sou · H5B366 · 2017-08-31 00:00:00 — Utredningens bedömning: Behandling av personuppgifter som har tillåtits i en registerförfattning på den grunden att den an- setts nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet, får också anses nöd- vändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Bestämmelser om detta kan och bör behållas. Registerförfattningar som tillåter behandling av känsliga per- sonuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet reg- lerar behandling som är nödvändig för att utföra en arbets- uppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen och nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. Bestäm- melser om detta kan och bör behållas. Det finns inget som tyder på att begreppet allmänt intresse ska uppfattas mer restriktivt enligt dataskyddsförordningen än enligt dataskyddsdirektivet. har tvärtom ansett att mycket talar för att begreppet allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförord- ningen än det har haft.15 Utredningens förslag och analys bör som redan nämnts (av- snitt 6.1) bygga på de bedömningar och avvägningar som redan gjorts i samband med att registerförfattningarna införts. Det gäller även om bedömningarna inte alltid framgår uttryckligen av för- arbetena. Det som enligt dataskyddsdirektivet har ansetts utgöra ett allmänt intresse respektive viktigt allmänt intresse, får därför också anses utgöra ett allmänt intresse respektive viktigt allmänt 15 SOU 2017:39 s. 123. Allmänt om befintliga bestämmelser intresse enligt dataskyddsförordningen. Detta innebär att när be- handling av personuppgifter har tillåtits i en registerförfattning med stöd av artikel 7 e i dataskyddsdirektivet på den grunden att den ansetts nödvändig för att utföra en arbetsuppgift av allmänt intresse, får behandlingen också anses nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. Om behandling av känsliga personuppgifter har tillå- tits i en registerförfattning med stöd av artikel 8.4 i dataskydds- direktivet, har det redan bedömts att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen är därmed också nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet. Det innebär att behandling av känsliga personuppgifter som har stöd i artikel 8.4 i dataskydds- direktivet också, under förutsättning av proportionalitet och be- stämmelser om skyddsåtgärder (se avsnitt 9.11.3), har stöd i både artikel och 6.1 e i dataskyddsförordningen. Även om det inte anges något uttryckligt om det rättsliga stödet i förarbetena till en registerförfattning, är det ofta tydligt att den aktuella behandlingen inte kan stödja sig på annat än artikel 7 e respektive 8.4 i dataskyddsdirektivet. 9.9Principer för behandling av personuppgifter Utredningens bedömning: Artikel 5 i dataskyddsförordningen, som slår fast grundläggande principer för behandling av person- uppgifter, är tvingande och gäller t.ex. även när det av en register- författning framgår att personuppgifter får behandlas för ett visst ändamål. Detta innebär ingen skillnad i förhållande till vad som gäller enligt personuppgiftslagen. I artikel 5 i dataskyddsförordningen finns ett antal principer som gäller för all behandling av personuppgifter. Det rör sig om principen om laglighet, korrekthet och öppenhet (a), principen om ändamåls- begränsning (b), principen om uppgiftsminimering (c), principen om korrekthet (d), principen om lagringsminimering (e) och princi- pen om integritet och konfidentialitet (f). En närmare redogörelse av principernas innebörd finns i avsnitt 4.3.3. Principerna motsvarar i stort sett de principer som framgår av artikel 6 i dataskyddsdirektivet Allmänt om befintliga bestämmelser och de grundläggande krav på behandling av personuppgifter som gäller enligt 9 § personuppgiftslagen. Dataskyddsförordningen är direkt tillämplig och tvingande i de delar den inte tillåter nationell reglering. Enligt artikel 23 i data- skyddsförordningen är det under vissa förutsättningar möjligt att införa en nationell lagstiftningsåtgärd som begränsar tillämpnings- området för artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Om någon begränsning inte har införts i den nationella lagstiftningen, ska dock artikel 5 tillämpas även när en registerförfattning är tillämplig. Att artikel 5 i dataskyddsförordningen gäller vid sidan av regler- ingen i en registerförfattning innebär ingen förändring i förhållande till vad som gäller . Även om personuppgiftslagen är subsidiär i förhållande till registerförfattningarna, har utgångspunkten för de allra flesta registerförfattningar varit att 9 § personuppgiftslagen huvudsakligen ska tillämpas.16 Att det av en registerförfattning framgår att personuppgifter får behandlas för ett visst ändamål, innebär således inte att t.ex. irrelevanta eller onödigt många person- uppgifter får behandlas för ändamålet. Oavsett om ändamålet för behandling av personuppgifter har fastställts i författning eller inte är det alltid den personuppgiftsansvarige som enligt artikel 5.2 i dataskyddsförordningen ansvarar för och ska kunna visa att princi- perna i artikel 5 efterlevs. I fråga om finalitetsprincipen (9 § första stycket d och andra stycket personuppgiftslagen) finns i registerförfattningar ofta en uttrycklig hänvisning till personuppgiftslagen. Denna hänvisning bör dock, i enlighet med vad som framgår av avsnitt 9.10.3, ses som ett förtydligande och inte som en materiell regel. 16 Se t.ex. prop. 2002/03:135 s. 131, prop. 2007/08:126 s. 63 och prop. 2008/09:145 s. 343. Allmänt om befintliga bestämmelser 9.10Rättslig grund för behandling av personuppgifter 9.10.1Laglig behandling av personuppgifter vid rättslig förpliktelse, allmänt intresse och myndighetsutövning Utredningens bedömning: Ändamålsbestämmelser i register- författningar som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning har stöd i dataskyddsförordningen. Någon ytterligare analys av vilket stöd redan befintliga ändamål har krävs inte för att konstatera att behandlingen är laglig och har nödvändigt författningsstöd. Ändamålsbestämmelser i registerförfattningar som tillåter behandling av personuppgifter kan och bör behållas. Ändamål och grund för behandling av personuppgifter Behandling av personuppgifter är laglig enligt dataskyddsförord- ningen endast om och i den mån åtminstone ett av villkoren i arti- kel 6.1. i dataskyddsförordningen är uppfyllt. Det första alternativa villkoret är att den registrerade har lämnat sitt samtycke till be- handlingen (a). Behandling av personuppgifter kan också ske om den är nödvändig för att fullgöra ett avtal (b) eller en rättslig för- pliktelse (c), för att skydda intressen som är av grundläggande be- tydelse för en fysisk person (d) eller för att utföra en (arbets)uppgift av allmänt intresse eller som ett led i myndighetsutövning (e). Personuppgifter kan slutligen behandlas med stöd av en intresse- avvägning (f). Motsvarande krav på att behandlingen ska vara nödvändig finns i artikel 7 i dataskyddsdirektivet. har uttalat att be- greppet nödvändigt i dataskyddsdirektivet har en unionsrättslig innebörd. Kravet på nödvändighet enligt dataskyddsdirektivet har inte ansetts innebära att det ska vara omöjligt att utföra en uppgift om inte personuppgifter behandlas. Trots att en uppgift skulle kunna utföras utan att personuppgifter behandlas på visst sätt kan behandlingen anses nödvändig om den innebär effektivitetsvinster.17 17 Dom av , Huber C-524/06, EU:C:2008:724, och SOU 2017:39 s. 105–106. Allmänt om befintliga bestämmelser Villkoren i artikel 6.1 i dataskyddsförordningen är i huvudsak desamma som anges i artikel 7 i dataskyddsdirektivet och 10 § per- sonuppgiftslagen. En skillnad är dock att myndigheter enligt data- skyddsförordningen inte får behandla personuppgifter med stöd av en intresseavvägning när de fullgör sina uppgifter. I registerförfattningar anges ofta ändamål för vilka personuppgif- ter får behandlas. Behandling av personuppgifter för dessa ändamål måste vara förenlig med den grundläggande dataskyddslagstiftningen och det får därför förutsättas att man under författningsarbetet har funnit stöd för behandling av personuppgifter enligt ändamålen i artikel 7 i dataskyddsdirektivet. Bortsett från eventuella ändamål som stödjer sig på intresseavvägningar i myndigheters verksamhet, har ändamålen nu motsvarande stöd i dataskyddsförordningen. De ändamål som anges i registerförfattningarna har ofta stöd i någon av grunderna rättslig förpliktelse, allmänt intresse eller myndig- hetsutövning. Grunderna är ibland överlappande på så sätt att ett ändamål kan ha stöd i mer än en grund. Exempelvis kan en rättslig förpliktelse att föra ett visst register även anses utgöra en arbets- uppgift av allmänt intresse. Någon ytterligare analys av vilket stöd redan befintliga ändamål, som grundar sig på en rättslig förplik- telse, allmänt intresse eller myndighetsutövning (artikel 7 c och e i dataskyddsdirektivet), har i dataskyddsförordningen, krävs därför inte för att konstatera att behandlingen är laglig enligt dataskydds- förordningen. Det gör att sådana ändamålsbestämmelser kan och bör behållas. Eftersom befintliga ändamålsbestämmelser i registerförfattningar som tillåter behandling av personuppgifter således inte behöver ändras, blir det inte aktuellt att göra en analys i förhållande till be- stämmelserna i 2 kap. 6 § andra stycket och 20 och 21 §§ regerings- formen om möjligheterna att med stöd av lag göra betydande intrång i den personliga integriteten. Grunden för behandlingen ska fastställas rättsligt Den grund för behandling av personuppgifter som avses i arti- kel 6.1 c (rättslig förpliktelse) och e (allmänt intresse och myndig- hetsutövning) i dataskyddsförordningen ska enligt artikel 6.3 fast- ställas i enlighet med eller den nationella rätt som den Allmänt om befintliga bestämmelser personuppgiftsansvarige omfattas av. har konstaterat att detta innebär ett krav på att rättsliga förpliktelser och arbetsuppgifter av allmänt intresse och som ett led i myn- dighetsutövning ska vara rättsligt förankrade i unionsrätten eller i medlemsstatens nationella rätt för att de ska kunna åberopas som rättsliga grunder för behandling av personuppgifter. Någon särskild reglering med anledning av att dataskyddsförordningen ska börja tillämpas bedöms dock inte krävas. Inte heller behöver den rättsliga grunden vara fastställd i eller i enlighet med en av beslu- tad lag. Grunden måste dock vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt.18 Av skäl 41 till dataskyddsförord- ningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid och . Myndighetsutövning mot enskild måste alltid ha stöd i författning (8 kap. 2 § 2 och 3 § regeringsformen). Grunden för behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift som ett led i den personuppgiftsansvariges myndighetsutövning mot enskild är således redan fastställd i nationell rätt. Rättsliga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. I vissa fall kan den rättsliga förpliktelsen framgå av registerförfattningen, t.ex. bestäm- melser om att ett visst register ska föras, att personuppgifter ska gallras, att uppgifter ska lämnas ut eller att patientjournaler ska föras. När behandling som tillåts enligt registerförfattning grundas på en rättslig förpliktelse eller myndighetsutövning får det förut- sättas att författningsstödet för förpliktelsen respektive myndig- hetsutövningen identifierats när behandlingen tilläts. Det gör att utredningen kan utgå från att nödvändiga författningsbestämmelser finns när behandling har tillåtits i en registerförfattning med stöd av artikel 7 c eller, såvitt gäller myndighetsutövning, artikel 7 e i data- skyddsdirektivet. Ändamålsbestämmelser i registerförfattningar inom Socialdeparte- mentets verksamhetsområde grundar sig ofta på arbetsuppgifter av allmänt intresse (artikel 7 e i dataskyddsdirektivet). Arbetsuppgif- terna härrör mestadels från uppdrag och åligganden som framgår av olika verksamhetsorienterade författningar, t.ex. hälso- och sjuk- 18 SOU 2017:39 s. 108–113. Allmänt om befintliga bestämmelser vårdslagen (2017:30), läkemedelslagen (2015:315), socialtjänstlagen (2001:453), socialförsäkringsbalken och myndigheters instruktio- ner. Arbetsuppgifterna kan också anges i regeringsbeslut såsom regleringsbrev och andra regeringsuppdrag. Den rättsliga grunden för behandling av personuppgifter för arbetsuppgifter av allmänt intresse är således i de allra flesta fall fastställd genom någon annan rättsakt än registerförfattningen. Skulle så inte vara fallet, är den rättsliga grunden i vart fall fastställd genom registerförfattningens ändamålsbestämmelse. Något ytterligare rättsligt fastställande be- hövs inte enligt artikel 6.3 i dataskyddsförordningen. Syftet med behandlingen vid rättslig förpliktelse ska vara fastställt I fråga om rättsliga förpliktelser enligt artikel 6.1 c i dataskydds- förordningen krävs enligt artikel 6.3 i dataskyddsförordningen att syftet med behandlingen är fastställt i den rättsliga grunden. Det framgår inte av dataskyddsförordningen att syftet ska vara fastställt i en registerförfattning som reglerar behandling av personuppgifter utan syftet kan enligt utredningens bedömning även finnas i exem- pelvis den författning som reglerar själva verksamheten. Den rätts- liga förpliktelsen och syftet med behandlingen behöver inte heller framgå av samma författning. Oavsett hur detta har reglerats, får enligt utredningens bedömning det som krävs enligt artikel 6.3 i dataskyddsförordningen anses uppfyllt. Syftet med behandlingen ska vara nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning För behandling av personuppgifter för att utföra arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 e i dataskyddsförordningen finns det inget krav på att syftet med behandlingen av personuppgifter ska framgå av den rättsliga grunden; i stället ska syftet enligt artikel 6.3 vara nödvändigt för att utföra arbetsuppgiften av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Allmänt om befintliga bestämmelser Som konstaterats tidigare i detta avsnitt bör tidigare gjorda be- dömningar av att en behandling av personuppgifter har lagligt stöd i artikel 7 i dataskyddsdirektivet godtas. Det får förutsättas att be- dömningarna även innefattat ett ställningstagande till att syftet med behandling av personuppgifter för ändamålet är nödvändigt för att utföra den arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning som utgör grund för behandlingen. Efter- som ett sådant ställningstagande behövs för att det ur ett integri- tetsperspektiv ska kunna bedömas vara motiverat att över huvud taget behandla personuppgifterna, är det rimligt att förutsätta att ett sådant ställningstagande redan finns. Några nya bedömningar av syftet med behandlingen krävs därför inte. Det sagda gäller också sådana bestämmelser i registerförfatt- ningar om s.k. sekundära ändamål som tillåter utlämnande generellt till andra aktörer med stöd av bestämmelser i andra författningar om att uppgifter får lämnas ut, t.ex. bestämmelser om att uppgifter får lämnas ut utan hinder av sekretess eller att uppgifter får lämnas ut elektroniskt. Införandet av dessa bestämmelser har föregåtts av avvägningar mellan effektivitet och integritet och syftet med sådana utlämnanden får därför förutsättas vara nödvändigt för att utföra arbetsuppgifter av allmänt intresse eller som ett led i myndighets- utövning. Proportionalitet och mål av allmänt intresse Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt artikel 6.1 c och e i dataskydds- förordningen måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det får förutsättas att de ändamål som fastställts i befintliga registerförfattningar med stöd av artikel 7 c och e i dataskydds- direktivet i samband med tidigare författningsarbeten har bedömts relevanta och proportionerliga i förhållande till det integritets- intrång de kan innebära och att det finns mål av allmänt intresse. Kraven på bestämmelserna enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen får därmed anses redan vara uppfyllda. Allmänt om befintliga bestämmelser 9.10.2Samtycke som rättslig grund Utredningens bedömning: Bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan och bör behållas. Om bestämmelsen omfattar enskildas behandling av person- uppgifter som inte grundar sig på artikel 6.1 c eller e i dataskydds- förordningen, krävs dock särskilda överväganden. Samtycke utgör enligt både dataskyddsdirektivet och dataskydds- förordningen en rättslig grund för behandling av personuppgifter. Av artikel 6.1 a i dataskyddsförordningen och artikel 7 a i data- skyddsdirektivet följer att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycke definieras i artikel 4.11 i dataskyddsförordningen som varje slag av frivillig, specifik, infor- merad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Definitionen motsvarar i allt väsentligt den som finns i artikel 2 h i dataskyddsdirektivet. I artikel 7 och 8 i dataskyddsförordningen finns vissa ytterligare bestämmelser om samtycke som rättslig grund för behandling av personuppgifter, som inte har någon uttrycklig motsvarighet i data- skyddsdirektivet och personuppgiftslagen. Av skäl 43 till data- skyddsförordningen framgår att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon motsvarande skrivning fanns inte i skälen till dataskyddsdirektivet. Det kan alltså inte uteslutas att kraven på samtycke i vissa situationer när samtycke utgör den rättsliga grunden för behandling av person- uppgifter har skärpts något i förhållande till vad som anses gälla , jämför skäl 171 till dataskyddsförordningen som innehåller skrivningar som verkar förutsätta att ett samtycke enligt dataskydds- direktivet inte alltid uppfyller villkoren i dataskyddsförordningen. Allmänt om befintliga bestämmelser Artikel 29-gruppen har dock i ett yttrande gjort vissa uttalanden avseende dataskyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. I yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personupp- gifter. Detta gäller framför allt registeransvariga inom den offent- liga sektorn, där behandlingen av personuppgifter normalt är knu- ten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbetsuppgift av allmänt intresse. Att använda samtycke som rätts- lig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har officiella maktbefogenheter, t.ex. rättsvårdande myndig- heter som agerar inom ramen för sina uppdrag i samband med poli- siära och rättsliga aktiviteter. I samma yttrande anges att ett sam- tycke som i en vårdsituation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt. Även enligt Datainspektionen kan det starkt ifrågasättas om kravet på att samtycket lämnats frivilligt är uppfyllt om myndig- heter skulle kräva samtycke till behandling av personuppgifter som en förutsättning för att tillhandahålla samhälleliga tjänster. I de fall där den enskilde inte har någon verklig valmöjlighet måste den personuppgiftsansvarige stödja behandlingen av personuppgifter på någon annan grund.20 Samtycke kan dock enligt ovan nämnda ytt- rande från Artikel 29-gruppen i undantagsfall vara en giltig grund för stater när de behandlar personuppgifter, men en noggrann kon- troll bör göras för att se om samtycket faktiskt är tillräckligt frivilligt. Avvägningar angående huruvida det är lämpligt för en myndig- het eller någon annan aktör att grunda en behandling av person- uppgifter i ett särskilt fall på ett giltigt samtycke bör således redan ha gjorts av lagstiftaren i de fall det finns bestämmelser om samtycke i registerförfattningar. Mot bakgrund av att kravet på frivillighet gäller även enligt dataskyddsdirektivet och de ovan redovisade ut- talandena från Artikel 29-gruppen är det utredningens bedömning att någon ytterligare analys av lämpligheten av att grunda en be- handling på ett giltigt samtycke inte behöver göras i de fall sådana bestämmelser finns i registerförfattningarna. 19Yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13–14 och 16–17. 20Samtycke enligt personuppgiftslagen – Datainspektionen informerar s. 6. Allmänt om befintliga bestämmelser Bestämmelsen i artikel 6.1 a i dataskyddsförordningen om att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål är direkt tillämplig och inte försedd med någon möjlighet till nationell begränsning. Det är därför inte tillåtet att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt sam- tycke från den registrerade annat än när det gäller känsliga person- uppgifter (artikel 9.2 a) och personuppgifter om lagöverträdelser (artikel 10). Detta motsvarar vad som gäller . Däremot kan myndigheter trots dataskyddsförordningen för- bjudas att använda möjligheten att behandla personuppgifter med stöd av samtycke (se avsnitt 9.2). Så har ofta skett genom en register- författning med ändamålsbestämmelser. Ändamålsbestämmelserna ersätter nämligen normalt de rättsliga grunderna enligt 10 § person- uppgiftslagen; personuppgifter får inom registerförfattningens tillämpningsområde behandlas bara för de angivna ändamålen (och ibland även sådana ändamål som inte är oförenliga med de angivna ändamålen, se avsnitt 9.10.3 om finalitetsprincipen) oberoende av den registrerades samtycke. Den ordningen kan alltså behållas. I vissa registerförfattningar förekommer det att myndigheter och enskilda uttryckligen tillåts att med stöd av samtycke behandla personuppgifter för andra ändamål eller i andra fall än de i författ- ningen angivna. Även sådana bestämmelser kan behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen och skäl 8 till dataskyddsförordningen om att det är tillåtet att införliva delar av dataskyddsförordningen i nationell rätt. Eftersom det anses att den registrerades samtycke inte ger rätt att behandla personupp- gifter i strid mot de grundläggande kraven på behandling (i artikel 5 i dataskyddsförordningen), gäller dock att bestämmelsen inte kan ge stöd för att t.ex. behandla sådana personuppgifter som inte är korrekta i förhållande till de ändamål som anges i författningen eller som samtycket avser (artikel 5.1 d).