sou · H5B366 · 2017-08-31 00:00:00 — Övergångsbestämmelserna i 9 kap. 22 § lagen om införande av socialförsäkringsbalken är dock fort- farande aktuella att tillämpa för behandling av personuppgifter som har skett i strid med lagen om behandling av personuppgifter inom socialförsäkringens administration och bör därför vara kvar. Över- gångsbestämmelserna i 9 kap. 23 § lagen om införande av social- försäkringsbalken bör också vara kvar. Bestämmelserna i 114 kap. 33 § socialförsäkringsbalken bör dock inte tillämpas på skadestånds- 39 SOU 2017:39 s. 78. Författningar som reglerar en verksamhet yrkanden som grundar sig på omständigheter som inträffat sedan dataskyddsförordningen börjat tillämpas. Utredningen föreslår där- för att bestämmelserna i 9 kap. 22 och 23 §§ lagen om införande av socialförsäkringsbalken behålls i sak, men att det förtydligas att 114 kap. 33 § socialförsäkringsbalken upphävts och ska tillämpas bara på skadefall som inträffat innan dataskyddsförordningen ska börja tillämpas. 10.16Förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om tillämpningsområdet i 1 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet. I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. Bestämmelsen i 1 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet kan alltså behållas. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 2 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet kan och bör behållas. Författningar som reglerar en verksamhet Som utredningen angett i avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskyddsförordningen. Bestämmelsen i 2 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet kan och bör därför behållas. 10.16.3 Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 3 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet ska innehålla en upplysning om att förordningen kompletterar data- skyddsförordningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av förordningen om behandling av personupp- gifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 10.16.4 Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för fina- litetsprincipen. Utredningens bedömning: Ändamålsbestämmelserna i 4 § för- ordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet uppfyller de krav som gäller enligt dataskydds- förordningen och kan behållas. Författningar som reglerar en verksamhet I 4 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet anges för vilka ändamål personuppgifter får be- handlas inom förordningens tillämpningsområde. Personuppgifter får behandlas om det behövs för att Tandvårds- och läkemedels- förmånsverket ska kunna fatta beslut om utformningen av det stat- liga tandvårdsstödet i fråga om ersättningsberättigande tandvårds- åtgärder, referenspriser för de ersättningsberättigande åtgärderna samt beloppsgränser och ersättningsgrader inom skyddet mot höga kostnader. Personuppgifter får vidare behandlas om det behövs för att genomföra uppföljning av utvecklingen på tandvårdsområdet. De nu berörda ändamålen grundar sig på utförandet av en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e i dataskyddsförordningen. Personuppgifter som behandlas för dessa ändamål får dessutom behandlas för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Eftersom uppgiftsskyldigheter framgår av författning, grundar sig det ändamålet företrädesvis på rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen och – i den mån det inte rör sig om skyldigheter att lämna uppgifter – på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som framgår av avsnitt 9.10.1. De krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utred- ningen konstaterat i samma avsnitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade . Behandling för de ändamål som anges i 4 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verk- samhet i fråga om det statliga tandvårdsstödet är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas. I 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verk- samhet i fråga om det statliga tandvårdsstödet finns det en hänvis- Författningar som reglerar en verksamhet ning till den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen. Det innebär att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in och att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Som anges i avsnitt 9.10.3 kan registerförfattningar även fort- sättningsvis innehålla bestämmelser med innebörden att behandling av personuppgifter för andra ändamål som inte strider mot finalitets- principen är tillåten. Eftersom personuppgiftslagen kommer att upp- höra att gälla, bör bestämmelsen utformas på det sätt som anges i det avsnittet. 10.16.5 Personuppgifter som får behandlas Utredningens bedömning: Bestämmelsen i 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet om vilka personuppgifter som får behandlas kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas får enligt 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårdsstödet endast behandla sådana personuppgifter som anges i 19 a § förord- ningen (2008:193) om statligt tandvårdsstöd. I den bestämmelsen finns det en uppräkning av vilka uppgifter ska lämna till . De person- nummer, samordningsnummer, organisationsnummer och tand- vårdsmottagningsnummer som lämnas ut av ska vara krypterade på ett sådant sätt att identifiering inte är möjlig. Uppgifterna får inte behandlas av Tandvårds- och läkemedels- förmånsverket i syfte att röja en persons identitet. Som anges i avsnitt 9.13 kan och bör bestämmelser om behand- ling av personnummer behållas. Den specificering som i övrigt görs Författningar som reglerar en verksamhet i bestämmelsen av vilka personuppgifter som får behandlas stäm- mer väl överens med principen om uppgiftsminimering enligt arti- kel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behöver behandlas av har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan införa begränsningar för sina myndigheter. Bestämmelserna bör därmed inte ändras. De uppgifter som får be- handla enligt 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet omfattar även uppgifter som rör hälsa, dvs. För att behandling av känsliga personuppgifter ska få ske inom den nu aktuella förordningens tillämpningsområde måste alltså verksamheten rymmas inom något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redogjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Som anges i det avsnittet har det i för- arbetena till lagen (1996:1156) om receptregister ansetts osäkert om 18 § personuppgiftslagen ger tillräckligt stöd för den behand- ling som avses i den lagen.40 förs bl.a. för ändamålet att utgöra underlag för tillämpningen av bestämmelserna om läke- medelsförmåner. Behandlingen av personuppgifter enligt den nu aktuella regleringen sker i det huvudsakliga syftet att utforma det statliga tandvårdsstödet varför det ligger nära till hands att göra samma bedömning som beträffande receptregistret. 2008/09:145 s. 305. Författningar som reglerar en verksamhet Behandlingen av känsliga personuppgifter enligt förordningen får enligt utredningens bedömning i vart fall anses nödvändig av hän- syn till ett viktigt allmänt intresse. Behandling av känsliga person- uppgifter är därmed tillåten med stöd av undantaget i artikel i dataskyddsförordningen i enlighet med vad som anges i avsnitt 9.11.3. Regleringen bedöms således vara förenlig med dataskyddsförord- ningen och bör därför behållas. Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Eftersom käns- liga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter inom tillämpningsområdet för förord- ningen om behandling av personuppgifter i Tandvårds- och läke- medelsförmånsverkets verksamhet i fråga om det statliga tandvårds- stödet, påverkar det inte regleringen att nya kategorier av person- uppgifter kommer att vara att bedöma som känsliga enligt data- skyddsförordningen. 10.16.6 Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 6 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet som anger att behandling av personuppgifter får utföras även om den enskilde motsätter sig den kan och bör behållas. Behandling av personuppgifter som är tillåten enligt förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårdsstödet får enligt 6 § utföras även om den enskilde motsätter sig det. Bestämmelsen innebär en begränsning av den rätt som den regi- strerade har att göra invändningar mot behandling av personupp- gifter enligt artikel 21.1 i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e (allmänt intresse och myndighetsutövning) i dataskyddsförordningen. Större delen av den behandling av personuppgifter som sker enligt den nu aktuella förordningen stödjer sig, som anges i avsnitt 10.16.4, på dessa Författningar som reglerar en verksamhet En bedömning måste därför, enligt vad som framgått i avsnitt 9.15.2, göras av om begränsningen av rätten att göra invänd- ningar uppfyller de krav som anges i artikel 23 i dataskyddsförord- ningen. Det krävs för det första att begränsningen utgör en åtgärd som syftar till att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Målet i punkten e gäller andra av union- ens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skatte- frågor, folkhälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar registerförfattningar normalt behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 anges att be- drivande av sådan verksamhet som anges i internationella rättig- hetsstadgor utgör allmänna intressen. Även den verksamhet som bedrivs av har samband med sådan verksamhet som anges där och får enligt utredningens bedömning anses utgöra ett sådant generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Begränsningen får också anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av all- mänt intresse. Begränsningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna. Det är alltså enligt utredningens bedömning möjligt att begränsa den registrerades rätt att göra invändningar mot behandlingen. En sådan begränsning måste dock uppfylla kraven i artikel 23.2 i data- skyddsförordningen på vad lagstiftning som begränsar den registre- rades rättigheter ska innehålla. Utredningen bedömer att bestäm- melser med detta innehåll, i den mån det är relevant, redan finns i förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tand- vårdsstödet. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelsen om tillgången till per- sonuppgifter i 7 § förordningen om behandling av person- uppgifter i Tandvårds- och läkemedelsförmånsverkets verksam- het i fråga om det statliga tandvårdsstödet kan behållas. Enligt 7 § förordningen om behandling av personuppgifter i Tand- vårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet ska tillgången till personuppgifter alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Som framgått av avsnitt 9.16.2 utgör bestämmelser som begränsar åtkomsten till personuppgifter säkerhetsåtgärder enligt dataskyddsförordningen. Sådana restriktioner för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i samma avsnitt, ändras med anledning av att dataskyddsförordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndig- hetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestämmelsen i 7 § förordningen om behandling av personupp- gifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet kan därför behållas. 10.16.8 Information som ska lämnas på begäran Utredningens bedömning: Bestämmelsen i 8 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet som begränsar den registrerades rätt till registerutdrag kan behållas. I 8 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet anges att bestämmelsen om registerutdrag i 26 § Författningar som reglerar en verksamhet personuppgiftslagen inte ska gälla för personuppgifter som behand- las för de ändamål som är tillåtna enligt förordningen. Bestämmelsen begränsar den registrerades rätt till tillgång till de personuppgifter som rör honom eller henne och som behandlas av den personuppgiftsansvarige enligt artikel 15 i dataskyddsförord- ningen. Av artikel 11 i dataskyddsförordningen framgår dock att den personuppgiftsansvarige inte är tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den regi- strerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka personuppgifterna behandlas inte kräver eller inte längre kräver att den registrerade identifieras av den personupp- giftsansvarige. Av 19 a § förordningen om statligt tandvårdsstöd följer att de personnummer, samordningsnummer, organisations- nummer och tandvårdsmottagningsnummer som lämnas ut av till ska vara krypterade på ett sådant sätt att identifiering inte är möjlig. Det innebär, som utredningen förstår det, att Tandvårds- och läke- medelsförmånsverket inte på egen hand kan koppla de uppgifter som verket behandlar till en viss person. Eftersom inte har behov av att kunna identifiera individer vid fullgörande av sitt uppdrag, är verket inte heller, enligt artikel 11 i dataskyddsförordningen, skyldigt att inhämta ytterli- gare information för att identifiera den registrerade enbart i syfte att följa dataskyddsförordningens reglering om registerutdrag. Inne- hållet i 8 § förordningen om behandling av personuppgifter i Tand- vårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet är alltså förenligt med dataskyddsförord- ningens reglering. I enlighet med vad som anges i skäl 8 till dataskyddsförordningen kan medlemsstaterna införliva delar av dataskyddsförordningen i nationell rätt under vissa förutsättningar. Utredningen bedömer med stöd av vad som anges i det skälet att bestämmelsen kan och bör behållas. Det kan dock övervägas om bestämmelsen är nöd- vändig. Författningar som reglerar en verksamhet 10.16.9 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 9 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. Bestämmelsen i 9 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Sådana bestämmelser bör, i enlighet med utredningens slutsats i avsnitt 9.15.1 och 9.19.1, upphävas. 10.17Förslag som lämnats i betänkandet Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67) Enligt utredningsdirektiven bör utredningen överväga vilka anpass- ningar som till följd av dataskyddsförordningen kan behöva göras av det förslag till ny lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen samt av övriga förslag som lämnats i betänkandet SOU 2014:67. 10.17.2Förslag till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen Utredningens bedömning: Tillämpningsområdet i 1 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen behöver inte ändras. Författningar som reglerar en verksamhet I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen. Det tillämpningsområde som föreslås i 1 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen behöver därmed inte ändras. Den enskildes inställning till behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om återkallelse av samtycke i 2 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen bör utgå. Utredningens bedömning: Bestämmelsen i 2 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen kan innehålla en begränsning av den registrerades rätt att invända mot behandling av person- uppgifter som rör honom eller henne. Bestämmelsen kan också innehålla en begränsning som inne- bär att viss behandling bara får utföras om den registrerade sam- tyckt till den. Behandling av personuppgifter som är tillåten enligt förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen föreslås enligt 2 § samma lagförslag få utföras även om den enskilde motsätter sig behandlingen. Detta ska dock inte gälla om personuppgifter samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen. Rätten att invända mot behandling av personuppgifter Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig Författningar som reglerar en verksamhet för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Den behandling som omfattas av tillämpningsområdet för förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen utgör sådan be- handling. Den föreslagna bestämmelsen om att behandling av personuppgifter ska få utföras även om den enskilde motsätter sig den utgör alltså en begränsning av den registrerades rätt att göra invändningar enligt artikel 21 i dataskyddsförordningen. En sådan bestämmelse förutsätter, i enlighet med vad som fram- går av avsnitt 9.15.2, att de villkor som anges i artikel 23 i data- skyddsförordningen för en begränsning av den registrerades rättig- heter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e. Även upp- följning och kontroll av sådan verksamhet får anses utgöra ett så- dant allmänt intresse. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Inspektionen för socialförsäkringen, som granskar övrig verksamhet inom socialförsäkringsområdet, har behov av att be- handla personuppgifter helt eller delvis automatiserat för att kunna åstadkomma en effektiv och rättssäker granskning. En delvis manu- ell hantering skulle minska effektiviteten, öka kostnaderna och eventuellt även öka risken för integritetsintrång.