sou · H5B366 · 2017-08-31 00:00:00 — Det förekommer även bestämmelser i registerförfattningar om att en behandling för vissa ändamål bara får utföras med den regi- strerades samtycke trots att den behandling som författningen reglerar stödjer sig på en annan rättslig grund än samtycke, t.ex. en arbetsuppgift av allmänt intresse. En sådan begränsning är tillåten för myndigheter, se avsnitt 9.2. Om de angivna ändamålen för den behandling av personuppgifter som regleras i registerförfattningen Allmänt om befintliga bestämmelser är sådana som avses i artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning), får bestämmelserna anses tillåtna såsom preciseringar även för enskilda enligt artikel 6.2 och 6.3 i dataskyddsförordningen (se avsnitt 9.3). Om det däremot i någon registerförfattning finns bestämmelser som omfattar enskildas behandling av personuppgifter och den grundläggande behandlingen av personuppgifterna inte grundar sig på artikel 6.1 c eller e i dataskyddsförordningen kan en sådan be- stämmelse inte anses tillåten med hänvisning till de ovan angivna skälen. För det fall det finns sådana bestämmelser krävs det i stället särskilda överväganden för att bedöma om dessa kan behållas. Bestämmelser som innebär krav på samtycke för en viss åtgärd, t.ex. direktåtkomst, när den behandling som författningen reglerar stödjer sig på en annan rättslig grund kan enligt utredningens be- dömning i vissa fall utgöra en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd. Utredningen berör den typen av bestämmelser i avsnitt 9.16.2. Utredningens bedömning: Bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i för- fattningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen kan och bör behållas i sak. I registerförfattningar förekommer hänvisningar till 9 § första stycket d personuppgiftslagen, den s.k. finalitetsprincipen – att per- sonuppgifter inte får behandlas för något ändamål som är oför- enligt med det ändamål för vilket de samlades in. Den uttryckliga hänvisningen till finalitetsprincipen tillkom första gången efter att Lagrådet anfört att uppbyggnaden och utformningen av ändamåls- bestämmelserna i förslaget till lag om behandling av personuppgif- ter inom socialförsäkringens administration gav intryck av att de angivna ändamålen var uttömmande. Att det fanns en avsikt att även andra efterkommande behandlingar skulle få företas förutsatt att det inte kunde anses oförenligt med de ursprungliga ändamålen Allmänt om befintliga bestämmelser ansågs inte framgå av den föreslagna lagtexten. Regeringen föreslog då ett förtydligande – en hänvisning till 9 § första stycket d och andra stycket personuppgiftslagen. Mot bakgrund av att motsva- rande förtydligande saknades i andra registerförfatt- ningar, betonade regeringen att det inte var fråga om en materiell regel, utan endast ett förtydligande.21 Finalitetsprincipen finns uttryckt i artikel 5.1 b och 6.4 i data- skyddsförordningen. Av artikel 5.1 b i dataskyddsförordningen framgår att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, samt att ytter- ligare behandling för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ur- sprungliga ändamålen. I enlighet med den bedömning utredningen gör i avsnitt 9.16.1 utgör artikel 89.1 i dataskyddsförordningen en precisering av principen om uppgiftsminimering i artikel 5.1 och de allmänna bestämmelserna om säkerhetsåtgärder i dataskyddsförord- ningen, vilka är direkt tillämpliga. Skyldigheten för den person- uppgiftsansvarige att iaktta principen om uppgiftsminimering och vidta säkerhetsåtgärder regleras även i dataskyddsdirektivet. Det är därför utredningens bedömning att regleringen i artikel 5.1 b i data- skyddsförordningen motsvarar den som finns i artikel 6.1 b i data- skyddsdirektivet (för bedömning avseende ändrad formulering av ändamålen se avsnitt 9.17.2). I artikel 6.4 i dataskyddsförordningen anges vilken bedömning den personuppgiftsansvarige ska göra för att fastställa om en vidare- behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. I artikeln anges vad den personuppgiftsansvarige ska beakta om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 i dataskyddsförordningen. Den person- uppgiftsansvarige ska beakta kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personupp- 2002/03:135 s. 56. Allmänt om befintliga bestämmelser gifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige, personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 i dataskyddsförordningen eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10 i dataskyddsförordningen, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen samt före- komsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering. Av skäl 50 till dataskyddsförordningen framgår att vid behand- ling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta är en nyhet i förhållande till dataskyddsdirektivet. Finalitetsprincipen kommer således att finnas kvar även med dataskyddsförordningen. Eftersom utredningen avser att i den mån det är möjligt behålla de möjligheter att behandla personuppgifter som myndigheter och vissa enskilda aktörer har , krävs att det är tydligt att de uppräknade ändamålen, när så har gällt tidi- gare, inte är uttömmande. Bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i författningen uttryckligen angivna ändamål, får behandlas också för andra ända- mål när det inte strider mot finalitetsprincipen kan och bör därför behållas. Det bör dock noteras att artikel 13.3 och 14.4 i data- skyddsförordningen i regel innebär att de registrerade på förhand måste informeras om tilltänkt återanvändning av deras personupp- gifter. En bestämmelse som klargör att de i registerförfattningen an- givna ändamålen inte är uttömmande utan att också sådan behand- ling som inte strider mot finalitetsprincipen är tillåten kan lämpligen utformas enligt följande. Att personuppgifter som behandlas för ändamål som anges i XX § även får behandlas för andra ändamål framgår av artikel 5.1 b i Europa- parlamentets och rådets förordning (EU) 2016/679. Mot bakgrund av den bedömning utredningen har gjort ovan sak- nas det skäl att i bestämmelsen hänvisa till artikel 89.1 i data- skyddsförordningen. Den personuppgiftsansvarige måste dock natur- ligtvis beakta såväl den bestämmelsen som de övriga bestämmel- Allmänt om befintliga bestämmelser serna om uppgiftsminimering och säkerhet som utredningen berört ovan när denne utför behandling av personuppgifter. 9.11.1Förbud mot att behandla känsliga personuppgifter och möjligheterna till undantag Utredningens bedömning: Det är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen som kräver stöd i nationell rätt. Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter. Data- skyddsutredningen konstaterar dock att begreppet känsliga person- uppgifter, som används i personuppgiftslagen, är tydligare och dessutom inarbetat på såväl nationell nivå som EU-nivå.22 Eftersom använder sig av begreppet känsliga person- uppgifter i den generella regleringen, kommer även utredningen att använda sig av begreppet. Motsvarande förbud att behandla känsliga personuppgifter finns i artikel 8.1 i dataskyddsdirektivet, som dock innehåller något färre kategorier av personuppgifter – genetiska uppgifter, biometriska uppgifter för att entydligt identifiera en fysisk person samt uppgifter om sexuell läggning har tillkommit som nya kategorier i dataskyddsförordningen. Dataskyddsdirektivets förbud har kom- mit till uttryck i 13 § personuppgiftslagen, som innehåller en upp- räkning av samma kategorier som i dataskyddsdirektivet. 22 SOU 2017:39 s. 162. Allmänt om befintliga bestämmelser Förbudet att behandla känsliga personuppgifter bottnar i arti- kel 6 i dataskyddskonvention (nr 108), som förbjuder automatiserad behandling av uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott, om inte den nationella lagen ger ett ändamålsenligt skydd. Huvudregeln är alltså enligt artikel 9.1 i dataskyddsförord- ningen att behandling av känsliga personuppgifter är förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2, som anger när behandling av känsliga personuppgifter trots allt kan tillåtas. Vissa av undantagen är direkt tillämpliga medan andra krä- ver viss reglering i den nationella lagstiftningen för att behandling av känsliga personuppgifter ska få ske, se avsnitt 9.11.4 och 9.11.5. Känsliga personuppgifter kan behandlas med stöd av samtycke (a) och för att skyldigheter och rättigheter ska kunna tillvaratas inom arbetsrätten och på områdena social trygghet och socialt skydd i den omfattning detta är tillåtet enligt unionsrätten, nationell rätt eller kollektivavtal (b). Det är också tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är för- hindrad att ge sitt samtycke (c). Ideella verksamheter med poli- tiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om sina medlemmar och vissa andra personer (d). Vidare får känsliga personuppgifter behandlas om behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registre- rade (e). Ytterligare ett undantag avser behandling som är nöd- vändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller är en del av domstolarnas dömande verksamhet (f). Behand- ling av känsliga personuppgifter får ske av hänsyn till ett, på grund- val av eller nationell rätt, viktigt allmänt intresse (g). Behandling av känsliga personuppgifter får också ske i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg, på grundval av eller medlemsstaternas nationella rätt under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt (h och artikel 9.3). Även ett allmänt intresse på folkhälsoområdet, på grundval av EU- rätten eller nationell rätt, ger rätt att behandla känsliga person- uppgifter (i). Slutligen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål (j). Allmänt om befintliga bestämmelser hålla eller införa ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa (9.4). En fråga är om möjligheterna att i nationell rätt göra undantag från förbudet att behandla känsliga personuppgifter måste utnyttjas fullt ut i den nationella rätten för att kunna användas. I artikel 9.4 anges att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, men endast för behandling av vissa kategorier av känsliga personuppgifter, nämligen genetiska eller biometriska uppgifter eller uppgifter om hälsa. Detta skulle kunna tyda på att det inte är tillåtet att behålla ytterligare villkor för övriga kategorier av känsliga personuppgifter. En sådan tolkning synes dock inte rimlig. Dataskyddsförordningens huvudregel om förbud mot be- handling av känsliga personuppgifter har tillkommit eftersom dessa uppgifter anses vara särskilt skyddsvärda. Att det då endast ska vara möjligt att ha en nationell reglering som antingen helt förbjuder behandling av sådana uppgifter eller tillåter all behandling som kan tillåtas enligt någon av de möjligheter till nationellt grundade undantag som finns i artikel 9.2 a–j synes inte förenligt med intresset av att skydda den personliga integriteten. När det gäller behandling som sker med stöd av någon av de rättsliga grunderna fullgörande av rättslig förpliktelse och utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning framgår det dess- utom av artikel 6.2 och 6.3 att medlemsstaterna får ha särskilda bestämmelser om bl.a. vilken typ av uppgifter som ska behandlas (se avsnitt 9.3). Det är därför utredningens bedömning att det är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen som kräver nationell lagstift- ning. Det innebär att det är möjligt att behålla sökbegränsningar och andra skyddsåtgärder som avser känsliga personuppgifter och att tillåta behandling av bara vissa kategorier av känsliga person- uppgifter. Möjligheterna att göra undantag från förbudet mot behandling av känsliga personuppgifter motsvarar i stora delar regleringen i dataskyddsdirektivet. Vissa skillnader finns dock. Att undantaget i artikel 9.2 b i dataskyddsförordningen som gäller arbetsrätt även omfattar rättigheter på områdena social trygghet och socialt skydd är en nyhet i förhållande till artikel 8.2 b i dataskyddsdirektivet. Undantaget för behandling som är nödvändig av hänsyn till ett Allmänt om befintliga bestämmelser viktigt allmänt intresse i artikel 8.4 i dataskyddsdirektivet har i arti- kel i dataskyddsförordningen försetts med ytterligare krav som måste vara uppfyllda för att behandlingen ska vara tillåten. Tillämpningsområdet för hälso- och sjukvårdsundantaget i arti- kel 8.3 i dataskyddsdirektivet har i artikel 9.2 h i dataskyddsförord- ningen utökats något som ett krav på att uppgifterna behandlas av eller under ansvar av någon som omfattas av tystnads- plikt har införts. Undantaget i artikel 9.2 i i dataskyddsförordningen som tar sikte på folkhälsoområdet är nytt. Vad dessa skillnader innebär återkommer utredningen till nedan. Ytterligare en nyhet är undantaget för arkivändamål, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i artikel 9.2 j i dataskydds- förordningen. 9.11.2Undantag vid fullgörande av skyldigheter och rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd I artikel 9.2 b i dataskyddsförordningen anges att känsliga person- uppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbets- rätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstater- nas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intres- sen fastställs. Områdena social trygghet respektive socialt skydd är nya i förhållande till dataskyddsdirektivet, och det framgår inte av artikeln eller av skälen till dataskyddsförordningen vad områdena är avsedda att omfatta. Begreppet social trygghet antyder att social- försäkringen är tänkt att vara en del av området. Dataskyddsutred- ningen gör dock bedömningen att avsikten sannolikt är att reglera behandling som är nödvändig för att arbetsgivare och arbetsgivar- eller arbetstagarorganisationer ska kunna erbjuda eller förmedla pensioner och försäkringar med anknytning till den registrerades anställning eller yrkesliv, såsom tjänstepensioner och olika typer av gruppförsäkringar. Denna bedömning görs mot bakgrund av det sammanhang där begreppen social trygghet och socialt skydd före- Allmänt om befintliga bestämmelser kommer – att artikeln i övrigt avser skyldigheter och rättigheter inom arbetsrätten.23 Utredningen har inte anledning att göra en annan bedömning än den gjort. 9.11.3Undantag för viktiga allmänna intressen Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är förenliga med artikel i dataskyddsförordningen och kan och bör behållas. I artikel i dataskyddsförordningen anges att känsliga person- uppgifter får behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundlägg- ande rättigheter och intressen. Motsvarande bestämmelse finns i artikel 8.4 i dataskyddsdirektivet, varav framgår att medlemsstaterna får besluta om undantag från förbudet att behandla känsliga personuppgifter under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt in- tresse. En reglering av ett undantag med stöd av artikel i data- skyddsförordningen kan ske i registerförfattningar, vilket ger möjlighet att göra lämpliga avvägningar på varje område. Data- skyddsutredningen har dessutom bedömt att det utöver detaljerad reglering i registerförfattningar är möjligt att införa en generell reglering som ger myndigheter möjlighet att behandla känsliga personuppgifter även när det inte finns särskilt stöd i en register- lagstiftning. Enligt 3 kap. 3 § förslaget till dataskyddslag ska käns- liga personuppgifter få behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, om uppgifterna har lämnats till myn- 23 SOU 2017:39 s. 169–171. Allmänt om befintliga bestämmelser digheten och behandlingen krävs enligt lag, eller i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och inte innebär ett otillbörligt intrång i den registrerades personliga inte- gritet. I syfte att begränsa de integritetsrisker som den generella bestämmelsen kommer att medföra, föreslår Dataskyddsutred- ningen i 3 kap. 4 § samma lagförslag också ett förbud för myndig- heter att använda sökbegrepp som avslöjar känsliga personuppgif- ter vid behandling som sker enbart med stöd av 3 kap. 3 §.24 Det finns i enlighet med vad som konstaterats i avsnitt 9.8.3 inget som tyder på att begreppet allmänt intresse ska uppfattas mer restriktivt enligt dataskyddsförordningen än enligt dataskydds- direktivet. Detta innebär att när behandling av känsliga person- uppgifter tillåtits i en registerförfattning med stöd av artikel 8.4 i dataskyddsdirektivet – och inte med stöd av artikel 8.2 eller 8.3 i dataskyddsdirektivet – har det redan, även om övervägandena inte alltid framgår uttryckligen av förarbetena, bedömts att behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse och därmed också nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet. Därför bör det utan vidare prövning av utredningen anses att den i registerförfattningen reglerade behandlingen kan stödjas på artikel 6.1 e i dataskydds- förordningen och, under förutsättning av proportionalitet och be- stämmelser om skyddsåtgärder (se nedan), i enlighet med artikel innefatta känsliga personuppgifter i samma utsträckning som . Proportionerlig i förhållande till syftet Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel i dataskyddsförordningen stå i proportion till det eftersträvade syftet. Något uttryckligt krav på proportionalitet finns inte i data- skyddsdirektivet. Det framgår inte av dataskyddsförordningen hur proportionalitetsbedömningen ska gå till. 24 SOU 2017:39. Allmänt om befintliga bestämmelser Det får förutsättas att det har gjorts en proportionalitetsbedöm- ning när undantag från förbudet att behandla känsliga personuppgif- ter har gjorts i särskilda registerförfattningar med stöd av artikel 8.4 i dataskyddsdirektivet. Det är därför utredningens bedömning att bestämmelser i registerförfattningar som tillåter behandling av käns- liga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller det proportionalitetskrav som gäller enligt dataskyddsförordningen. Förenlig med det väsentliga innehållet i rätten till dataskydd Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel i dataskyddsförordningen vara förenlig med det väsentliga innehållet i rätten till dataskydd. Något uttryckligt motsvarande krav finns inte i dataskyddsdirektivet. Det framgår inte av dataskyddsförord- ningen vad kravet närmare innebär. Utgångspunkten vid införandet av registerförfattningar har generellt varit att i författningarna bara göra de undantag i förhåll- ande den generella dataskyddsregleringen i personuppgiftslagen, och därmed också dataskyddsdirektivet, som ansetts nödvändiga på det aktuella området. Vid införandet av registerförfattningar har också åtagandena enligt dataskyddskonvention be- hövt iakttas. Det är därför utredningens bedömning att register- författningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller det nya uttryckliga kravet på att vara förenliga med det väsentliga innehållet i rätten till dataskydd. Ett undantag med stöd av artikel i dataskyddsförordningen förutsätter en reglering i nationell rätt. Regleringen ska omfatta be- stämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Någon exemplifiering av utformningen av sådana åtgärder, som säkerställer den registrerades grundläggande rättigheter och intressen, finns Allmänt om befintliga bestämmelser inte i dataskyddsförordningen. Vad lämpliga och särskilda skydds- åtgärder kan bestå i framgår av avsnitt 9.16.2. Enligt artikel 8.4 i dataskyddsdirektivet krävs ”lämpliga skydds- åtgärder” för att göra undantag från förbudet att behandla känsliga personuppgifter. Det finns inget som tyder på att kravet i dataskyddsförord- ningen på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen skulle inne- bära något annat än kravet på lämpliga skyddsåtgärder i dataskydds- direktivet. En nyhet i dataskyddsförordningen är dock att det krävs att det finns bestämmelser om sådana åtgärder i medlemsstatens nationella rätt. Registerförfattningar som tillåter behandling av känsliga person- uppgifter med stöd av artikel 8.4 i dataskyddsdirektivet innehåller regelmässigt olika uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder enligt dataskyddsdirektivet.