalitetsnivåer, prestanda, säkerhet eller dimensioner, inbegripet krav på varan som avser varubeteckning, terminologi, symboler, provning och provningsmetoder, förpackning, märkning eller etikettering och förfaranden för bedömning av överensstämmelse. Som tekniska specifikationer räknas också krav på processer och tillverkningsmetoder. 96Med andra krav avses, enligt 2 § förordningen om tekniska regler, krav som inte är tek- niska specifikationer och som ställt på en vara och påverkar varans livscykel efter det att den har släppts ut på marknaden, till exempel villkor för användning, återvinning, återanvändning eller omhändertagande, om dessa krav på ett väsentligt sätt kan påverka varans samman- sättning, natur eller saluföringen av den. 97Med föreskrifter som informationssamhällets tjänster avses, enligt 2 § förordningen om tek- niska regler, krav av allmän art rörande tillträde till och utövande av verksamhet med inform- ationssamhällets tjänster, särskilt bestämmelser om dem som tillhandahåller tjänster, tjänster och tjänstemottagare, med undantag för föreskrifter som inte särskilt avser informations- samhällets tjänster eller som endast indirekt träffar sådana tjänster. Med informationssam- hällets tjänster avses, enligt 2 § förordningen om tekniska regler, tjänster som vanligtvis utförs mot ersättning under förutsättning att tjänsterna tillhandahålls a) utan att parterna är närvarande (på distans), b) genom att sändas vid utgångspunkten och tas emot vid slutpunkten med hjälp av utrust- ning för elektronisk behandling och lagring av uppgifter, och som i sin helhet sänds, be- fordras och tas emot genom tråd, radio, optiska medel eller andra elektromagnetiska medel (på elektronisk väg), och c) genom överföring av uppgifter på individuell begäran av en tjänstemottagare. c)föreskrifter som förbjuder tillverkning, import, saluföring eller användning av en vara. Förordningen gäller med undantag för tekniska regler som enbart genomför bindande gemenskapsrättsakter eller för vissa av inform- ationssamhällets tjänster som avser radio- eller televisionssänd- ningar riktade till allmänheten. När en anmälan görs påbörjas i regel en frysningstid under vilken den tekniska föreskriften inte får antas. Kommissionen och medlemsstaterna har möjlighet att lämna syn- punkter på förslagen och påverka dem. I vissa fall kan sådana reaktioner förlänga frysningstiden. En föreskrift som har anmälts enligt direktivet men antagits innan frysningstiden har löpt ut kan inte göras gällande gentemot enskild. Att en medlemsstat under- låter att anmäla ett förslag som enligt direktivet ska anmälas eller underlåter att beakta frysningstiderna kan även utgöra skäl för kommissionen att inleda ett överträdelseförfarande enligt artikel 258 i fördraget om Europeiska unionens funktionssätt. Den svenska staten kan bli skadeståndsskyldig för fel och försummelse vid myndighetsutövning enligt 3 kap. 2 § skadeståndslagen (1972:207) vid sådan underlåtenhet.98 Utebliven anmälan betyder att föreskriften är ogiltig enligt praxis.99 5.3.2E-hälsa och arkitektur på EU-nivå Inom EU har arbete med e-hälsofrågor pågått länge och många initiativ har tagits, inte minst när det gäller frågor om arkitektur, interoperabilitet och infrastruktur. antog en första samlad handlingsplan för e- hälsa 2004 för perioden –2012.100 I handlingsplanen, som också var utgångspunkten för medlemsländernas respektive e-hälso- strategier, betonar kommissionen vikten av att möta gemensamma utmaningar, om ledarskap och om behovet av ett ramverk för e-hälsa. Kommissionen pekar också på behovet av standarder som medel för 98SOU 2010:98, Gårdsförsäljning, s. 47. 99C-194/94 ”CIA-Security” [1196] . 100EU-kommissionen (2004), e-Health - making healthcare better for European citizens: An action plan for a European e-Health Area. att hantera problem med interoperabilitet samt vikten av ett erfarenhetsutbyte mellan medlemsländerna i frågor om standarder och open-source-lösningar. Sedan den första handlingsplanen har ett antal initiativ tagits av EU-kommissionen.101 Direktivet om tillämpningen av patienträttig- heter vid gränsöverskridande hälso- och sjukvård, patientrörlighets- direktivet, tar upp frågan att medlemsstaterna måste sträva efter kompatibilitet mellan IKT-system (implementerades i genom prop. 2012/13:150). Eftersom detta formellt är en fråga för respektive stat krävs det att kommissionen och medlemsstaterna arbetar tillsammans för att utveckla åtgärder som inte är rättsligt bindande, men som tillhandahåller verktyg som medlemsstaterna kan använda för att underlätta större kompatibilitet. Vidare anförs i direktivet att ett frivilligt e-hälsonätverk bildas. Nätverket ska bland annat utarbeta riktlinjer för exempelvis metoder för utnyttj- ande av medicinsk information för forskning samt stödja medlems- staterna vid utarbetande av gemensamma åtgärder för identifiering och autentisering. Enligt är e-hälsonätverket den aktör på EU-nivå som bör användas för gemensamt arbete kring interoperabilitet.102 antog en ny handlingsplan för perioden –2020.103 Där beskrivs ett antal hinder, däribland bristen på tillit till e-hälsolösningar från medborgare, patienter och professioner, bristande interoperabilitet mellan e-hälsolösningar och oklarheter kring legala förutsättningar för hälsoapplikationer. pekar också på användningen av europeiska och internationella standarder som ett sätt att garantera interoperabili- tet mellan informationssystem. De fyra dimensioner av interoperabilitet som vi beskrivit ovan och som också E-delegationen utgår ifrån härstammar från det euro-