sou · H5B366 · 2017-08-31 00:00:00 — har angående behovet av att behandla biometriska uppgifter upp- gett att läkemedel kan medföra biverkningar i form av missbild- ningar som kan ses som unika fysiska biometriska uttryck kopplade till en viss individ. Även uppgifter om enskilda individers kropps- liga avvikelser, röntgen- och ultraljudsfynd och laboratoriediagnos- tik har angetts som exempel på vad som kan utgöra biometriska uppgifter som kan förekomma i biverkningsrapporter. har angett att det i samband med biverknings- rapportering avseende hormonbehandling vid könsbyte kan vara nöd- vändigt att behandla uppgifter om sexuell läggning. Mot bakgrund av vad som framkommit gör utredningen bedöm- ningen att det i vissa fall är nödvändigt att fortsätta att behandla genetiska och biometriska uppgifter samt uppgifter om sexuell läggning för att uppfylla kraven i läkemedelslagen och läkemedels- förordningen på ett ändamålsenligt sätt. De uppgifter som det är fråga om är av allt att döma sådana uppgifter som även utgör upp- gifter om hälsa (se avsnitt 7.5). Sådana genetiska och biometriska uppgifter och uppgifter om sexuell läggning som kan anses utgöra uppgifter om hälsa, bör därför även i fortsättningen få behandlas för de ändamål som anges i 3 kap. 13 § läkemedels- förordningen. Detta bör tydliggöras genom att det anges i be- stämmelsen att uppgifter om hälsa, inklusive genetiska och biomet- riska uppgifter och uppgifter om sexuell läggning, får behandlas. Någon skillnad i sak är således inte avsedd utan förslaget syftar endast till att tydliggöra att samma uppgifter som får behandlas även får behandlas fortsättningsvis. Genetiska och biomet- riska uppgifter samt uppgifter om sexuell läggning som inte sam- tidigt utgör uppgifter om hälsa får däremot inte behandlas. Den ändring som föreslås innebär förstås inte ett sådant lagstöd som krävs för att i vissa fall få använda eller efterforska genetisk infor- mation enligt 2 kap. 1 § lagen (2006:351) om genetisk integritet. Författningar som bl.a. reglerar behandling av personuppgifter Utredningen gör när det gäller de nytillkomna kategorierna av känsliga personuppgifter samma bedömning i fråga om kravet på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter enligt artikel i dataskyddsförord- ningen som redovisats ovan när det gäller uppgifter som rör hälsa. Den bestämmelse som föreslås begränsa vidarebehandling av upp- gifter om hälsa som behandlas av innehavare av godkännande eller registrering för försäljning bör därför omfatta även sådana gene- tiska och biometriska uppgifter och uppgifter om sexuell läggning som kan anses utgöra uppgifter om hälsa. Utredningens bedömning: Bestämmelsen om hälsodataregister i 3 kap. 14 § läkemedelsförordningen kan behållas. får enligt 3 kap. 14 § läkemedelsförordningen föra ett sådant hälsodataregister som anges i 1 § lagen (1998:543) om hälsodataregister. Registret får föras för att tillgodose behovet av uppgifter för de ändamål som anges i 6 kap. 1 § läkemedelslagen. Det som avses är alltså det ovan nämnda systemet för säkerhets- övervakning som har till syfte att samla in, registrera, lagra och vetenskapligt utvärdera uppgifter om misstänkta biverkningar av läkemedel som godkänts för försäljning. Registret får dessutom föras för framställning av statistik och forskning. Ändamålen ryms inom ramen för de ändamål som anges i 3 § lagen om hälsodata- register. Som anges i avsnitt 11.6.5 anser utredningen att det inte finns skäl att göra en annan bedömning än den lagstiftaren redan gjort när det gäller preciseringen av ändamålen för de hälsodataregister som berörs där. Det finns visserligen inte några begränsningar av- seende vilka uppgifter som får behandlas i det nu aktuella registret. Däremot bedöms det ändamål som anges i 6 kap. 1 § läkemedels- lagen vara mer preciserat än i många av de andra författningarna om hälsodataregister. Samma bedömning görs därför beträffande den nu aktuella bestämmelsen. I enlighet med vad som anges i det av- snittet får även dessa ändamål anses ha grund i ett allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. De krav på den rätts- Författningar som bl.a. reglerar behandling av personuppgifter liga grunden för behandling av personuppgifter som har tillkommit i artikel 6.3 i dataskyddsförordningen får, i enlighet med vad ut- redningen också har konstaterat i det avsnittet, anses vara uppfyllda utan vidare analys. Utredningens bedömning: Bestämmelser som reglerar uppgifts- skyldighet i läkemedelslagen och läkemedelsförordningen kan behållas. I läkemedelslagen och läkemedelsförordningen finns det bestäm- melser om skyldighet att lämna uppgifter. Som exempel kan näm- nas innehavarens skyldighet att rapportera uppgifter om misstänkta biverkningar till enligt 3 kap. 7 § första stycket andra meningen läkemedelsförordningen och bestämmelsen i 7 kap. 3 § läkemedelsförordningen som anger att ska fullgöra de skyldigheter att lämna underrättelser eller att lämna ut uppgifter eller handlingar som följer av två EU-direktiv. Vidare får enligt 9 kap. 6 § läkemedelsförordningen med- dela vissa föreskrifter om skyldighet att lämna uppgifter. I den mån uppgiftsskyldigheterna även omfattar personuppgif- ter behöver en prövning mot dataskyddsförordningen göras. Som utredningen har konstaterat i avsnitt 9.21 är bestämmelser om upp- giftsskyldighet lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelserna kan därmed behållas. När uppgiftsskyldigheten fullgörs måste dock den personuppgifts- ansvarige beakta den reglering om dataskydd som finns i bl.a. data- skyddsförordningen. Författningar som bl.a. reglerar behandling av personuppgifter 12.9Förordningen (2013:413) om kosmetiska produkter Förordningen om kosmetiska produkter innehåller en bestämmelse som avser att göra det möjligt för att behandla känsliga personuppgifter om hälsa i syfte att fullgöra de skyldig- heter, bl.a. en anmälningsplikt gällande allvarliga oönskade effekter av kosmetiska produkter, som följer av kosmetikaförordningen28. I detta avsnitt analyseras om denna bestämmelse, samt en tillhör- ande bestämmelse om personuppgiftsansvar, behöver ändras med anledning av dataskyddsförordningen. Utredningens förslag: Hänvisningen till personuppgiftslagen i 1 § 2 förordningen om kosmetiska produkter ändras till att avse 3 kap. 8 § dataskyddslagen. Hänvisningen till personuppgifts- lagen i 5 § första stycket förordningen om kosmetiska produkter tas bort. Utredningens bedömning: Bestämmelsen i 5 § första stycket förordningen om kosmetiska produkter kan och bör behållas i sak. Av 5 § första stycket förordningen om kosmetiska produkter fram- går att , trots 13 § andra stycket personuppgifts- lagen, får utföra de behandlingar av personuppgifter som rör hälsa och som är nödvändiga för att fullgöra de skyldigheter som före- skrivs i kosmetikaförordningen samt i övrigt utföra de behandlingar av personuppgifter som rör hälsa i den omfattning behandlingen omfattas av tillsynsverksamhet. Det aktuella undantaget från 13 § personuppgiftslagen är enligt 1 § 2 förordningen om kosmetiska produkter meddelat med stöd av 20 § personuppgiftslagen. Det innebär att såväl fullgörandet av de 28 och rådets förordning (EG) nr 1223/2009 av om kosmetiska produkter (kosmetikaförordningen). Författningar som bl.a. reglerar behandling av personuppgifter skyldigheter som föreskrivs i den aktuella EU-förordningen som den tillsyn som föranleds av regleringen av kosmetiska produkter har ansetts vara viktiga allmänna intressen.29 Undantaget är därmed, i enlighet med vad som anges i avsnitt 9.11.3, även fortsättningsvis tillåtet med stöd av artikel i dataskyddsförordningen. Artikel i dataskyddsförordningen kräver att regleringen omfattar skyddsåtgärder. I artikel 9.2 i i dataskyddsförordningen anges tystnadsplikt som ett exempel på en skyddsåtgärd. De person- uppgifter som avses i 5 § första stycket förordningen om kosme- tiska produkter omfattas av sekretessbestämmelserna i 30 kap. 23 och 27 §§ offentlighets- och sekretesslagen (2009:400),30 vilket innebär att kravet på skyddsåtgärder får anses vara uppfyllt. Bestämmelsen bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter, dvs. genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk per- son samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga personuppgifter överlappar varandra. Sådana uppgifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa, kan enligt utredningens be- dömning behandlas med stöd av 5 § första stycket förordningen om kosmetiska produkter. Utredningen har övervägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att upp- gifter som rör hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning får behandlas, på samma sätt som föreslås i avsnitt 10.1.11 och 12.8.4. Då det i utredningen inte har framkommit något behov av att behandla sådana uppgifter om hälsa som omfattas av någon av de nya kategorierna, sak- nas det dock enligt utredningens bedömning anledning att införa ett sådant förtydligande. Utredningen gör sammantaget bedömningen att bestämmelsen i 5 § första stycket förordningen om kosmetiska produkter inte be- höver ändras i sak. Hänvisningen till personuppgiftslagen bör dock 29Se även Ds 2012:33 s. 104. 2012/13:135 s. 36 ff. Författningar som bl.a. reglerar behandling av personuppgifter tas bort, eftersom lagen kommer att upphävas i samband med att dataskyddsförordningen börjar tillämpas. Även bemyndigandet i 20 § personuppgiftslagen försvinner i och med att personuppgiftslagen upphävs. Förslaget till ny data- skyddslag innehåller dock ett motsvarande bemyndigande som ger stöd för regeringens föreskrift i 5 § förordningen om kosmetiska produkter.31 Hänvisningen till personuppgiftslagen i 1 § 2 förord- ningen om kosmetiska produkter bör därför ändras till att avse 3 kap. 8 § dataskyddslagen. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § andra stycket förordningen om kosmetiska produk- ter kan och bör behållas. Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. Utredningen gör samma bedömning beträffande bestäm- melsen i 5 § andra stycket förordningen om kosmetiska produkter. 12.10Lagen (2006:1570) om skydd mot internationella hot mot människors hälsa Lagen om skydd mot internationella hot mot människors hälsa innehåller bestämmelser för att genomföra Världshälsoorganisa- tionens internationella hälsoreglemente som antogs i (hälsoreglementet). Lagen syftar till att skydda mot internationella hot mot människors hälsa. I lagen finns även be- stämmelser om behandling av känsliga personuppgifter och över- föring av personuppgifter till och tredje- land. Här följer en analys av de bestämmelsernas förenlighet med dataskyddsförordningen. 31 SOU 2017:39, förslaget till 3 kap. 8 § dataskyddslagen. Författningar som bl.a. reglerar behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagen i 12 § andra stycket första meningen lagen om internationella hot mot människors hälsa ändras till att avse dataskyddsförordningen och dataskyddslagen. Eftersom personuppgiftslagen kommer att upphävas, bör hänvis- ningar till den lagen tas bort. Eftersom enbart 12 § andra stycket lagen om internationella hot mot människors hälsa handlar om behandling av personuppgifter i en lag som i övrigt reglerar andra förhållanden, är det lämpligt att upplysa om att fler bestämmelser finns i dataskyddsförordningen och dataskyddslagen. Utredningens bedömning: Bestämmelsen om behandling av per- sonuppgifter som rör hälsa i 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa kan och bör behållas. Av 12 § andra stycket tredje meningen lagen om skydd mot inter- nationella hot mot människors hälsa framgår att uppgifter som rör någons hälsa får behandlas helt eller delvis automatiserat, om det är nödvändigt för att en myndighet, en kommun eller ett landsting ska kunna fullgöra sin uppgiftsskyldighet enligt samma lag. Regeringen gjorde under lagstiftningsarbetet bedömningen att undantaget för hälso- och sjukvård i 18 § personuppgiftslagen i de allra flesta fall borde kunna tillämpas på utlämnande av personupp- gifter i enlighet med åtagandena i det internationella hälsoregle- mentet.32 Bestämmelsen i 18 § personuppgiftslagen har stöd i arti- kel 8.3 i dataskyddsdirektivet, som i sin tur motsvaras av arti- kel i dataskyddsförordningen. I artikel 9.2 i i dataskyddsför- ordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter 2005/06:215 s. 47. Författningar som bl.a. reglerar behandling av personuppgifter som avser folkhälsoområdet. Som framgår av det ovan nämnda avsnittet är behovet av att säkerställa ett skydd mot allvarliga gräns- överskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska pro- dukter exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av artikeln. Eftersom behandlingen av personuppgifter i det här fallet sker i syfte att upprätta skydd mot internationella hot mot människors hälsa, är undantaget i arti- kel 9.2 i i dataskyddsförordningen mer relevant att tillämpa. För att undantaget i artikel 9.2 i i dataskyddsförordningen ska kunna tillämpas krävs att lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. Regler om tystnadsplikt finns i 25 kap. 1 § första stycket offent- lighets- och sekretesslagen (2009:400), där sekretess föreskrivs som huvudregel inom hälso- och sjukvården för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon när- stående till den enskilde lider men. Detsamma gäller i annan medi- cinsk verksamhet, såsom t.ex. åtgärder mot smittsamma sjukdomar. Detta har i doktrin tolkats som att verksamhet enligt bl.a. smitt- skyddslagen (2004:168) omfattas av sekretess i den mån den är individuellt inriktad.33 Regeringen har i förarbetena till lagen om skydd mot internationella hot mot människors hälsa ansett att det inte krävs något kompletterande sekretesskydd utöver det befint- liga.34 Utredningen bedömer att sekretessen enligt 25 kap. 1 § första stycket offentlighets- och sekretesslagen i vart fall täcker person- uppgifter om hälsa som behandlas i syfte att vidta åtgärder mot smittsamma sjukdomar, dvs. de känsliga personuppgifter som avses i bestämmelsen i 12 § lagen om skydd mot internationella hot mot människors hälsa. I artikel 45 i det internationella hälsoreglementet anges att personuppgifter ska omfattas av sekretess och behandlas anonymiserat när det krävs enligt nationell rätt. Personuppgifter får trots detta behandlas när det är nödvändigt för att bedöma och 33Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 1 § under . 2005/06:215 s. 46. Författningar som bl.a. reglerar behandling av personuppgifter hantera risker för folkhälsan, men då ställer reglementet upp krav på behandlingen som i allt väsentligt motsvarar de grundläggande kraven i artikel 5 i dataskyddsförordningen. Sammantaget får kravet på åtgärder för att skydda den registrerades rättigheter och friheter anses uppfyllt. Den nu aktuella behandlingen av personuppgifter sker på grund- val av nationell lagstiftning vilket också är ett krav enligt artikel 9.2 i i dataskyddsförordningen. Bestämmelsen i 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa har därmed stöd i artikel 9.2 i i dataskyddsförordningen och kan behållas. Bestämmelsen bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter, dvs. gene- tiska uppgifter och biometriska uppgifter för att entydigt identi- fiera en fysisk person samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att be- handla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga person- uppgifter överlappar varandra. Sådana uppgifter som omfattas av någon av de nya kategorierna men även utgör en uppgift om hälsa, kan enligt utredningens bedömning behandlas med stöd av 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa. Utredningen har övervägt om detta be- höver förtydligas i bestämmelsen på så sätt att det anges att upp- gifter som rör hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning får behandlas, på samma sätt som föreslås i avsnitt 10.1.11 och 12.8.4. Då det i utredningen inte har framkommit något behov av att behandla sådana uppgifter om hälsa som omfattas av någon av de nya kategorierna, saknas det dock enligt utredningens bedömning anledning att in- föra ett sådant förtydligande. Författningar som bl.a. reglerar behandling av personuppgifter 12.10.4 Överföring till tredjeland Utredningens förslag: Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot männi- skors hälsa behålls i sak men hänvisningen till 33 § personupp- giftslagen tas bort. och andra berörda myndigheter, kommuner och landsting får enligt 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot människors hälsa, oavsett bestämmelserna i 33 § personuppgiftslagen, överföra personuppgif- ter till och tredjeland för att fullgöra sin uppgiftsskyldighet enligt lagen om skydd mot internationella hot mot människors hälsa. Enligt artikel 49.1 d dataskyddsförordningen, som är direkt tillämplig, får en överföring till ett tredjeland göras när den är nöd- vändig av viktiga skäl som rör allmänintresset. Internationella ut- byten av uppgifter mellan hälsovårdsmyndigheter, t.ex. vid kontakt- spårning för smittsamma sjukdomar, är enligt skäl 112 till data- skyddsförordningen en uppgiftsöverföring som krävs och är nöd- vändig med hänsyn till viktiga allmänintressen. I förarbetena till 12 § andra stycket andra meningen lagen om skydd mot internatio- nella hot mot människors hälsa har överföringen av personuppgif- ter ansetts motiverad med hänsyn till ett allmänt intresse.35 Det saknas anledning att göra en annan bedömning i förhållande till dataskyddsförordningen. Kravet enligt artikel 49.4 i dataskyddsförordningen på att all- mänintresset är erkänt i unionsrätten eller i nationell rätt är upp- fyllt bl.a. genom att internationell överföring av personuppgifter mellan hälsovårdsmyndigheter i syfte att arbeta mot smittspridning särskilt omnämns i skälen till dataskyddsförordningen. I Europa- rådets sociala stadga är det dessutom ett mål att så långt som möjligt förebygga uppkomsten av epidemier, folksjukdomar och andra sjukdomar samt olycksfall. Personuppgifter kan därmed även enligt dataskyddsförordningen föras över till 2005/06:215 s. 48. Författningar som bl.a. reglerar behandling av personuppgifter och tredjeland för fullgörande av uppgiftsskyldigheten enligt lagen om skydd mot internationella hot mot människors hälsa. En bestämmelse om att överföring av personuppgifter till tredje- land i en viss situation är tillåten behöver, i enlighet med vad utred- ningen konstaterat i avsnitt 9.14, inte ändras om den i övrigt har stöd i dataskyddsförordningen. Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot män- niskors hälsa kan därmed behållas i sak, men hänvisningen till 33 § personuppgiftslagen bör tas bort. 12.11 Tobakslagen (1993:581) Utredningens bedömning: Bestämmelsen i 12 e § tobakslagen om utlämnande och användning av personuppgifter i vissa fall kan behållas. Av 12 e § tobakslagen framgår att en näringsidkare, som via distans- försäljning tillhandahåller tobaksvaror för försäljning till konsu- menter i ett annat land än det land där näringsidkaren har sitt säte eller sin affärsverksamhet, inte får lämna ut personuppgifter om konsumenten till tillverkaren av tobaksvaror eller till företag som ingår i samma koncern eller till andra tredje parter. Personuppgifter får inte heller användas eller överföras för andra ändamål än det aktuella köpet. Bestämmelsen infördes i tobakslagen i samband med att tobaks- produktdirektivet36 implementerades i svensk lagstiftning. I arti- kel 18.5 i tobaksproduktdirektivet anges i fråga om gränsöverskri- dande distansförsäljning att återförsäljningsställen endast ska be- handla personuppgifter om konsumenten i enlighet med data- skyddsdirektivet och att dessa uppgifter inte får lämnas ut till till- verkaren av tobaksvaror eller till företag som ingår i samma kon- cern eller till andra tredje parter. Personuppgifter får inte heller användas eller överföras för andra ändamål än det aktuella köpet. 36 och rådets direktiv /40/EU av om tillnärmning av medlemsstaternas lagar och andra författningar om tillverkning, presentation och försälj- ning av tobaksvaror och relaterade produkter och om upphävande av direktiv /37/EG (tobaksproduktdirektivet). Författningar som bl.a. reglerar behandling av personuppgifter Detta gäller också om återförsäljningsstället utgör en del av till- verkaren av tobaksvaror. Eftersom begränsningen av återförsäljares möjligheter att behandla personuppgifter inte återspeglas i reglerna i personuppgiftslagen, ansåg regeringen att det var befogat att in- föra en specialbestämmelse i tobakslagen som hanterar tobaks- produktdirektivets krav på personuppgiftshantering vid gränsöver- skridande distansförsäljning av tobaksvaror.37 Begränsningen av tobaksåterförsäljares möjligheter att behandla personuppgifter återspeglas inte heller av bestämmelserna i data- skyddsförordningen. Det är av det skälet befogat att ha kvar special- bestämmelsen i tobakslagen. Eftersom specialbestämmelsen i övrigt överensstämmer med vad som gäller enligt tobaksproduktdirektivet, prövar utredningen inte bestämmelsens förenlighet med dataskydds- förordningen. Det åligger inte medlemsstaterna att pröva tobaks- produktdirektivets förenlighet med dataskyddsförordningen, jämför artikel 98 i dataskyddsförordningen. 12.12 Alkohollagen (2010:1622) har det huvudsakliga ansvaret för tillsynen över efterlevnaden av alkohollagen. För att tillsynen ska kunna utövas effektivt, ska enligt 13 kap. alkohol- lagen föra ett centralt register som inkluderar uppgifter om perso- ner som har tillstånd eller bedriver verksamhet enligt alkohollagen. Det finns i 9 kap. alkohollagen dessutom bestämmelser om att upp- gifter ska lämnas till och från olika myndigheter i syfte att skapa förutsättningar för en effektiv tillsyn. Bestämmelserna i 9 och 13 kap. medför behandling av personuppgifter och nedan följer därför en analys av bestämmelsernas förenlighet med dataskydds- förordningen. 2015/16:82 s. 54 f. Författningar som bl.a. reglerar behandling av personuppgifter Skyldighet att föra register Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 13 kap. 1 § alkohollagen kan behållas. Av 13 kap. 1 § alkohollagen framgår att med hjälp av automatiserad behandling ska föra ett centralt register för tillsyn, uppföljning och utvärdering av lagens tillämpning samt framställning av statistik. Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Ändamål och grund för behandling av personuppgifter