sou · H5B366 · 2017-08-31 00:00:00 — Mot bakgrund av det starka intresset av en elektronisk hantering av personuppgif- terna, måste ett undantag från rätten att invända mot behandling av personuppgifter anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Begränsningen kan inte heller anses Författningar som reglerar en verksamhet strida mot andemeningen i de grundläggande rättigheterna och fri- heterna. De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen i övrigt. Utredningen bedömer därmed att förslaget till lag om behand- ling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen kan innehålla en begränsning av den registre- rades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Om personuppgifter samlas in direkt från den registrerade, får personuppgifter enligt förslaget behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen. Bestämmel- ser i registerförfattningar som innebär att en behandling bara får utföras om den registrerade samtycker utgör, i enlighet med vad utredningen bedömt i avsnitt 9.16.2, en form av skyddsåtgärd och får anses tillåten såsom en begränsning av en myndighets möjlighet att behandla personuppgifter. I 2 § andra stycket sista meningen i förslaget till lag om behand- ling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen anges att bestämmelserna i 12 § personuppgifts- lagen om återkallelse av lämnat samtycke ska tillämpas på mot- svarande sätt vid behandling av personuppgifter enligt den före- slagna lagen. I artikel 7.3 i dataskyddsförordningen finns det direkt tillämpliga bestämmelser om återkallelse av samtycke. Eftersom personuppgiftslagen ska upphävas och då det finns direkt tillämp- liga bestämmelser om återkallelse av samtycke i dataskyddsförord- ningen, bör bestämmelsen med hänvisning till personuppgiftslagen utgå. Författningar som reglerar en verksamhet Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 3 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen eller föreskrifter som har meddelats med stöd av den. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. Utredningens bedömning: Personuppgiftsansvaret kan anges i enlighet med 4 § förslaget till lag om behandling av personupp- gifter inom verksamheten för Inspektionen för socialförsäk- ringen. Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. Utredningens förslag: Förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen ska inte innehålla en bestämmelse med krav på att inspek- tionen ska utse personuppgiftsombud. Enligt 5 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska inspek- tionen utse ett eller flera personuppgiftsombud. Dataskyddsför- ordningen föreskriver, till skillnad från dataskyddsdirektivet och Författningar som reglerar en verksamhet personuppgiftslagen, ett krav på utnämning av ett s.k. dataskydds- ombud om behandlingen genomförs av en myndighet. Eftersom dataskyddsförordningen är direkt tillämpning, behöver register- författningar inte innehålla motsvarande bestämmelse om det inte finns ett särskilt behov av förtydligande. Eftersom något sådant särskilt behov inte har framkommit, kan 5 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen utgå. Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 7 § andra meningen för- slaget till lag om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen utgår. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger ut- tryck för finalitetsprincipen. Utredningens bedömning: Ändamålen i 6 § och 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen uppfyller de krav som gäller enligt dataskyddsförordningen och behöver inte ändras. I 6 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen anges de ändamål för vilka det är tänkt att personuppgifter ska få behandlas. Ända- målen avser inspektionens kärnverksamhet – systemgranskning och effektivitetstillsyn inom socialförsäkringsområdet – som i sig är av allmänt intresse. Behandlingen av personuppgifter har därmed stöd i artikel 6.1 e i dataskyddsförordningen. Enligt 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen får personuppgifter behandlas för att fullgöra ett ut- lämnande av uppgifter som sker i överensstämmelse med lag eller förordning. Ett sådant utlämnande är antingen en sådan rättslig för- pliktelse som avses i artikel 6.1 c (uppgiftsskyldighet) eller – i den mån utlämnandet inte grundar sig på en skyldighet att lämna upp- Författningar som reglerar en verksamhet gifter – av allmänt intresse enligt artikel 6.1 e i dataskyddsförord- ningen. Det har tillkommit nya krav på den rättsliga grunden för be- handlingen i artikel 6.3 i dataskyddsförordningen. Dessa krav får, i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda. Ändamålen i 6 § och 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen uppfyller alltså de krav som gäller enligt dataskyddsförordningen och behöver inte ändras. I 7 § andra meningen förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen finns det en hänvisning till 9 § första stycket d personupp- giftslagen, den s.k. finalitetsprincipen – att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Bestämmelsen innehåller också en hänvisning till 9 § andra stycket personuppgiftslagen, där det förtydligas att en behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I enlighet med vad utredningen konstaterat i avsnitt 9.10.3, bör det i registerförfattningar även fortsättningsvis finnas en bestämmelse som klargör att de i författningen angivna ändamålen inte är uttömmande. Förslaget till bestämmelse bör på grund av personuppgiftslagens upphörande ut- formas i enlighet med vad som anges i det avsnittet. Författningar som reglerar en verksamhet Känsliga personuppgifter och uppgifter om lagöverträdelser Utredningens förslag: Bestämmelsen i 8 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen som tillåter behandling av känsliga personuppgifter ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Hänvisningen till personuppgiftslagens definition av uppgifter om lagöverträdelser utgår. I stället anges det uttryckligen vilka uppgifter som omfattas av regleringen. Utredningens bedömning: I övrigt föranleder dataskyddsför- ordningen inget behov av ändring av förslaget till bestämmelse om behandling av känsliga personuppgifter och uppgifter om lag- överträdelser. Enligt 8 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska känsliga personuppgifter och uppgifter om lagöverträdelser få behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. Möjligheten att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse förändras inte när dataskyddsförordningen börjar tillämpas; detta har utredningen konstaterat i avsnitt 9.8.3. Inspektionen för socialförsäkringen kan alltså tillåtas att behandla känsliga personuppgifter med stöd av ett undantag enligt artikel i dataskyddsförordningen. Begränsningarna av under vilka förutsättningar känsliga person- uppgifter får behandlas får anses utgöra sådana lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga person- uppgifter av hänsyn till ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. Det finns därmed grund för begräns- ningarna. Dataskyddsförordningen innehåller några nya kategorier av känsliga personuppgifter – genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgif- ter om sexuell läggning. Även de nytillkomna uppgifterna bör om- fattas av den särskilda regleringen av behandling av känsliga person- Författningar som reglerar en verksamhet uppgifter i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen i enlighet med vad utredningen kommit fram till i avsnitt 9.11.6. Myndigheters möjligheter att behandla personuppgifter om lag- överträdelser påverkas i enlighet med vad som framgår av av- snitt 9.12 inte av dataskyddsförordningen. Som också framgår av det avsnittet anser utredningen att begränsningar som gäller upp- gifter om lagöverträdelser bör omfatta samtliga personuppgifter som avses i 21 § personuppgiftslagen och inte bara de som omfattas av artikel 10 i dataskyddsförordningen. Sådana begränsningar kan, i enlighet med vad utredningen bedömt i det avsnittet, införas utan hinder av dataskyddsförordningen. Utredningens bedömning: Dataskyddsförordningen föranleder inget behov av ändring av de föreslagna bestämmelserna om säkerhetsåtgärder i 9–14 §§ i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen. I 9 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen anges att det vid inspektionen ska finnas en integritetsskyddsfunktion. Funktionen ska ha till uppgift att lagra de uppgifter som lämnas till eller hämtas in av inspektionen på ett säkert sätt, förse uppgifter som är direkt hänförliga till enskilda med en beteckning innan de görs tillgängliga för berörda befattningshavare i ett tillsyns- eller granskningsärende (projektmedarbetare), så att sådana medarbetare normalt inte får tillgång till personuppgifter som är direkt hänförliga till enskilda, bereda inspektionen direktåtkomst till uppgifter i socialförsäk- ringsdatabasen, administrera behörigheter, bl.a. genom att styra åtkomsten för projektmedarbetare i tillsyns- eller granskningsären- den till uppgifter lagrade på inspektionens servrar och till socialför- säkringsdatabasen, när de befattningshavare hos inspektionen som har till uppgift att sköta integritetsskyddsfunktionen (informations- ansvariga) av administrativa skäl måste delegera en sådan åtkomst Författningar som reglerar en verksamhet till en projektmedarbetare.41 Funktionen får anses vara en sådan säkerhetsåtgärd som utredningen avser i avsnitt 9.16.2. Även den föreslagna särskilda beredningsordningen enligt för- slaget till 10 §, villkor för behörighetstilldelning enligt förslaget till 11 §, dokumentation och kontroll av elektronisk åtkomst till per- sonuppgifter enligt förslaget till 12 §, förbud mot sammanföring av uppgifter i syfte att ta reda på en enskilds identitet i förslaget till 13 § och regler för utlämnande av personuppgifter på medium för automatiserad behandling och genom direktåtkomst i förslaget till 14 § får anses utgöra sådana säkerhetsåtgärder som utredningen avser i avsnitt 9.16.2. Sådana säkerhetsåtgärder kan en myndighet utan vidare åläggas i nationell rätt i enlighet med vad utredningen konstaterat i samma avsnitt. Åtgärderna kan också införas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen när grunden för behandlingen är att den bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. Det finns således inget behov av ändring av de före- slagna bestämmelserna om säkerhetsåtgärder i 9–14 §§ i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. I flera av de nu berörda bestämmelserna anges att regeringen kan meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskrifts- rätten delegeras. Någon ändring behöver därmed inte göras i dessa bestämmelser. Information som ska lämnas på begäran Utredningens förslag: Hänvisningen till personuppgiftslagen i 15 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ändras till att avse artikel 15 i dataskyddsförordningen. 41 SOU 2014:67 s. 128. Författningar som reglerar en verksamhet Enligt 15 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska ett s.k. registerutdrag inte behöva omfatta uppgifter som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild. Förslaget grundar sig delvis på omständigheten att en del av de upp- gifter som inspektionen behandlar inte kommer att kunna hänföras till en registrerad utan bistånd från andra myndigheter. I andra fall kan det visserligen vara tekniskt möjligt för inspektionen att sam- manställa ett registerutdrag, men för detta måste i så fall de kod- nycklar som förvaras hos en särskild integritetsskyddsfunktion utnyttjas, vilket bedöms utgöra ett integritetsintrång.42 Av artikel 15 i dataskyddsförordningen framgår att den registre- rade ska ha rätt att få tillgång till bl.a. de personuppgifter om den registrerade som den personuppgiftsansvarige behandlar. Förslaget till 15 § i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen skulle inne- bära en begränsning av den rättigheten. Enligt artikel 11 i data- skyddsförordningen ska emellertid den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare in- formation för att identifiera den registrerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka den personupp- giftsansvarige behandlar personuppgifter inte kräver att den regi- strerade identifieras av den personuppgiftsansvarige. Tanken med att förse personuppgifter med en sådan beteckning som avses i förslaget till 15 §, är att granskningen inte förutsätter identifiering av en individ. Inspektionen för socialförsäkringen ska då enligt artikel 11 i dataskyddsförordningen inte heller behöva förvärva eller behandla ytterligare information, dvs. t.ex. kodnyckeln hos inspektionens integritetsskyddsfunktion, för att identifiera den regi- strerade i syfte att kunna ta fram ett registerutdrag. Enligt skäl 8 till dataskyddsförordningen finns det vissa möjligheter att införliva delar av dataskyddsförordningen i nationell rätt. Förslaget till be- stämmelse bedöms därför förenligt med dataskyddsförordningen, men det kan övervägas om bestämmelsen behövs. Bestämmelsen behöver omarbetas genom att en hänvisning görs till artikel 15 i dataskyddsförordningen, eftersom personuppgifts- lagen upphävs och dataskyddsförordningen ska börja tillämpas. 42 SOU 2014:67 s. 185. Författningar som reglerar en verksamhet visningen bör vara dynamisk, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom artikel 15 i dataskyddsförordningen är direkt tillämplig. Utredningens förslag: Bestämmelsen i 16 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen om gallring ändras inte i sak, men formuleringen av historiska, statistiska eller vetenskapliga ända- mål ändras till den formulering som används i dataskydds- förordningen. Utredningen fastslår i avsnitt 9.17.2 att bestämmelser i register- författningar om gallring och bevarande inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Detsamma gäller delegationsbestäm- melser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för och för vissa ändamål. Någon förändring i sak av 16 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen är därmed inte nödvändig. Förslaget till formulering av historiska, statistiska och vetenskapliga ändamål bör dock, i enlighet med vad utredningen konstaterar i samma avsnitt, ändras till den formulering som an- vänds i dataskyddsförordningen. Utredningens förslag: Förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen bör inte innehålla hänvisningar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Författningar som reglerar en verksamhet Förslaget till lag bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, inte innehålla hänvisningar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Den före- slagna 17 § kan därför utgå. Utredningens bedömning: Övriga förslag till författningsänd- ringar i betänkandet SOU 2014:67 behöver inte ändras med an- ledning av dataskyddsförordningen. Enligt förslag till ändring i 5 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska Arbetsförmedlingen som ett nytt sekundärt ändamål få behandla personuppgifter för tillhandahållande av information som behövs inom verksamhet vid Inspektionen för socialförsäkringen som avser systemtillsyn och effektivitetsgranskning. Förslaget kompletteras med ett förslag till en ny § i förordningen (2002:623) om be- handling av personuppgifter i den arbetsmarknadspolitiska verksam- heten, som bryter sekretessen när Inspektionen för socialförsäk- ringen begär uppgifter för sin systemtillsyn och effektivitetsgransk- ning från Arbetsförmedlingen. Enligt ett nytt fjärde stycke i 12 § samma förordning ska utlämnandet av uppgifter få ske på medium för automatiserad behandling. Utredningen har inte till uppgift att analysera behovet av uppgif- ter eller det eventuella integritetsintrång utlämnandet av uppgifter medför – en sådan analys har genomförts av den utredning som lämnat förslagen. I förhållande till dataskyddsförordningen kan konstateras att utlämnandet sker med stöd av en rättslig förplik- telse enligt artikel 6.1 c i dataskyddsförordningen, i och med att utlämnandet regleras genom en uppgiftsskyldighet. Grunden för den rättsliga förpliktelsen kan härledas till den verksamhet som ska bedrivas av Inspektionen för socialförsäkringen enligt förordningen med instruktion för Inspektionen för socialförsäkringen. De krav som ställs på den rättsliga grunden för behandlingen enligt arti- Författningar som reglerar en verksamhet kel 6.3 i dataskyddsförordningen får, med hänsyn till detta och i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda. Förutsättningarna för uppgiftsskyldigheter förändras inte i och med att dataskyddsförordningen börjar gälla, se avsnitt 9.21. Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ske på vilket sätt som helst – t.ex. på medium för automatiserad behandling – så länge tillräckliga säkerhetsåtgärder vidtas. De säker- hetsåtgärder som föreskrivs i lagen respektive förordningen om behandling av personuppgifter i den arbetsmarknadspolitiska verk- samheten får anses tillräckliga. I 114 kap. 23 a § socialförsäkringsbalken föreslås en ny bestäm- melse som ger Inspektionen för socialförsäkringen direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för utlämnande av uppgifter med stöd av en uppgifts- skyldighet. I enlighet med vad utredningen konstaterat i avsnitt 9.16.2 får utlämnande ske på vilket sätt som helst så länge tillräckliga säker- hetsåtgärder vidtas. De säkerhetsåtgärder som föreskrivs i 114 kap. socialförsäkringsbalken och förslaget till lag om behandling av per- sonuppgifter inom verksamheten för Inspektionen för socialför- säkringen får anses tillräckliga. Verksamhet hos Inspektionen för socialförsäkringen Förslaget till två nya paragrafer, 7 a och 7 b §§, i förordningen (2009:602) med instruktion för Inspektionen för socialförsäk- ringen, är kopplat till förslaget om en ny integritetsfunktion och särskild beredningsordning i 9 och 10 §§ förslaget till lag om be- handling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. Utredningen har beträffande dessa förslag gjort sin bedömning i avsnitt 10.17.2. Författningar som reglerar en verksamhet Förslag till lag om ändring i lagen (2001:99) om den officiella statistiken Förslaget till ändring av 16 och 17 §§ lagen (2001:99) om den offici- ella statistiken avser att skapa förutsättningar för Inspektionen för socialförsäkringen att bedriva sin verksamhet utan att myndigheten behöver behandla alla personuppgifter i form av uppgifter som direkt kan hänföras till en enskild. Sådana uppgifter som inte kan hänföras till en enskild är att anse som personuppgifter om en nyckel kan koppla uppgifterna till en individ. Förslaget är främst att anse som en säkerhetsåtgärd som, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, är tillåten att införa för en myndighet. Det ligger också i linje med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Förslaget till ändring i 7 § offentlighets- och sekretessförordningen (2009:641) innebär en utökning av statistiksekretessen och påver- kas inte av dataskyddsförordningen. Förslaget till ändringar i 7 b § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet och 5 a § för- ordningen (2003:766) om behandling av personuppgifter inom social- försäkringens administration utgör endast redaktionella ändringar som inte påverkas av dataskyddsförordningen. som reglerar ett register eller en informationssamling 11.1Lagen (1996:1156) om receptregister I Ds 2016:44 föreslås en ny lag om nationell läkemedelslista som ska ersätta lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Förslaget syftar till att skapa en samlad bild av en patients läkemedelsbehandling. Lagen föreslås träda i kraft . Tills vidare gäller dock lagen om receptregister. Utred- ningen gör därför en analys av lagens bestämmelser i detta avsnitt. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om förande av recept- register i 1 § lagen om receptregister. Även bestämmelsen i 2 § kan behållas. I 1 § lagen om receptregister finns det en bestämmelse om att E-hälso- myndigheten med hjälp av automatiserad behandling får föra ett register över förskrivningar av läkemedel och andra varor för män- niskor (receptregister). I 2 § lagen om receptregister finns det en förklaring av vad som avses med begreppet landsting. Dataskyddsförordningen påverkar inte möjligheten att föreskriva att ett visst register får föras.