sou · H5B366 · 2017-08-31 00:00:00 — Sammantaget konstaterar utredningen att bestämmelserna i lagen om hälsodataregister och anknytande förordningar om vilka person- uppgifter som får behandlas i registren inte behöver ändras. 11.6.7Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Möjligheten att invända mot att per- sonuppgifter som behandlas i register hos över läkemedel som lämnats ut från apotek i är förenlig med dataskyddsförordningen. Någon ändring bör därför inte göras i 5 § förordningen om register hos över läkemedel som lämnats ut från apotek i . I 5 § förordningen om register hos över läkemedel som lämnats ut från apotek i anges att personupp- gifter inte får behandlas i registret om den registrerade motsätter sig det. Om den enskilde motsätter sig behandlingen av person- uppgifter sedan den påbörjats, ska uppgifterna utplånas ur registret . Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter när det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse (se vidare avsnitt 9.15.1). Den personuppgifts- ansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och fri- heter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. I det här fallet har regeringen ansett att den regi- strerades intressen väger tyngre än intresse av att Författningar som reglerar ett register eller en informationssamling samla in uppgifter till ett register. Ett sådant ställningstagande är fullt förenligt med dataskyddsförordningen och begränsar bara vad en myndighet får göra. Bestämmelsen i 5 § förordningen om regis- ter hos över läkemedel som lämnats ut från apotek i behöver därmed inte ändras. Utredningens bedömning: Någon ändring av bestämmelserna om begränsningar och krav på behandling av personuppgifter i 5 och 7–9 §§ lagen om hälsodataregister behövs inte med anled- ning av dataskyddsförordningen. Bestämmelserna i 5 och 7–9 §§ lagen om hälsodataregister, som anger när personuppgifter får hämtas till registret genom samkör- ning, vilka uppgifter som får användas som sökbegrepp och vad som gäller i fråga om direktåtkomst och utlämnande på medium för automatiserad behandling, är att anse som uttryck för dataskydds- förordningens princip om uppgiftsminimering och som säkerhets- åtgärder/skyddsåtgärder enligt dataskyddsförordningen. Sådana be- gränsningar och krav för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av dataskyddsförordningen. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i natio- nell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i dataskyddsförordningen. Utredningens bedömning: Bestämmelserna om uppgiftsskyldig- heter i lagen om hälsodataregister och de tillhörande förord- ningarna behöver inte ändras med anledning av dataskyddsför- ordningen. Författningar som reglerar ett register eller en informationssamling Enligt 6 § lagen om hälsodataregister ska den som bedriver verk- samhet inom hälso- och sjukvården lämna uppgifter till ett hälso- dataregister för de ändamål som anges i 3 § samma lag. I 12 § 5 samma lag bemyndigas regeringen att meddela föreskrifter om uppgiftsskyldighet enligt 6 §. Sådana föreskrifter om uppgiftsskyldig- het finns i 6 § förordningen om patientregister hos , 6 § förordningen om medicinskt födelseregister hos Socialstyrel- sen, 6 § förordningen om cancerregister hos , 5 § förordningen om register hos över insatser inom den kommunala hälso- och sjukvården och 5 § förordningen om tandhälsoregister hos . I anslutning till uppgiftsskyl- digheterna bemyndigas också att utfärda föreskrifter om hur uppgiftsskyldigheten ska fullgöras. Uppgiftsskyldigheter är, i enlighet med vad utredningen kon- staterat i avsnitt 9.21, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet och bör inte ändras med anledning av dataskyddsförordningen. Det ankommer inte på utredningen att bedöma om viss reglering är förenlig med regeringsformen10. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansva- rige beakta den reglering om dataskydd som finns i bl.a. dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyndigandena i de nu berörda bestämmelserna kan därmed be- hållas. Utredningens bedömning: Upplysningsbestämmelsen i 10 § lagen om hälsodataregister påverkas inte av dataskyddsförordningen. I 10 § lagen om hälsodataregister lämnas en upplysning om att det i offentlighet- och sekretesslagen (2009:400) finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter. Bestämmelsen påverkas inte av dataskyddsförordningens bestämmelser. 10 Jämför SOU 2014:45 s. 244. Författningar som reglerar ett register eller en informationssamling 11.6.11 Rättelse och skadestånd Utredningens förslag: Bestämmelserna i 11 § lagen om hälso- dataregister och i 6 § förordningen om register hos Socialstyrel- sen över läkemedel som lämnats ut från apotek i , som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd, upphävs. Bestämmelser med hänvisningar till personuppgiftslagens bestäm- melser om rättelse och skadestånd bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas. 11.6.12 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i för- ordningarna om hälsodataregister som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskydds- förordningen behålls. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen. I de olika förordningarna om hälsodataregister finns genomgående bestämmelser om vilken information ska lämna till den registrerade och till allmänheten. Det rör sig om 7 § förord- ningen om patientregister hos , 7 § förordningen om medicinskt födelseregister hos , 7 § förordningen om cancerregister hos , 6 § förordningen om läke- medelsregister hos , 6 § förordningen om register hos över insatser inom den kommunala hälso- och sjuk- vården, 6 § förordningen om tandhälsoregister hos och 7 § förordningen om register hos över läke- medel som lämnats ut från apotek i . Bestämmelserna är preciseringar av 25 § första stycket c personuppgiftslagen. I avsnitt 9.15.1 finns en redogörelse för dataskyddsförordning- ens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Den information ska lämna till den registrerade enligt förordningarna om hälsodata- Författningar som reglerar ett register eller en informationssamling register är i huvudsak densamma som den personuppgiftsansvarige ska lämna enligt dataskyddsförordningen. Informationsskyldigheten i förordningarna om hälsodataregister innebär dock att ett antal upplysningar som inte omfattas av dataskyddsförordningens reg- lering ska lämnas, nämligen innebörden och omfattningen av det sekretess- och säkerhetsskydd som gäller för registret samt infor- mation om vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns också ett antal krav på upplysningar i dataskyddsförordningen som inte anges i förordningarna om hälsodataregister. De bestämmelser i förordningarna om hälsodataregister som föreskriver att mer information än vad som krävs enligt data- skyddsförordningen ska lämnas, kan i enlighet med utredningens ställningstagande i avsnitt 9.15.1 behållas, eftersom den person- uppgiftsansvarige, , är en myndighet. Det har inte framkommit att det skulle innebära några beaktansvärda svårig- heter för personuppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförordningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför som anges i avsnitt 9.15.2 inte anledning att överväga en begränsning av de registrerades nya rättigheter. Slutsatsen blir därför att ska lämna den informa- tion som följer av dataskyddsförordningen och den ytterligare in- formation som ska lämnas enligt förordningarna om hälsodata- register. Detta bör regleras genom en bestämmelse i respektive för- ordning som kompletterar och hänvisar till dataskyddsförordning- ens reglering på det sätt som anges i avsnitt 9.15.1. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort. Bestämmelsen om information som ska lämnas till allmänheten påverkas inte av dataskyddsförordningen. Författningar som reglerar ett register eller en informationssamling 11.7Lagen (2012:453) om register över nationella vaccinationsprogram Utredningens bedömning: Inga förändringar krävs av tillämp- ningsområdet enligt 1 och 2 §§ lagen om register över nationella vaccinationsprogram. I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen och därför inte bör ändras. Bestämmel- serna i 1 och 2 §§ lagen om register över nationella vaccinations- program bör därmed inte ändras med anledning av att dataskydds- förordningen börjar tillämpas. 11.7.2Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 3 § lagen om register över nationella vaccinationsprogram ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om register över nationella vaccinationsprogram eller föreskrifter som har meddelats med stöd av den. Bestämmelsen i 3 § lagen om register över nationella vaccinations- program om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. Författningar som reglerar ett register eller en informationssamling 11.7.3Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 4 § lagen om regis- ter över nationella vaccinationsprogram kan och bör även fort- sättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Enligt 4 § lagen om register över nationella vaccinationsprogram får behandling av personuppgifter som är tillåten enligt samma lag utföras även om den enskilde motsätter sig behandlingen. Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Behandling av personuppgifter för de ändamål som anges i lagen om register över nationella vaccinationsprogram grundar sig huvudsakligen på arbetsuppgifter av allmänt intresse (se av- snitt 11.7.5 nedan). Bestämmelsen i 4 § lagen om register över natio- nella vaccinationsprogram utgör alltså en begränsning av rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen. En sådan bestämmelse förutsätter, i enlighet med vad som fram- går av avsnitt 9.15.2, att de villkor för en begränsning av den registrerades rättigheter som anges i artikel 23 i dataskyddsförord- ningen är uppfyllda. Vilka villkoren är framgår av det avsnittet. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. hälso- och sjukvård, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskydds- förordningen. möjliggör bl.a. en hel- täckande och kvalitetssäker nationell övervakning av vaccinations- täckning, skyddseffekt, vaccinsvikt och biverkningar, snabbare åter- koppling och åtgärder i områden med låg vaccinationstäckning och Författningar som reglerar ett register eller en informationssamling högkvalitativ epidemiologisk forskning. Detta får anses vara sådana viktiga mål av generellt allmänt intresse för folkhälsan som avses i artikel 23.1 i dataskyddsförordningen. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i dataskyddsförordningen är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. En möjlighet att invända mot behandling av personuppgifter skulle motverka hela syftet med registret. Begränsningen får därför anses nödvändig och propor- tionell och kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna. De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i övrigt i lagen om register över nationella vaccina- tionsprogram. Utredningen bedömer därmed att 4 § lagen om register över nationella vaccinationsprogram även fortsättningsvis kan innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § lagen om register över nationella vaccinations- program kan och bör behållas. Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. Författningar som reglerar ett register eller en informationssamling 11.7.5Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 6 § andra stycket andra meningen lagen om register över nationella vaccinationsprogram tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförord- ningen som ger uttryck för finalitetsprincipen. Utredningens bedömning: Ändamålen i 6 § lagen om register över nationella vaccinationsprogram uppfyller de krav som gäller enligt dataskyddsförordningen och bör inte ändras. Av 6 § första stycket lagen om register över nationella vaccina- tionsprogram framgår att personuppgifter får behandlas för fram- ställning av statistik, uppföljning, utvärdering och kvalitetssäkring av nationella vaccinationsprogram, samt forskning och epidemiolo- giska undersökningar. Behandling av personuppgifter för dessa ändamål grundar sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Personuppgifter som behandlas för de ändamål som anges i 6 § första stycket lagen om register över nationella vaccinationsprogram får enligt andra stycket också behandlas för att fullgöra uppgifts- utlämnande som sker i överensstämmelse med lag eller förordning. Uppgiftsutlämnande utgör huvudsakligen en arbetsuppgift av all- mänt intresse, men skulle även kunna utgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen, om uppgiftsutlämnandet grundar sig på en uppgiftsskyldighet. Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som utredningen konstaterat i av- snitt 9.10.1. Bestämmelserna i lagen om register över nationella vaccinationsprogram uppfyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Behandling av personuppgifter för de i 6 § lagen om register över nationella vaccinationsprogram angivna ändamålen är därmed förenlig med dataskyddsförordningen. Författningar som reglerar ett register eller en informationssamling I 6 § andra stycket lagen om register över nationella vaccinations- program anges också att 9 § första stycket d och andra stycket person- uppgiftslagen (finalitetsprincipen) gäller. Hänvisningen syftar till att klargöra att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Hänvisningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Eftersom personuppgiftslagen kommer att upphävas, måste hän- visningen till bestämmelsen om finalitetsprincipen i den lagen ändras. Det bör ske i enlighet med vad som redovisas i avsnitt 9.10.3. 11.7.6Personuppgifter som får behandlas Utredningens bedömning: Uppräkningen i 7 § lagen om regis- ter över nationella vaccinationsprogram av vilka personuppgifter som får behandlas i registret kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas I 7 § lagen om register över nationella vaccinationsprogram anges vilka personuppgifter som får behandlas i registret. Bestämmelsen kan sägas utgöra en precisering av principen om uppgiftsminimer- ing enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behöver behandlas i registret har gjorts vid tidigare lagstiftningsarbeten och behöver inte göras på nytt. Medlemsstaterna tillåts som redan framgått att införa sådana preci- seringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndig- hets möjligheter till behandling av personuppgifter. Bestämmelsen kan och bör därför behållas. Författningar som reglerar ett register eller en informationssamling En del av uppgifterna i registret har bedömts vara känsliga person- uppgifter enligt 13 § personuppgiftslagen.11 Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirek- tivet är i enlighet med vad utredningen konstaterat i avsnitt 9.11.3 förenliga med artikel i dataskyddsförordningen och kan och bör behållas. Det är troligt att behandlingen i vaccinationsregistret tillåtits med stöd av artikel 8.4 i dataskyddsdirektivet, eftersom den behövs med hänsyn till ett viktigt allmänt intresse, och inte med stöd av artikel 8.3 i dataskyddsdirektivet om bl.a. förebyggande hälso- och sjukvård. I artikel 9.2 i i dataskyddsförordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter som avser folk- hälsoområdet. Som framgår av det avsnittet är behovet av att säker- ställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av arti- keln. Skälen överensstämmer med de ändamål som framgår av 6 § lagen om register över nationella vaccinationsprogram och undan- taget i artikel 9.2 i i dataskyddsförordningen bedöms därför relevant att tillämpa. verksamhet med det nationella vaccina- tionsregistret omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). Den regleringen tillsammans med bestämmelserna i lagen om register över nationella vaccinations- program är enligt utredningens bedömning tillräcklig för att till- godose kravet på skyddsåtgärder i artikel 9.2 i i dataskyddsförord- ningen. Registret förs på grundval av nationell lagstiftning vilket också är ett krav enligt den artikeln. Eftersom känsliga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter, påverkar det inte den nu aktuella regleringen att det, som anges i avsnitt 9.11.6, har till- kommit nya kategorier av känsliga personuppgifter. 2011/12:123 s. 67. Författningar som reglerar ett register eller en informationssamling Behandlingen av känsliga personuppgifter i registret över natio- nella vaccinationsprogram kan således fortsättningsvis ske i samma omfattning som . Registret innehåller även uppgift om personnummer. Som anges i avsnitt 9.13 finns det inga hinder mot att i lagen om register över nationella vaccinationsprogram ange att personnummer ska behandlas i det aktuella registret. Utredningens bedömning: Bestämmelsen i 8 § lagen om regis- ter över nationella vaccinationsprogram behöver inte ändras med anledning av dataskyddsförordningen. Enligt 8 § lagen om register över nationella vaccinationsprogram ska den vårdgivare som har ansvarat för vaccinationen lämna upp- gifter till vaccinationsregistret. I enlighet med vad som anges i av- snitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelsen behöver således inte ändras med anledning av dataskyddsförordningen. När uppgifts- skyldigheten fullgörs måste dock den personuppgiftsansvarige be- akta den reglering om dataskydd som finns i bl.a. dataskyddsförord- ningen. Utredningens bedömning: Bestämmelserna i 9 och 10 §§ lagen om register över nationella vaccinationsprogram behöver inte ändras med anledning av dataskyddsförordningen. Författningar som reglerar ett register eller en informationssamling Bestämmelserna om behörighetstilldelning i 9 § och utlämnande på medium för automatiserad databehandling i 10 § lagen om register över nationella vaccinationsprogram utgör sådana säkerhetsåtgärder som avses i avsnitt 9.16.2. Bestämmelser om krav på säkerhetsåtgär- der för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i det avsnittet, ändras med anledning av dataskydds- förordningen. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i dataskyddsförordningen. I 9 § andra stycket lagen om register över nationella vaccinations- program bemyndigas regeringen att meddela föreskrifter om till- delning av behörighet för åtkomst till uppgifter i registret. Efter- som det är förenligt med dataskyddsförordningen att meddela före- skrifter om säkerhetsåtgärder och dataskyddsförordningen inte hindrar att föreskriftsrätten delegeras, kan bemyndigandet kvarstå oförändrat. Bestämmelserna i 9 och 10 §§ lagen om register över nationella vaccinationsprogram behöver således inte ändras med anledning av dataskyddsförordningen. Utredningens bedömning: Hänvisningen till offentlighets- och sekretesslagen (2009:400) i 11 § lagen om register över natio- nella vaccinationsprogram påverkas inte av dataskyddsförord- ningen. I 11 § lagen om register över nationella vaccinationsprogram finns en upplysning om att det finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter i offentlighets- och sekretess- lagen (2009:400). Upplysningen är relevant även när dataskydds- förordningen börjar tillämpas och bestämmelsen behöver därför inte ändras. Författningar som reglerar ett register eller en informationssamling 11.7.10 Rättelse och skadestånd