sou · H5B366 · 2017-08-31 00:00:00 — Det kan vara fråga om bestämmelser om sökbegränsningar, restriktioner för elektronisk åtkomst, behörighetstilldelning och loggkontroll, restrik- tioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen osv. Det är mot den bakgrunden utredningens bedömning att register- författningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller kravet i dataskyddsförordningen på lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestämmelser som tillåter behandling av känsliga personupp- gifter av hänsyn till ett viktigt allmänt intresse finns också i författ- ningar som i huvudsak innehåller reglering av en viss verksamhet men som i anlutning till den regleringen också anger vad som gäller i fråga om viss behandling av personuppgifter. När det gäller sådana författningar är det inte lika självklart att det regelmässigt finns uttryckliga bestämmelser om skyddsåtgärder. En bedömning av om sådana bestämmelser finns måste därför göras i dessa fall. Allmänt om befintliga bestämmelser 9.11.4Undantag för hälso- och sjukvård samt social omsorg Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter inom hälso- och sjukvård samt inom social omsorg är förenliga med data- skyddsförordningen och kan och bör behållas. Dessa registerförfattningar bör kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i dataskydds- förordningen på att känsliga personuppgifter endast får behand- las av eller under ansvar av den som omfattas av tystnadsplikt. Behandling av känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförordningen ske om den är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagno- ser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälso- området. Motsvarande bestämmelse finns i artikel 8.3 i dataskyddsdirektivet. Där anges att känsliga personuppgifter får behandlas när behand- lingen är nödvändig med hänsyn till förebyggande hälso- och sjuk- vård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård. De verksamheter som avses Några ytterligare verksamhetstyper – förebyggande yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, social omsorg och förvaltning av social omsorg och av deras system – har alltså lagts till i undantaget för hälso- och sjukvård m.m. i dataskydds- förordningen, i jämförelse med regleringen i dataskyddsdirektivet. Detta är en utvidgning jämfört med dataskyddsdirektivet. En nyhet är alltså att social omsorg lagts till. Vad som avses med social omsorg framgår inte av dataskyddsförordningen. Dataskydds- utredningen anger att det sannolikt är uppgifter som utförs av Allmänt om befintliga bestämmelser som omfattas av begreppet.25 Utredningen instäm- mer i den bedömningen och anser att social omsorg innefattar så- dan verksamhet som avses i 2 § lagen (2001:454) om behandling av personuppgifter inom . Begreppet vård eller behandling har ersatts med begreppet till- handahållande av hälso- och sjukvård. Skälen till dataskyddsförord- ningen ger inte någon ledning i frågan om någon ändring i sak är avsedd. Enligt utredningens bedömning får begreppet tillhanda- hållande av hälso- och sjukvård anses innefatta det som avses med vård eller behandling enligt dataskyddsdirektivet. Begreppet administration av hälso- och sjukvård har ersatts med förvaltning av hälso- och sjukvårdstjänster och deras system. I skäl 53 till dataskyddsförordningen finns det en uppräkning av vad som ska anses innefattas i detta begrepp: […] behandling som utförs av förvaltningen och centrala nationella hälsovårdsmyndigheter av sådana uppgifter för syften som hör sam- man med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gränsöverskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med över- vakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål som baseras på unionsrätten eller på medlemsstaternas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet. Mot bakgrund av den ganska omfattande uppräkningen synes i vart fall det som innefattades i begreppet administration av hälso- och sjukvård omfattas. Eftersom uppräkningen av verksamheter inte har inskränkts utan utökats i förhållande till dataskyddsdirektivets reglering, är tidigare bedömningar av vilka verksamheter det är tillåtet att göra undantag för fortfarande relevanta. I förarbeten angående läke- medelslagstiftningen har det ansetts rimligt att inte ge bestämmelsen i 18 § första stycket personuppgiftslagen, som innehåller samma uppräkning som i dataskyddsdirektivet, en alltför snäv räckvidd varvid det har angetts att även aktiviteter med bäring på hälso- och 25 SOU 2017:39 s. 184. Allmänt om befintliga bestämmelser sjukvård utanför det primära vårdområdet måste kunna inbegripas.26 Det har vidare i litteraturen ansetts att uppräkningen av syften i 18 § första stycket personuppgiftslagen i praktiken torde täcka nästan all behandling av personuppgifter som förekommer inom hälso- och sjukvårdsområdet.27 I förarbetena till lagen om receptregister, som förs bl.a. för ändamålet att registrera underlag för tillämp- ningen av bestämmelserna om läkemedelsförmåner, har det dock ansetts osäkert om 18 § personuppgiftslagen ger tillräckligt stöd för den behandling som avses i den lagen.28 Formuleringen i dataskyddsdirektivet om att behandlingen ska vara nödvändig med hänsyn till de i artikeln uppräknade verksam- heterna har i dataskyddsförordningen ersatts med att behandlingen ska vara nödvändig av skäl som hör samman med dessa verksam- heter. Av skäl 53 till dataskyddsförordningen framgår att avsikten är att harmonisera villkoren för behandling av uppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen utförs för vissa hälsorelaterade syften. Den ändrade formuleringen tydliggör att behandlingen måste ske för ändamål som hör samman med någon av dessa verksamheter. Artikel 9.2 h i dataskyddsförordningen verkar enligt ordalagen inte förutsätta någon nationell reglering förutom själva grundvalen för den aktuella verksamheten, vilket förefaller naturligt eftersom det i alla medlemsstater ju, i enlighet med bl.a. rättighetsstadgan (se av- snitt 9.8.2), bedrivs hälso- och sjukvård och social omsorg och då sådan verksamhet till sin natur gör det nödvändigt att behandla känsliga personuppgifter på ett sätt som omfattas av dataskydds- förordningen. Ordalydelsen i artikel 9.2 h i dataskyddsförordningen förefaller alltså inte kräva att undantaget i sig måste föreskrivas i nationell rätt. I finns det redan författningar som reglerar hälso- och sjukvårdsverksamhet, bl.a. hälso- och sjukvårdslagen (2017:30) och patientsäkerhetslagen (2010:659). 2005/06:70 s. 144. 27Öman & , Personuppgiftslagen (, Zeteo), kommentaren till 18§ under rubriken för hälso- och sjukvårdsändamål – första stycket. 2008/09:145 s. 305. Allmänt om befintliga bestämmelser området social omsorg regleras bl.a. av socialtjänstlagen (2001:453). Den reglering som redan finns av hälso- och sjukvårdsverksamhet och verksamhet inom social omsorg synes uppfylla kraven enligt ordalagen i artikel 9.2 h i dataskyddsförordningen på att själva sak- verksamheten – hälso- och sjukvården och den sociala omsorgen – ska ha sin grundval i nationell rätt. Även om det skulle anses att artikel 9.2 h kräver att det finns nationella bestämmelser som tillå- ter själva behandlingen av känsliga personuppgifter inom hälso- och sjukvården och den sociala omsorgen29, är också det kravet redan uppfyllt genom befintlig reglering. Registerförfattningarna på de berörda områdena innehåller nämligen uttryckliga bestämmel- ser om att känsliga personuppgifter, eller alla slags personuppgifter inklusive känsliga, får behandlas under vissa förutsättningar. Bedrivandet av hälso- och sjukvård och social omsorg får utan vidare anses vara en arbetsuppgift av allmänt intresse (se av- snitt 9.8.2), som i vissa fall också är förknippad med rättsliga för- pliktelser. De bestämmelser i registerförfattningar som tillåter be- handling av känsliga personuppgifter inom hälso- och sjukvården och inom social omsorg får enligt utredningens bedömning därför anses, om inte nödvändiga så ändå, tillåtna som nationella preciser- ingar med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de enbart avser en myndighets behandling av person- uppgifter (se avsnitt 9.2 och 9.3). En ytterligare förutsättning för att behandling av känsliga person- uppgifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten är att uppgifterna enligt artikel 9.3 i dataskydds- förordningen behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt. Detta är, i vart fall i förhållande till den svenska versionen av dataskyddsdirektivet, en inskränkning jämfört med vad som gäller i dag.30 Dataskydds- 29Jämför SOU 2017:39 s. 162–165 och skäl 52 till dataskyddsförordningen. 30Det har dock framförts synpunkter på att den svenska versionen av direktivet är fel- översatt, se SOU 2006:82 s. 175 och i Förvaltningsrättslig tidskrift 2003 s. 112. Av den engelska versionen framgår att kravet på tystnadsplikt gäller utöver att behandlingen ska ske för de angivna syftena. Allmänt om befintliga bestämmelser direktivet anger i stället den omständigheten att uppgifterna be- handlas av någon som omfattas av tystnadsplikt som en självständig grund för behandling av känsliga personuppgifter. Syftet med artikel 9.3 i dataskyddsförordningen får antas vara att de personer i bl.a. hälso- och sjukvårdsverksamhet som tar del av – dvs. behandlar – känsliga personuppgifter ska ha tystnadsplikt enligt t.ex. nationell rätt, eller i vart fall arbeta under någon som har sådan tystnadsplikt. Den fysiska personen behöver inte själv vara personuppgiftsansvarig. Däremot måste den personuppgiftsansva- rige se till att en person som omfattas av tystnadsplikt är den som antingen själv behandlar uppgifterna eller åtminstone ansvarar för behandlingen. Bestämmelser om tystnadsplikt för personer verksamma inom hälso- och sjukvården finns redan i t.ex. 25 kap. offentlighets- och sekretesslagen (2009:400) och patientsäkerhetslagen (2010:659). Tyst- nadsplikten enligt patientsäkerhetslagen omfattar hela hälso- och sjukvårdspersonalen enligt den vida definitionen i 1 kap. 4 § patient- säkerhetslagen. För författningsreglerad social omsorg i offentlig och privat regi gäller sekretess enligt 26 kap. offentlighets- och sekretesslagen, 15 kap. socialtjänstlagen (2001:453) och 29 § lagen (1993:387) om stöd och service till vissa funktionshindrade. Det finns således redan tystnadsplikt enligt författning. Det kan inte anses ankomma på utredningen att föreslå nya bestämmelser om tystnadsplikt. Kravet i artikel 9.3 i dataskyddsförordningen på tystnadsplikt enligt bl.a. nationell rätt är direkt tillämpligt. Någon ytterligare författningsbestämmelse behövs därför inte med anledning av data- skyddsförordningen. Utredningen anser emellertid att den natio- nella regleringen blir tydligare om kravet framgår också av berörda registerförfattningar. Bestämmelser som påminner om det kravet bör därför tas in i registerförfattningar för hälso- och sjukvårds- området och som tillåter behandling av känsliga person- uppgifter med stöd av undantaget i artikel 9.2 h i dataskyddsförord- ningen. Hänvisningen till artikel 9.3 i dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom det rör sig om en ren upplysning om att en annan, direkt tillämplig, bestämmelse gäller. Allmänt om befintliga bestämmelser Enligt artikel 9.2 i i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet. Det ska då ske på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. Dataskyddsdirektivet innehåller inte någon bestämmelse som sär- skilt tar sikte på folkhälsoområdet. Behandling av känsliga person- uppgifter på folkhälsoområdet sker med stöd av bestämmelser som har sin grund i artikel 8.4 (allmänt intresse) eller artikel 8.3 (hälso- och sjukvård) i dataskyddsdirektivet. I artikel 9.2 i i dataskyddsförordningen ges exempel på behandling som är nödvändig av skäl av allmänt intresse på folkhälsoområdet. Det kan enligt artikeln röra sig om behov av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller att säkerställa höga kvalitets- och säkerhetsnormer för vård och läke- medel eller medicintekniska produkter. Av skäl 54 till dataskydds- förordningen framgår att begreppet folkhälsa bör tolkas enligt definitionen i och rådets förordning (EG) nr 1338/2008, nämligen så att det avser alla aspekter som rör hälso- situationen, dvs. allmänhetens hälsotillstånd, inbegripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjuk- vårdsbehov, resurser inom hälso- och sjukvården, tillhandahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker. Artikel 9.2 i i dataskyddsförordningen innehåller ett krav på att behandlingen av personuppgifter ska ske på grundval av unions- rätten eller medlemsstaternas nationella rätt. Ordalydelsen i arti- kel 9.2 i i dataskyddsförordningen förefaller, i likhet med vad ut- redningen anfört i avsnitt 9.11.4 angående hälso- och sjukvårds- undantaget, inte kräva att undantaget i sig föreskrivs i nationell rätt. Enligt utredningens bedömning synes kravet på att behandlingen av personuppgifter ska ske på grundval av unionsrätten eller medlems- staternas nationella rätt vara uppfyllt om själva sakverksamheten – den verksamhet som motiverar behandling av personuppgifter – regleras i nationell rätt. I vart fall måste, enligt utredningens be- dömning, en reglering i registerförfattning av när själva behand- Allmänt om befintliga bestämmelser lingen av känsliga personuppgifter får ske på folkhälsoområdet uppfylla kravet på grundval i nationell rätt. Därutöver ska det i den nationella rätten ha fastställts lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter, särskilt tyst- nadsplikt. Vad lämpliga och specifika skyddsåtgärder kan bestå i framgår av avsnitt 9.16.2. Oavsett hur kravet på att behandlingen ska ske på grundval av nationell rätt ska tolkas bedömer utredningen att det inte är oförenligt med dataskyddsförordningen att reglera ett undantag som grundar sig på artikel 9.2 i i dataskyddsförord- ningen i nationell lagstiftning.31 Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av folkhälsoundantaget får enligt utredningens bedömning nämligen anses, om inte nödvändiga så ändå, tillåtna som nationella preci- seringar enligt artikel 6.2 och 6.3 i dataskyddsförordningen, under förutsättning att den behandling av personuppgifter som regleras i registerförfattningen sker med stöd av artikel 6.1 c eller e i data- skyddsförordningen, eller därför att de enbart avser en myndighets behandling av personuppgifter (se avsnitt 9.2 och 9.3). 9.11.6Fler uppgifter blir känsliga personuppgifter Utredningens bedömning: Bestämmelser i särskilda register- författningar som tillåter att alla kategorier av känsliga person- uppgifter enligt nuvarande definition får behandlas bör avse alla kategorier av känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av käns- liga personuppgifter enligt nuvarande definition bör däremot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter. Bara om det är nöd- vändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten, bör någon eller några av de nya kate- gorierna få behandlas. Bestämmelser i särskilda registerförfattningar om s.k. skydds- åtgärder med restriktioner för behandling av känsliga person- 31 Jämför SOU 2017:39 s. 162–165 och 188 samt skäl 52 till dataskyddsförordningen. Allmänt om befintliga bestämmelser uppgifter enligt nuvarande definition bör som utgångspunkt utvidgas till att avse också de nya kategorierna av känsliga personuppgifter. Bara om det är nödvändigt för en ändamåls- enlig behandling av personuppgifter i den aktuella verksamheten att skyddsåtgärderna inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. Dataskyddsförordningen innebär att fler kategorier av uppgifter än enligt dataskyddsdirektivet blir att betrakta som känsliga person- uppgifter, som det enligt huvudregeln är förbjudet att behandla. Genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person samt uppgifter om sexuell läggning har till- kommit som nya kategorier i dataskyddsförordningen. Som anges i avsnitt 7.5 är det dock utredningens bedömning att flera av de uppgifter som ryms inom de nya kategorierna är att betrakta som känsliga personuppgifter, eftersom de ryms inom någon av de nuvarande kategorierna. Kategorierna av känsliga person- uppgifter kommer därmed i viss mån att överlappa varandra. Tillägget av nya kategorier medför dock en begränsning av möjlig- heterna att behandla personuppgifter i jämförelse med vad som gäller enligt dataskyddsdirektivet för sådana uppgifter som inte redan omfattas av någon av de befintliga kategorierna av känsliga personuppgifter. De personuppgifter som ryms inom de nya kate- gorierna kommer, liksom övriga kategorier av känsliga personupp- gifter, endast att få behandlas under de förutsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförordningen. Bestämmelser som tillåter behandling av känsliga personuppgifter Är enligt registerförfattningen behandling av samtliga kategorier av känsliga personuppgifter, enligt nuvarande definition, tillåten, bör enligt utredningens mening behandling också av de nya kategori- erna tillåtas utan vidare utredning om behovet. Har det vid infö- randet av registerförfattningen gjorts bedömningen att alla slags personuppgifter (utom möjligen uppgifter om lagöverträdelser) får behandlas om det är nödvändigt med hänsyn till ändamålen, bör nämligen den bedömningen godtas. Allmänt om befintliga bestämmelser I de fall en registerförfattning tillåter behandling endast av någon eller några av kategorierna av känsliga personuppgifter, bör däremot utgångspunkten vara att behandling av de nya kategori- erna inte ska tillåtas. Om det är nödvändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten, bör dock även någon eller några av de nya kategorierna av uppgifter få behandlas. En bedömning av om det är nödvändigt att behandla de nya kategorierna av känsliga personuppgifter behöver alltså göras i förhållande till den verksamhet som är aktuell. I några av de för- fattningar som ingår i utredningens översyn finns det bestämmelser som innebär att, i fråga om känsliga personuppgifter, endast upp- gifter som rör hälsa får behandlas. Som anges ovan kan de nya kate- gorierna av känsliga personuppgifter i vissa fall även utgöra upp- gifter om hälsa. Om utredningen kommer fram till att det i en verksamhet är nödvändigt att behandla de nytillkomna kategori- erna, behöver därför en bedömning också göras av om det är till- räckligt att i bestämmelsen förtydliga att även sådana nya katego- rier som utgör en uppgift om hälsa får behandlas. Bestämmelser om skyddsåtgärder för känsliga personuppgifter De skyddsåtgärder som förekommer i registerförfattningarna är ibland begränsade till att avse behandling av känsliga personupp- gifter eller vissa av de nuvarande kategorierna av känsliga person- uppgifter, t.ex. i fråga om sökbegränsningar. Enligt utredningens bedömning bör utgångspunkten vara att även de nya kategorierna av känsliga personuppgifter ska omfattas av dessa skyddsåtgärder. Bara om det är nödvändigt för en ändamålsenlig behandling av per- sonuppgifter i den aktuella verksamheten att befintliga skydds- åtgärder inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. En bedömning av om det är nödvän- digt behöver alltså göras i förhållande den verksamhet som är aktu- ell. Om utredningen kommer fram till att det i en verksamhet är nödvändigt att befintliga skyddsåtgärder inte omfattar några av de nytillkomna kategorierna, behöver en bedömning också göras av om det är tillräckligt att i bestämmelsen, på samma sätt som beskri- vits ovan, förtydliga att bara sådana nya kategorier som utgör en uppgift om hälsa omfattas. Allmänt om befintliga bestämmelser Hänvisa till definitionen i dataskyddsförordningen För att definiera vilka kategorier av personuppgifter som är att anse som känsliga personuppgifter, bör en hänvisning göras till arti- kel 9.1 i dataskyddsförordningen. En sådan hänvisning bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestäm- melsen, eftersom terminologin som används i den nationella regler- ing som kompletterar dataskyddsförordningen lämpligen bör följa den begreppsutveckling som sker inom unionen, även vid en even- tuell ändring av uttryckliga definitioner i dataskyddsförordningen. Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör behållas. Myndigheters möjligheter att behandla så- dana uppgifter påverkas inte av dataskyddsförordningen. Bestämmelser i registerförfattningar som begränsar möjlig- heten att behandla uppgifter om lagöverträdelser enligt nuva- rande definition kan och bör behållas. Omfattar bestämmelsen enskildas behandling, måste det dock först konstateras att be- handlingen grundar sig på artikel 6.1 c eller e i dataskyddsför- ordningen. I annat fall är det endast tillåtet att begränsa behand- ling av sådana uppgifter om lagöverträdelser som omfattas av den nya definitionen i artikel 10 i dataskyddsförordningen. Av artikel 10 i dataskyddsförordningen framgår att behandling av personuppgifter som rör fällande domar i brottmål och överträdel- ser eller därmed sammanhängande säkerhetsåtgärder enligt arti- kel 6.1 endast får utföras under kontroll av myndighet eller då be- handling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Det framgår också att ett fullstän- digt register över brottmålsdomar endast får föras under kontroll av en myndighet. Bestämmelsen i dataskyddsförordningen skiljer sig något från artikel 8.5 i dataskyddsdirektivet. Enligt dataskyddsdirektivet får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller Allmänt om befintliga bestämmelser säkerhetsåtgärder utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med för- behåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Dataskyddsdirektivets reglering omfattar således även uppgifter om friande brottmålsdomar.