sou · H5B366 · 2017-08-31 00:00:00 — Förslaget till lag om ändring i lagen (2010:111) om införande av socialförsäkringsbalken .................................. 17.15 Förslaget till lag om ändring i alkohollagen (2010:1622)... Förslaget till lag om ändring i lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av Förslaget till lag om ändring i lagen (2012:453) om register över nationella vaccinationsprogram...................... 17.18Förslaget till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens för 17.19Förslaget till förordning om ändring i förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter.................................................... 17.20Förslaget till förordning om ändring i förordningen (2001:637) om behandling av personuppgifter inom Förslaget till förordning om ändring i förordningen (2001:707) om patientregister hos ............. Förslaget till förordning om ändring i förordningen (2001:708) om medicinskt födelseregister hos Förslaget till förordning om ändring i förordningen (2001:709) om cancerregister hos .............. 17.24Förslaget till förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom Förslaget till förordning om ändring i förordningen (2005:363) om läkemedelsregister hos ....... Förslaget till förordning om ändring i förordningen (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården...................... 17.27Förslaget till förordning om ändring i förordningen (2006:196) om register över hälso- och Förslaget till förordning om ändring i förordningen (2008:194) om tandhälsoregister hos ........ Förslaget till förordning om ändring i förordningen (2009:1422) om behandling av personuppgifter i av statistik över kommunalt vårdnadsbidrag ...................... 17.30Förslaget till förordning om ändring i förordningen (2011:116) om register hos över läkemedel som lämnats ut från apotek i ...... 17.31Förslaget till förordning om ändring i förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet................................ Förslaget till förordning om ändring i förordningen (2013:413) om kosmetiska produkter................................. Förslaget till förordning om ändring i läkemedelsförordningen (2015:458) ................................... Förslaget till förordning om upphävande av förordningen (1994:565) om vårdnadsbidragsregister....... 17.35Förslaget till förordning om upphävande av förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för EU:s dataskyddsförordning blir tillämplig i och ersätter då personuppgiftslagen. Utredningen har inför det sett över registerförfattningarna inom verksam- hetsområde. Utredningens målsättning, eller utgångspunkt, har varit att den behandling av personuppgifter som är laglig ska kunna fortsätta. Den målsättningen har uppnåtts efter en ingående analys av både dataskyddsförordningen och registerförfattningarna. Utred- ningens förslag, som i huvudsak är av författningsteknisk karaktär, inskränker alltså inte nuvarande möjligheter att behandla person- uppgifter, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Å andra sidan föreslås inte heller författningsstöd för sådan behandling som inte är laglig . EU har beslutat om en förordning – den s.k. dataskyddsförordningen – som utgör en ny generell reglering för behandling av person- uppgifter inom EU. Dataskyddsförordningen ska börja tillämpas och kommer personuppgifts- lagen att upphävas. Dataskyddsförordningen är direkt tillämplig och dess bestämmelser är tvingande. Nationell lagstiftning på området kommer därför endast att komplettera dataskyddsförordningen i den utsträckningen det är möjligt att göra undantag eller förtydliganden i förhållande till dataskyddsförordningen. har föreslagit en ny lag – dataskydds- lagen – som, om förslaget leder till lagstiftning, kommer att inne- hålla bestämmelser som kompletterar dataskyddsförordningen på en generell nivå. Det har dessutom pågått ett omfatt- ande arbete med att anpassa befintliga registerförfattningar till data- skyddsförordningen. Registerförfattningarna kommer att komplettera dataskyddsförordningen på verksamhetsspecifik nivå. Den före- slagna dataskyddslagen kommer att vara subsidiär i förhållande till registerförfattningarna och är tillämplig i verksamheter som om- fattas av en särskild registerförfattning endast om inget annat följer av registerförfattningen eller föreskrifter som har meddelats med stöd av den. har haft i uppdrag att analysera vilka konsekvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom verksamhetsområde samt föreslå behövliga och lämpliga anpassningar av författningar inom verksamhetsområdet till följd av den nya förordningen. I det följande sammanfattas de viktigaste bedömningarna och förslagen i betänkandet. En utgångspunkt för utredningen har varit att de personuppgifts- ansvariga ska kunna fortsätta att behandla personuppgifter på samma sätt som de får . Det innebär att översynen har inriktats på att undersöka om behandling som är laglig kommer att kunna ske när dataskyddsförordningen ska tillämpas. Konsekvenser för verksamheter som inte har en registerförfattning När personuppgiftslagen upphävs försvinner möjligheten att be- handla personuppgifter med stöd av den s.k. missbruksregeln (5 a § personuppgiftslagen). Någon motsvarande regel finns inte i data- skyddsförordningen. Offentliga myndigheter får enligt dataskyddsförordningen inte behandla personuppgifter med stöd av en intresseavvägning när de fullgör sina arbetsuppgifter, vilket lär innefatta de arbetsuppgifter de utför inom den myndighetsspecifika verksamheten. Möjlighet- erna för myndigheter att behandla personuppgifter med stöd av en intresseavvägning minskar därmed. Det har inte framkommit att några myndigheter eller verksam- heter inom verksamhetsområde som inte har en registerförfattning behöver kompletterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas. Utredningen har dock genom tilläggsdirektiv fått i uppdrag att utreda behovet av en särskild författning med bestämmelser om be- handling av personuppgifter för Myndigheten för vård- och omsorgs- analys. Det uppdraget ska redovisas . Nationella bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen Medlemsstaternas nationella lagstiftning får enligt artikel 6.2 och 6.3 i dataskyddsförordningen innehålla mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen för såväl myndigheter som enskilda när det gäller behandling av person- uppgifter som är tillåten enligt artikel 6.1 c eller e. Det innebär att det är möjligt att i registerförfattningarna närmare reglera förutsätt- ningarna för behandling när behandlingen är nödvändig •för att fullgöra en rättslig förpliktelse, •för att utföra en arbetsuppgift av allmänt intresse, eller •för att utföra en arbetsuppgift som ett led i den personuppgifts- ansvariges myndighetsutövning. Därutöver hindrar dataskyddsförordningen inte att medlemsstaterna i nationell rätt inför mer restriktiva bestämmelser än enligt data- skyddsförordningen för sina egna myndigheters behandling av per- sonuppgifter eller ålägger dem utökade skyldigheter. Nationell lagstiftning som kompletterar dataskyddsförordningen kan ha både ett vidare och ett snävare tillämpningsområde än dataskydds- förordningen. Bestämmelser om registerförfattningars tillämpnings- område behöver därför i regel inte ändras med anledning av data- skyddsförordningen. Patientdatalagen, lagen om behandling av per- sonuppgifter inom och den tillhörande förordningen om behandling av personuppgifter inom omfattar dock viss behandling av personuppgifter som syftar till att verk- ställa straffrättsliga påföljder, såsom rättspsykiatrisk vård och ung- domsvård. Sådan behandling omfattas inte av dataskyddsförord- ningen utan av det nya dataskyddsdirektivet som i föreslås bli genomfört genom en ny brottsdatalag. Utredningen föreslår därför att lagen om behandling av personuppgifter inom social- tjänsten och den tillhörande förordningen inte ska gälla vid sådan behandling av personuppgifter som omfattas av den föreslagna brottsdatalagen. Patientdatalagen föreslås däremot gälla utöver den föreslagna brottsdatalagen vid behandling av personuppgifter inom rättspsykiatrisk vård. Rättslig grund för behandling av personuppgifter Behandling av personuppgifter är laglig enligt dataskyddsförord- ningen endast om och i den mån åtminstone ett av villkoren i arti- kel 6.1 i dataskyddsförordningen är uppfyllt. Villkoren i artikel 6.1 i dataskyddsförordningen är i huvudsak desamma som anges i arti- kel 7 i dataskyddsdirektivet och 10 § personuppgiftslagen. I registerförfattningar anges ofta de ändamål för vilka person- uppgifter får behandlas. Utredningen har konstaterat att de ända- mål som anges i de registerförfattningar som setts över grundar sig på rättsliga förpliktelser eller arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning. Ändamålen har därmed stöd i dataskyddsförordningen och kan behållas. Nya krav på den rättsliga grunden Det har i och med dataskyddsförordningen tillkommit vissa nya krav på de rättsliga grunderna för behandling av personuppgifter. När det gäller behandling som är nödvändig för att den person- uppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning måste grunden fastställas i nationell rätt eller Vidare måste syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse fastställas i den rättsliga grunden. I fråga om behandling för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning gäller i stället att syftet med behandlingen ska vara nödvändigt för ändamålet. Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter för att uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning måste slut- ligen också uppfylla ett mål av allmänt intresse och vara proportio- nell mot det legitima mål som eftersträvas. Myndighetsutövning måste alltid ha stöd i författning och rätts- liga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. Arbetsuppgifter av allmänt intresse härrör från uppdrag och åligganden som framgår av olika verksamhetsorienterade författningar eller regeringsbeslut. Är den rättsliga grunden inte fastställd i annan författning, är den dessutom i vart fall fastställd genom registerförfattningens ända- målsbestämmelser. Utredningen bedömer därför att kravet på att grunden ska vara fastställd genomgående är uppfyllt. Syftet med en behandling av personuppgifter med anledning av en rättslig förpliktelse kan enligt utredningens bedömning framgå av en registerförfattning eller av exempelvis den författning som reglerar själva verksamheten. För arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning får det förutsättas att tidi- gare bedömningar av lagligt stöd för behandling av personuppgifter även innefattat ett ställningstagande till att syftet med behandlingen för det aktuella ändamålet också är nödvändigt för ändamålet. Även kravet på att den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter måste upp- fylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas får anses vara uppfyllt genom tidigare ställningstaganden. Samtycke utgör enligt både dataskyddsdirektivet och dataskydds- förordningen en rättslig grund för behandling av personuppgifter. Utredningen har funnit att bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan behållas. Utredningens utgångspunkt är att i den mån det är möjligt behålla de möjligheter att behandla personuppgifter som myndigheter och vissa enskilda aktörer har . Det krävs därför att det är tydligt att de uppräknade ändamålen i registerförfattningarna inte är uttömmande när så har gällt tidigare. Utredningen behåller därför i sina förslag bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i författningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen. Känsliga personuppgifter och uppgifter om lagöverträdelser Nya kategorier av känsliga personuppgifter Det har i dataskyddsförordningen tillkommit några nya kategorier av känsliga personuppgifter – genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Att nya kategorier lagts till de befintliga innebär att det kommer att vara fler uppgifter som kategoriseras som käns- liga och som därmed omfattas av artikel 9 i dataskyddsförordningen. Eftersom huvudregeln enligt artikel 9.1 är att det är förbjudet att behandla känsliga personuppgifter, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandling av sådana uppgifter ska vara tillåten. Bestämmelser i särskilda registerförfattningar som tillåter att alla kategorier av känsliga personuppgifter enligt nuvarande defini- tion får behandlas bör avse alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av känsliga personuppgifter enligt nuvarande definition bör där- emot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter. Utredningen har dock i två fall, när det gäller patientdatalagen och läkemedelsförordningen, föreslagit förtydliganden som innebär att viss behandling av de nytillkomna kategorierna av känsliga personuppgifter ska vara tillåten även i fortsättningen. Detta eftersom det bedömts nödvändigt för en ändamålsenlig behandling av personuppgifter i de aktuella verksam- heterna. Tillåten behandling av känsliga personuppgifter Utredningen bedömer att bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av ett vik- tigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet är för- enliga med artikel i dataskyddsförordningen. I ett fall, när det gäller läkemedelsförordningen, har dock regleringen inte bedömts leva upp till det nya kravet på att det ska finnas bestämmelser om lämpliga skyddsåtgärder i den nationella lagstiftningen. Utredningen har därför föreslagit en begränsning som innebär att behandling av de där aktuella personuppgifterna endast får ske för angivna ändamål. Viss behandling av känsliga personuppgifter – enligt lagen om blodsäkerhet, lagen om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler, lagen om skydd mot inter- nationella hot mot människors hälsa samt lagen om register över nationella vaccinationsprogram – som tidigare tillåtits med stöd av ett viktigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet har utredningen bedömt vara tillåten med stöd av det s.k. folk- hälsoundantaget i artikel 9.2 i i dataskyddsförordningen. Även bestämmelser i registerförfattningar som tillåter behand- ling av känsliga personuppgifter inom hälso- och sjukvården samt inom social omsorg, såsom socialtjänst, är förenliga med dataskydds- förordningen. Sådana bestämmelser bör dock kompletteras med en bestämmelse som påminner om det nya kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnads- plikt. Nuvarande bestämmelser i registerförfattningarna om uppgifter om lagöverträdelser omfattar, utöver vad som gäller enligt dataskydds- förordningen, även uppgifter om friande brottmålsdomar och admi- nistrativa frihetsberövanden och innebär oftast restriktioner för behandlingen. Att dessa uppgifter, som omfattas av motsvarande bestämmelse i dataskyddsdirektivet, inte omfattas av dataskydds- förordningens reglering gör det möjligt att ta bort sådana restrik- tioner. Det är dock enligt utredningens mening svårt att se varför myndigheter och enskilda skulle få behandla sådana kategorier av personuppgifter i större utsträckning än de har bedömts ha behov av bara därför att dataskyddsförordningen gör det möjligt. Med stöd av möjligheten att införa nationella bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bör även de begränsningar för uppgifter om lagöverträdelser som inte omfattas av artikel 10 i dataskyddsförordningen behållas. Bestämmelser om att personnummer får registreras, t.ex. i en data- bas, eller att (bara) personnummer får användas som sökbegrepp vid vissa sökningar kan enligt utredningens mening inte i sig anses ställa upp några särskilda villkor för behandlingen av personnum- mer enligt artikel 87 i dataskyddsförordningen. Det behöver därför inte iakttas några sådana lämpliga skyddsåtgärder som krävs enligt samma artikel. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor, är de bestämmelser som redan finns i register- författningarna att anse som lämpliga skyddsåtgärder. Dataskyddsförordningens bestämmelser om överföring till tredje- land är direkt tillämpliga och medför inte något behov av nationella bestämmelser som tillåter överföring av personuppgifter till tredje- land. En nationell bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har dock en klargörande verkan och får anses vara en sådan mer specifik, eller särskild, bestämmelse som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning. Bestämmelserna i registerförfattningarna som anger när överföring av personuppgifter till tredjeland är tillåten har bedömts förenliga med dataskyddsförordningen och behöver därför inte ändras. Nya rättigheter och skyldigheter Det är utredningens övergripande bedömning att de nya rättigheter för registrerade och de nya skyldigheter för personuppgiftsansva- riga som dataskyddsförordningen medför normalt sett inte kan anses så betungande för de personuppgiftsansvariga att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av gene- rellt allmänt intresse. Utredningens utgångspunkt är därför att det inte bör finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än trots att nya rättigheter följer av dataskyddsförordningen. Rätt att göra invändningar Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av person- uppgifter avseende honom eller henne som grundar sig på allmänt intresse, myndighetsutövning eller en intresseavvägning. Flera registerförfattningar innehåller bestämmelser som begränsar rätten att göra invändningar. Utredningen har i fråga om sådana be- stämmelser gjort en prövning av om begränsningen är tillåten enligt den undantagsmöjlighet som anges i artikel 23.1 i dataskyddsförord- ningen i förhållande till varje enskild registerförfattning. Prövning- arna har lett till slutsatsen att det även fortsättningsvis är tillåtet att begränsa rätten att göra invändningar på det sätt som skett. Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska innehålla fler upplysningar än vad som följer av dataskyddsförordningen kan och bör behållas om skyldigheten avser myndigheter eller den ursprungliga behand- lingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen bör tas bort. Bestämmelserna bör kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling är direkt tillämpliga. Bestämmelser i registerförfattningar med hänvisningar till bestämmelserna i person- uppgiftslagen om rättelse bör således upphävas och inte ersättas av hänvisningar till dataskyddsförordningen. Utredningen bedömer att artikel 22.1 i dataskyddsförordningen omfattar enbart beslut som grundas på automatiserad behandling och inkluderar profilering. I den mån det inom Socialdepartemen- tets verksamhetsområde förekommer sådana beslut, krävs att något av de undantag som anges i artikel 22.2 i dataskyddsförordningen är tillämpligt. Vanligare är dock att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut om- fattas enligt utredningens tolkning inte av artikel 22 i dataskydds- förordningen, och dataskyddsförordningen ställer inte heller i övrigt några krav på att sådant beslutsfattande ska regleras särskilt. Bestämmelser om säkerhetsåtgärder/skyddsåtgärder som finns i registerförfattningar är enligt utredningens bedömning sådana mer specifika, eller särskilda, bestämmelser som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rätts- lig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Myndigheter kan vidare genom nationell lag åläggas krav på säkerhetsåtgärder utan hinder av data- skyddsförordningen. Vid viss behandling av känsliga personupp- gifter krävs det dessutom att skyddsåtgärder regleras i nationell rätt. Så är fallet även vid behandling av uppgifter om lagöverträdel- ser som inte utförs under kontroll av en myndighet. Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande kan behållas under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning eller därför att bestämmelserna endast avser myndigheters behandling av personuppgifter. Formuleringar i registerförfattningarna om bevarande av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål bör dock ändras till att avse arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med formuleringen i dataskyddsförordningen. Enligt utred- ningens bedömning innebär omformuleringen inte någon skillnad i sak. Av förslag till dataskyddslag framgår att tillsynsmyndighetens befogenheter enligt dataskyddsförordningen ska gälla även vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra författningar som kompletterar data- skyddsförordningen. Det behövs därför inte några särskilda be- stämmelser om tillsyn i de registerförfattningar som omfattas av översynen. Bestämmelserna i dataskyddsförordningen om skadestånd är direkt tillämpliga även på sådan behandling av personuppgifter som om- fattas av en registerförfattnings tillämpningsområde, under förut- sättning att det rör sig om sådan behandling som också omfattas av dataskyddsförordningen. Bestämmelser i registerförfattningar med hänvisningar till bestämmelserna om skadestånd i personuppgifts- lagen bör därför upphävas och inte ersättas av hänvisningar till dataskyddsförordningen. I artikel 83 i dataskyddsförordningen finns en uttömmande upp- räkning av när det är möjligt att utfärda sanktionsavgifter.