sou · H5B366 · 2017-08-31 00:00:00 — Utredningens förslag: Bestämmelsen i 20 § lagen om behand- ling av personuppgifter i ärenden om licens för läkemedel som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. Bestämmelsen i 20 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Författningar som reglerar en verksamhet bör, i enlighet med utredningens slutsats i avsnitt 9.15.1 och 9.19.1, upphävas. 10.7.12 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel som motsvarar krav som finns i dataskydds- förordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till bestämmelsen om skadestånd i lagen om behandling av personuppgifter i ärenden om licens för läke- medel ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen. I 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel regleras vilken information den personuppgiftsansva- rige ska lämna till den registrerade. Bestämmelsen är en precisering av de bestämmelser om information som finns i personuppgifts- lagen. I övrigt gäller alltså personuppgiftslagens bestämmelser om information i 23–27 §§ vid behandling som sker enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. I avsnitt 9.15.1 har utredningen redogjort för dataskyddsförord- ningens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Informationsskyldigheten enligt dataskyddsförordningen omfattar flera av de upplysningar som den personuppgiftsansvarige ska ta med i informationen enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i lagen om behandling av personuppgifter i ärenden om licens för läkemedel omfattar dock även upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförord- ningen, nämligen upplysning om den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestämmel- ser som gäller för uppgifterna och behandlingen, rätten till skade- stånd samt vad som gäller i fråga om sökbegränsningar. Enligt data- skyddsförordningen ska informationen vidare omfatta vissa upp- Författningar som reglerar en verksamhet lysningar som inte framgår av lagen om behandling av personupp- gifter i ärenden om licens för läkemedel. Bestämmelserna i lagen om behandling av personuppgifter i ärenden om licens för läkemedel som innebär att mer information ska lämnas än vad som krävs enligt dataskyddsförordningens regler- ing kan, i enlighet med den bedömning utredningen har gjort i av- snitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskydds- förordningen. Det kan inte anses innebära några särskilda svårig- heter för den personuppgiftsansvarige att uppfylla de få nya kraven på information till den registrerade som föreskrivs i dataskydds- förordningen. Det saknas därför, som anges i avsnitt 9.15.2, skäl att överväga en begränsning av den registrerades rätt till information. Den personuppgiftsansvarige bör alltså lämna såväl den infor- mation som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel bör på sätt som anges i avsnitt 9.15.1 komplettera och hänvisa till dataskyddsförordningens reglering. Hänvisningen till bestämmelsen om skadestånd i lagen om behandling av personuppgifter i ärenden om licens för läkemedel, som utredningen i avsnitt 10.7.11 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort. Även det som anges i 21 § första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige också ska lämna viss ytterligare information utöver vad som framgår av dataskydds- förordningen. Författningar som reglerar en verksamhet 10.8Förordningen (2016:533) om behandling av personuppgifter i ärenden om licens för läkemedel Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om behandling av personuppgifter i ärenden om licens för läkemedel kan behållas. I förordningen om behandling av personuppgifter i ärenden om licens för läkemedel finns bestämmelser som ger Datainspektionen viss föreskriftsrätt. De bestämmelser i förordningen om behandling av personuppgifter i ärenden om licens för läkemedel som före- skriftsrätten utgår från har utredningen i avsnittet ovan bedömt förenliga med dataskyddsförordningen. Dataskyddsförordningen utgör inte hinder mot att föreskriftsrätten delegeras. Bestämmel- serna i förordningen om behandling av personuppgifter i ärenden om licens för läkemedel kan därmed behållas. 10.9Lagen (2001:454) om behandling Utredningens förslag: Lagen om behandling av personuppgifter inom kompletteras med en bestämmelse som inne- bär att lagen inte ska tillämpas vid sådan behandling av person- uppgifter som omfattas av den föreslagna brottsdatalagen. Utredningens bedömning: Det krävs inga förändringar av tillämpningsområdet enligt 1–3 §§ lagen om behandling av per- sonuppgifter inom med anledning av dataskydds- förordningen. Lagen om behandling av personuppgifter inom ska enligt 1 § tillämpas vid behandling av personuppgifter inom social- tjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad Författningar som reglerar en verksamhet samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier. Med social- tjänst avses sådan verksamhet som anges i 2 § oavsett om verksam- heten bedrivs av myndigheter eller enskilda.25 Genom 3 § undantas viss verksamhet från lagens tillämpningsområde. I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka upp- gifter författningen ska tillämpas på inte i sig påverkas av dataskydds- förordningen. Lagen om behandling av personuppgifter inom social- tjänsten kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som . Viss verksamhet som anges i 2 § lagen om behandling av person- uppgifter inom innebär verkställighet av vårdpåföljder. Som exempel kan nämnas att en domstol överlämnar någon som har dömts för brott till vård enligt lagen (1988:870) om vård av miss- brukare i vissa fall. Även ungdomsvård och ungdomstjänst utgör påföljder som verkställs inom . Detsamma gäller den verksamhet som bedrivs av i fråga om verkställighet av sluten ungdomsvård. Behandling av personuppgif- ter som sker i syfte att verkställa straffrättsliga påföljder omfattas, i enlighet med vad som framgår av avsnitt 9.5, inte av dataskydds- förordningen, utan av det nya dataskyddsdirektivet. Att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt ingår i det uppdrag regeringen gett Utredningen om 2016 års dataskyddsdirektiv,26 som för detta ändamål har föreslagit en ny brottsdatalag.27 Behandling av personuppgifter som sker i samband med verkställighet av de vårdpåföljder som nämnts ovan omfattas av den föreslagna brottsdatalagens tillämpningsområde.28 Brottsdatalagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestämmelser i annan lag eller förordning. Det ingår inte i utredningens uppdrag att göra anpassningar av registerförfattningar inom verksamhetsområde för att regleringen ska leva upp till det nya dataskyddsdirektivet. Enligt Utredningen om 2016 års dataskyddsdirektiv, som utredningen samrått med, bör med hänsyn till det nya dataskyddsdirektivet den 2000/01:80 s. 135–137. 28SOU 2017:29 s. 221 och 225. Författningar som reglerar en verksamhet föreslagna brottsdatalagen och inte lagen om behandling av person- uppgifter inom vara tillämplig på behandling av person- uppgifter som sker i samband med verkställighet av vårdpåföljder. Utredningen godtar den bedömningen och föreslår en bestämmelse i 3 § lagen om behandling av personuppgifter inom som undantar sådan behandling av personuppgifter som omfattas av den föreslagna brottsdatalagen från tillämpningsområdet för lagen om behandling av personuppgifter inom . Dataskyddsförordningen föranleder inte någon ändring av tillämp- ningsområdet för lagen om behandling av personuppgifter inom . 10.9.2Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter inom ska innehålla en upplys- ning om att lagen kompletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter inom social- tjänsten eller föreskrifter som har meddelats med stöd av den. Bestämmelsen i 4 § lagen om behandling av personuppgifter inom , om förhållandet till annan lagstiftning, bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 10.9.3Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Bestämmelserna i 6 § första och andra stycket lagen om behandling av personuppgifter inom om för vilka ändamål personuppgifter får behandlas är förenliga med dataskyddsförordningen och bör inte ändras. Bestämmelsen i 6 § första stycket lagen om behandling av person- uppgifter inom anger att personuppgifter får behand- las om behandlingen är nödvändig för att arbetsuppgifter inom ska kunna utföras. Arbetsuppgifter inom social- tjänsten är, i enlighet med vad utredningen konstaterat i avsnitt 9.8.2, Författningar som reglerar en verksamhet arbetsuppgifter av allmänt intresse, vilket innebär att behandlingen har stöd i artikel 6.1 e i dataskyddsförordningen. Arbetsuppgifter inom kan också grunda sig på rättsliga förpliktelser och har då stöd i artikel 6.1 c i dataskyddsförordningen. Det ovanligt vidsträckta ändamålet i lagen definieras och preciseras i förordningen om behandling av personuppgifter inom , som utredningen återkommer till nedan. Av 6 § andra stycket lagen om behandling av personuppgifter inom framgår att personuppgifter får behandlas för uppgiftsutlämnande som föreskrivs i lag eller förordning. Sådant uppgiftsutlämnande sker till följd av en rättslig förpliktelse och har därmed stöd i artikel 6.1 c i dataskyddsförordningen. I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. De krav på den rättsliga grunden för behandlingen som tillkom- mit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i avsnitt 9.10.1 anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade . Behand- ling för de ändamål som anges i 6 § lagen om behandling av person- uppgifter inom är alltså laglig enligt dataskyddsförord- ningen och de befintliga ändamålen kan och bör därmed behållas. 10.9.4Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 6 § tredje stycket lagen om behandling av personuppgifter inom kan och bör även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Enligt 6 § tredje stycket lagen om behandling av personuppgifter inom har en registrerad person inte rätt att motsätta sig sådan behandling av uppgifter som är tillåten enligt samma lag. Som anges i avsnitt 9.15.1 har den registrerade enligt dataskydds- förordningen rätt att invända mot behandling av personuppgifter; detta under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt in- Författningar som reglerar en verksamhet tresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Den verksamhet som omfattas av tillämpningsområdet för lagen om behandling av personuppgifter inom utgör till viss del sådan behandling. Bestämmelsen i 6 § tredje stycket lagen om behandling av per- sonuppgifter inom innebär alltså en begränsning av den registrerades rätt enligt dataskyddsförordningen att göra in- vändningar mot behandling av personuppgifter. En sådan bestäm- melse förutsätter, i enlighet med vad som framgår av avsnitt 9.15.2, att de villkor som anges i artikel 23 i dataskyddsförordningen för en begränsning av den registrerades rättigheter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av villkoren är att be- stämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, där- ibland penning-, budget- eller skattefrågor, folkhälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstaterat att bedriv- ande av verksamhet inom bl.a. sociala förmåner som tillhandahålls inom , inklusive den administration dessa verksam- heter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. behandlar stora mängder känsliga person- uppgifter och det finns ett allmänintresse av att verksamheten be- drivs på ett effektivt, rättssäkert och enhetligt sätt. En möjlighet för den registrerade att invända mot den normala hanteringen skulle påtagligt försvåra arbetet för myndigheterna. En delvis hantering skulle minska effektiviteten, öka kostnaderna och riskera en negativ påverkan på objektivitet och likabehandling. Mot bakgrund av det starka intresset av en enhetlig elektronisk ärendehantering, måste ett undantag från rätten att invända mot behandling av person- uppgifter i verksamhet som omfattas av tillämpningsområdet för lagen om behandling av personuppgifter inom anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt in- Författningar som reglerar en verksamhet Begränsningen kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna. De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i lagen respektive förordningen om behandling av personuppgifter inom . Utredningen bedömer därmed att 6 § tredje stycket lagen om behandling av personuppgifter inom även fortsätt- ningsvis kan innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. 10.9.5Personnummer, känsliga personuppgifter och uppgifter om lagöverträdelser Utredningens förslag: Bestämmelsen i 7 § första stycket 2 lagen om behandling av personuppgifter inom , som tillåter behandling av känsliga personuppgifter, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskydds- förordningen. Lagen om behandling av personuppgifter inom kompletteras med en bestämmelse som påminner om kravet en- ligt artikel 9.3 i dataskyddsförordningen på att känsliga person- uppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. I 7 a § förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2. Utredningens bedömning: I övrigt kan och bör bestämmelserna om behandling av person- och samordningsnummer, känsliga personuppgifter och uppgifter om lagöverträdelser i 7–7 b §§ lagen om behandling av personuppgifter inom be- hållas. I 7 § första stycket lagen om behandling av personuppgifter inom anges att person- och samordningsnummer, känsliga personuppgifter samt uppgifter om lagöverträdelser får behandlas inom . Enligt andra stycket i samma paragraf gäller Författningar som reglerar en verksamhet detta under förutsättning att uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. I 7 a § samma lag begränsas möjligheterna att behandla känsliga personuppgifter i samman- ställningar i vissa fall. Regeringen eller den myndighet som reger- ingen bestämmer ges i 7 b § bemyndigande att meddela ytterligare föreskrifter om sammanställning av personuppgifter. Som framgår av avsnitt 9.13 kan och bör bestämmelser som tillåter behandling av person- och samordningsnummer vara kvar. Som anges i avsnitt 9.11.4 har utredningen gjort bedömningen att undantaget avseende hälso- och sjukvård samt social omsorg i arti- kel 9.2 h i dataskyddsförordningen innefattar sådan verksamhet som avses i 2 § lagen om behandling av personuppgifter inom social- tjänsten. Bestämmelsen som tillåter behandling av känsliga person- uppgifter inom tillämpningsområdet för lagen om behandling av personuppgifter inom bedöms därmed förenlig med dataskyddsförordningen och kan och bör behållas. Som också anges i avsnitt 9.11.4 bör en bestämmelse som på- minner om kravet på tystnadsplikt enligt artikel 9.3 i dataskydds- förordningen tas in i lagen om behandling av personuppgifter inom . Tystnadsplikt gäller redan inom enligt 26 kap. offentlighets- och sekretesslagen (2009:400), 15 kap. social- tjänstlagen (2001:453) och 29 § lagen om stöd och service till vissa funktionshindrade (1993:387). Begränsningarna av vilka känsliga personuppgifter som får be- handlas enligt 7 § andra stycket och 7 a § lagen om behandling av personuppgifter inom får anses utgöra säkerhets- åtgärder enligt dataskyddsförordningen. Sådana bestämmelser är tillåtna om de avser en myndighets behandling av personuppgifter. Bestämmelser om säkerhetsåtgärder kan också riktas till enskilda med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i data- Författningar som reglerar en verksamhet Sökbegränsningarna behöver därmed, i enlig- het med vad som anges i avsnitt 9.16.2, inte ändras med anledning av dataskyddsförordningen. Dataskyddsförordningen innehåller några nya kategorier av käns- liga personuppgifter – genetiska uppgifter och biometriska uppgif- ter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Bestämmelsen som tillåter behandling av känsliga personuppgifter i lagen om behandling av personuppgifter inom bör i enlighet med utredningens bedömning i av- snitt 9.11.6 även omfatta de nya kategorierna av känsliga person- uppgifter. De nytillkomna kategorierna bör också, i enlighet med vad utredningen kommit fram till i samma avsnitt, omfattas av be- gränsningarna av behandling av känsliga personuppgifter i 7 § andra stycket och 7 a §§ lagen om behandling av personuppgifter inom . I 7 § första stycket 2 lagen om behandling av person- uppgifter inom bör därför hänvisas till samtliga kate- gorier av uppgifter som anges i artikel 9.1 i dataskyddsförordningen. I 7 a § bör det förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2. Bestämmelser i registerförfattningar som tillåter enskilda och myn- digheter att behandla uppgifter om lagöverträdelser kan och bör behållas; detta konstaterar utredningen i avsnitt 9.12. Utredningen gör i samma avsnitt bedömningen att de begränsningar som gäller uppgifter om lagöverträdelser, om möjligt, bör omfatta samtliga personuppgifter som avses i 21 § personuppgiftslagen och inte bara de som omfattas av artikel 10 i dataskyddsförordningen. Eftersom behandling av personuppgifter sker med stöd av artikel 6.1 e (allmänt intresse) eller 6.1 c (rättslig förpliktelse) i dataskyddsförordningen, kan begränsningar av behandlingen göras i förhållande till såväl myndigheter som enskilda (se avsnitt 9.12). Det är därmed möjligt att även fortsättningsvis låta begränsningen i 7 § andra stycket lagen om behandling av personuppgifter inom omfatta samma uppgifter som , dvs. personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Författningar som reglerar en verksamhet Dataskyddsförordningen hindrar inte att föreskrifter meddelas i fråga om sammanställningar och inte heller att föreskriftsrätten delegeras. Bestämmelsen i 7 b § lagen om behandling av person- uppgifter inom behöver därmed inte ändras. Utredningens bedömning: Upplysningsbestämmelsen i 8 § lagen om behandling av personuppgifter inom påverkas inte av dataskyddsförordningen. I 8 § lagen om behandling av personuppgifter inom lämnas en upplysning om att de begränsningar som följer av offent- lighets- och sekretesslagen (2009:400), socialtjänstlagen (2001:453) och lagen (1993:387) om stöd och service till vissa funktionshind- rade gäller vid utlämnande av personuppgifter som finns inom social- tjänsten. Bestämmelsen påverkas inte av dataskyddsförordningens bestämmelser. Utredningens förslag: Bestämmelsen i 9 § lagen om behandling av personuppgifter inom som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd upp- hävs. Enligt 9 § lagen om behandling av personuppgifter inom social- tjänsten ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt lagen om behandling av personuppgifter inom . Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas. Författningar som reglerar en verksamhet Utredningens förslag: Bestämmelsen om överklagande i 10 § lagen om behandling av personuppgifter inom upp- hävs. Beslut inom om rättelse och om avslag på ansökan om information enligt 26 § personuppgiftslagen får enligt 10 § första stycket lagen om behandling av personuppgifter inom social- tjänsten överklagas hos allmän förvaltningsdomstol. Andra beslut enligt lagen om behandling av personuppgifter inom får däremot inte överklagas. Av 10 § andra stycket framgår att prövningstillstånd krävs vid överklagande till kammarrätten. Med socialtjänst avses sådan verksamhet som anges i 2 § lagen om behandling av personuppgifter inom oavsett om verksamheten bedrivs av myndigheter eller enskilda.29 Bestämmelsen om överklagande i 10 § lagen om behandling av personuppgifter inom omfattar alltså enligt sin ordalydelse även be- slut som fattas av enskilda. Detta är en skillnad i förhållande till regleringen av överklagande i personuppgiftslagen och de övriga registerförfattningar som innehåller egna överklagandebestämmel- ser, eftersom bestämmelserna i de författningarna endast gäller för beslut meddelade av myndigheter. Även bestämmelsen i den före- slagna dataskyddslagen omfattar enbart myndigheters beslut. Att beslut som fattas inom ramen för socialtjänstverksamhet som be- drivs av enskilda ska få överklagas synes dock inte ha varit lagstifta- rens avsikt. I motiven till bestämmelsen i 10 § lagen om behandling av personuppgifter inom anges nämligen att det är en myndighets beslut om att avslå en ansökan om information och om rättelse som ska kunna överklagas.30