sou · H5B366 · 2017-08-31 00:00:00 — När uppgiftsskyldigheten fullgörs automatiserat måste dock be- stämmelser om dataskydd beaktas. När en vårdgivare lämnar ut personuppgifter på elektronisk väg, är patientdatalagen (2008:355) tillämplig på behandlingen av person- uppgifter. Enligt 2 kap. 5 § patientdatalagen får personuppgifter som behandlas för primära ändamål även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller för- ordning. Bestämmelsen ger också stöd för att lämna ut eventuella känsliga personuppgifter. Bestämmelsen i 2 kap. 5 § patientdata- lagen har stöd i dataskyddsförordningen (avsnitt 10.1.7). utlämnande av personuppgifter omfattas av regleringen i 114 kap. socialförsäkringsbalken. Av 114 kap. 9 § 1 socialförsäkringsbalken framgår att får behandla Författningar som bl.a. reglerar behandling av personuppgifter personuppgifter som behandlas för primära ändamål för att auto- matiserat tillhandahålla information utanför den egna myndigheten på grund av uppgiftsskyldigheter. Eventuella känsliga personupp- gifter kan lämnas ut automatiserat med stöd av 114 kap. 11 § första stycket socialförsäkringsbalken. Bestämmelserna i 114 kap. 9 § 1 och 11 § första stycket socialförsäkringsbalken har stöd i data- skyddsförordningen (avsnitt 10.13.5 och 10.13.6). En bestämmelse om att personuppgifter ska lämnas ut på elektro- nisk väg alternativt medium för automatiserad behandling får anses vara en sådan mer specifik, eller särskild, bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det är således möjligt att föreskriva att vårdgivare respektive med stöd av en uppgiftsskyldighet ska lämna ut personuppgifter på elektronisk väg respektive på medium för automatiserad behand- ling. Bestämmelserna i 17 och 19 a §§ förordningen om statligt tandvårdsstöd behöver därmed inte ändras med anledning av data- skyddsförordningen. Utredningens bedömning: Befintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsförordningen som enligt dataskydds- direktivet och bör inte ändras. Inom verksamhetsområde finns det en stor mängd författningar som reglerar uppgiftsskyldigheter. Det hand- lar om författningar som enbart gäller skyldigheten att lämna upp- gifter, t.ex. förordningen (1980:995) om skyldighet för Försäkrings- kassan och att lämna uppgifter till andra myndigheter, förordningen (2004:16) om utlämnande av uppgifter som avser stöd och service till vissa funktionshindrade och förord- ningen (2008:975) om uppgiftsskyldighet i vissa fall enligt social- tjänstlagen (2001:453), men även om författningar som innehåller bl.a. en eller flera bestämmelser om uppgiftsskyldigheter, t.ex. tand- vårdsförordningen (1998:1338), lagen (2007:606) om utredningar avseende vissa dödsfall och lagen (2008:145) om statligt tandvårds- stöd. Utan att redogöra för varje enskild bestämmelse konstaterar ut- redningen, i enlighet med vad som framgår av avsnitt 9.21, att be- fintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsför- ordningen som enligt dataskyddsdirektivet och att de inte bör ändras med anledning av dataskyddsförordningen. När uppgiftsskyldig- heten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. 14.1Förordningen (1994:565) om vårdnadsbidragsregister Utredningens förslag: Förordningen om vårdnadsbidrag bör inte anpassas till dataskyddsförordningen utan i stället upphävas. trädde lagen (1994:553) om vårdnadsbidrag i kraft. Vårdnadsbidrag skulle enligt lagen handläggas av Riksförsäkrings- verket och de allmänna försäkringskassorna. Eftersom lagen (1994:1517) om socialförsäkringsregister krävde att regeringen ut- färdade en förordning för att och de allmänna försäkringskassorna skulle få föra ett s.k. personregister som användes för handläggning av förmåner, utfärdade regeringen en ny förord- ning (1994:565) om vårdnadsbidragsregister. Lagen om vårdnadsbidrag upphävdes (SFS 1994:1567). Enligt övergångsbestämmelser gäller den upp- hävda lagen dock fortfarande i fråga om ärenden om vårdnadsbidrag som kommit in till före och som avser tid före nämnda datum. Förordningen om vårdnadsbidrags- register upphävdes inte i anslutning till att lagen om vårdnadsbidrag upphävdes och kommenterades inte heller i förarbetena.1 Enligt 9 § förordningen om vårdnadsbidragsregister ska register- information som inte behövs för handläggning av ett ärende om vårdnadsbidrag gallras under tredje kalenderåret efter det att upp- giften registrerades. Kontrolluppgift om utbetalda bidrag ska gallras . 1994/95:61. Obsoleta författningar SOU 2017:66 trädde en ändring i förordningen om vård- nadsbidragsregister i kraft. Ändringen innebar att ytterligare upp- gifter – som behövs för att beräkna och redovisa skatteavdrag enligt skattebetalningslagen (1997:483) – får registreras i vårdnadsbidrags- registret. Detta antyder att registret och förordningen, efter att vårdnadsbidraget avskaffats, fortfarande användes. Ändringen kommenterades inte i förarbetena.2 Därefter har inga ytterligare ändringar gjorts i förordningen om vårdnadsbidragsregister. Förordningen uppdaterades t.ex. inte när datalagen (1973:289) upphävdes och personuppgiftslagen trädde i kraft , när och de allmänna försäkringskassorna slogs ihop till en myndighet eller när skattebetalningslagen upphävdes . Lagen om socialförsäkringsregister upphävdes och har det inte funnits något krav på en särskild för- ordning för socialförsäkringsregister. Socialförsäkringsregisterlagen gällde –och var tillämplig på person- register för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förord- ning eller särskilt beslut av regeringen ankommer på de allmänna försäkringskassorna, eller Riksförsäk- ringsverket (socialförsäkringsregister). Förordningen om vårdnads- bidragsregister omnämndes inte i förarbetena till socialförsäkrings- registerlagen.3 Lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration gällde – och var tillämplig på behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra för- måner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av eller Pensions- myndigheten (socialförsäkringens administration). Förordningen om vårdnadsbidragsregister omnämndes inte heller i förarbetena till denna lag.4 omfattas motsvarande behandling av personuppgifter av 114 kap. socialförsäkringsbalken. trädde en ny lag om vårdnadsbidrag i kraft – lagen (2008:307) om kommunalt vårdnadsbidrag. Den här gången var det 1996/97:100. 1996/97:155. 2002/03:135. dock inte som ansvarade för handläggningen utan kommunerna. Lagen upphävdes vid utgången av . Sammantaget konstaterar utredningen att förordningen om vård- nadsbidragsregister är obsolet och kan upphävas. 14.2Förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister Utredningens förslag: Förordningen med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för social- försäkringsregister bör inte anpassas till dataskyddsförordningen utan i stället upphävas. Socialförsäkringsregisterlagen (1997:934) trädde i kraft . Av 22 § framgår att regeringen eller den myndighet reger- ingen bestämmer får meddela säkerhetsföreskrifter för socialförsäk- ringsregister. senare utfärdade regeringen förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister. Socialförsäkringsregisterlagen upphävdes och ersattes av lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, som i sin tur ersattes av 114 kap. socialförsäkringsbalken . Såväl lagen om behandling av personuppgifter inom socialförsäkringens admini- stration som socialförsäkringsbalken innehåller bemyndiganden som motsvarar bemyndigandet i 22 § socialförsäkringsregisterlagen. Regeringen har dock i 8 § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration be- myndigat att meddela föreskrifter rörande olika säkerhetsaspekter. har utfärdat sådana föreskrifter i föreskrifter (RFFS 2004:1) om behandling av personuppgifter inom socialförsäkringens administration. Data- inspektionen har å sin sida inga gällande föreskrifter som avser be- handling av personuppgifter hos . Sammantaget anser utredningen att förordningen med bemyn- digande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister är obsolet och kan upphävas. Utredningens förslag: Författningsändringarna till följd av data- skyddsförordningen ska träda i kraft . ska förordningen om vårdnadsbidrags- register och förordningen med bemyndigande för Datainspek- tionen att meddela säkerhetsföreskrifter för socialförsäkrings- register upphöra att gälla. Författningsändringarna till följd av den föreslagna brotts- datalagen ska träda i kraft . Dataskyddsförordningen träder enligt artikel 99.1 i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Enligt artikel 99.2 i dataskyddsförordningen ska den börja tillämpas . De författningsändringar som föranleds av att dataskyddsförord- ningen ska börja tillämpas bör träda i kraft . Registerförfattningarna inom verksamhets- område gäller utöver personuppgiftslagen. Utredningens för- slag utgår från att den författningstekniken behålls. Registerförfatt- ningarna föreslås således gälla utöver den föreslagna dataskydds- lagen, se bl.a. avsnitt 9.6. Det innebär att bestämmelserna i den föreslagna dataskyddslagen ska tillämpas om inget annat framgår av registerförfattningarna. Den valda författningstekniken bygger på att vissa bestämmelser i den generella nationella regleringen tillämpas vid sidan av registerförfattningarna. Registerförfattningarna inne- håller därför inte alla bestämmelser som är nödvändiga. En förut- sättning för att de författningsändringar utredningen föreslår ska kunna träda i kraft är därmed att även dataskydds- lagen träder i kraft . har föreslagit att dataskyddslagen ska träda i kraft den 25 maj 2018.1 Om dataskyddslagen av någon anledning inte kan träda i kraft , bör även ikraftträdandet av de författningsändringar utredningen föreslår till följd av dataskyddsförordningen senareläggas. Utredningen föreslår att patientdatalagen vid rättspsykiatrisk vård ska gälla utöver den föreslagna brottsdatalagen. Utredningen föreslår också att lagen om behandling av personuppgifter inom och den tillhörande förordningen inte ska gälla vid sådan behandling av personuppgifter som omfattas av den före- slagna brottsdatalagen. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att brottsdatalagen ska träda i kraft den 1 maj 2018.2 Den föreslagna brottsdatalagen är subsidiär i förhållande till andra författningar och skulle således vika för de nuvarande bestämmel- serna i de nämnda författningarna inom verk- samhetsområde. De bestämmelser som utredningen föreslår med koppling till brottsdatalagen bör därför träda i kraft . Om brottsdatalagen av någon anledning inte kan träda i kraft vid den föreslagna tidpunkten, bör även ikraftträdandet av de författningsändringar utredningen föreslår i denna del senare- läggas. Utredningen föreslår i avsnitt 14.1 och 14.2 att förordningen om vårdnadsbidragsregister och förordningen med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för social- försäkringsregister ska upphävas. Dessa förslag lämnas mot bak- grund av att författningarna bedöms vara obsoleta och har inget samband med att dataskyddsförordningen ska börja tillämpas. Det finns därför i och för sig inte något hinder mot att dessa båda för- ordningar upphävs före , men utredningen har ändå funnit det lämpligt att de rensas ut det datumet. 1SOU 2017:39 s. 340. 2SOU 2017:29 s. 655. Utredningens förslag: Övergångsbestämmelser med innebörden att äldre föreskrifter fortfarande ska gälla för överklagande av beslut som har meddelats före ikraftträdandet införs till de bestämmelser om överklagande som utredningen föreslår ska upphävas. Även äldre föreskrifter om skadestånd ska fortfarande gälla om den omständighet som yrkandet hänför sig till har in- träffat före ikraftträdandet. Utredningens bedömning: I övrigt behövs inte några särskilda övergångsbestämmelser utom i ett par fall, vilket framgår av de avsnitt som avser respektive författning. Dataskyddsförordningen ska som anges ovan börja tillämpas först efter det att den har trätt i kraft. I övrigt innehåller data- skyddsförordningen inte några övergångsbestämmelser. I skäl 171 till dataskyddsförordningen anges att behandling som redan pågår den dag då dataskyddsförordningen börjar tillämpas bör bringas i överensstämmelse med dataskyddsförordningen av från ikraftträdandetidpunkten. De personuppgiftsansvariga förutsätts alltså ha anpassat sin behandling av personuppgifter till regleringen i dataskyddsförordningen när den ska börja tillämpas. Det innebär t.ex. att en begäran om information i form av ett s.k. registerutdrag som kommit in men inte besvarats före ska hanteras enligt dataskyddsförordningens bestämmelser, inklusive bestämmelserna om när i förhållande till begäran registerutdraget senast ska lämnas. Enligt utredningens bedömning kan skäl 171 till dataskyddsförordningen dock inte an- ses hindra övergångsbestämmelser avseende behandling av person- uppgifter som utförts före det att dataskyddsförordningen börjar tillämpas. Enligt allmänna förvaltningsrättsliga principer gäller att de före- skrifter som är i kraft när prövningen hos en myndighet eller för- valtningsdomstol sker som huvudregel ska tillämpas, i fråga om både förfarandet och prövningen i sak. Detta gäller även om ett över- klagat beslut har fattats före ikraftträdandet. Principen är inte undan- tagslös och det kan också följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd.3 Utred- ningen konstaterar att det är lämpligt att de beslut om behandling av personuppgifter som fattas av en personuppgiftsansvarig myn- dighet överklagas enligt de regler som gällde när beslutet fattades. I några av de författningar som ingått i utredningens översyn finns bestämmelser om överklagande av beslut om behandling av personuppgifter som fattats av en personuppgiftsansvarig myndig- het. Överklagandebestämmelserna i lagen om behandling av person- uppgifter inom och lagen om biobanker i hälso- och sjukvården m.m. infördes innan det fanns överklagandebestämmel- ser i personuppgiftslagen och anger därför vilka beslut som får över- klagas. I patientdatalagen och socialförsäkringsbalken finns bestäm- melser som upplyser om att personuppgiftslagens överklagande- bestämmelser ska tillämpas. Upplysningsbestämmelserna kompletteras av bestämmelser som innebär att andra beslut inte får överklagas. Utredningen föreslår i avsnitt 10.1.20, 10.9.8, 10.13.15 och 12.1.9 att överklagandebestämmelserna ska upphävas och att bestämmelser som upplyser om att det finns bestämmelser om överklagande av beslut om behandling av personuppgifter i den föreslagna data- skyddslagen ska införas i vissa fall. För att det ska bli tydligt att de äldre föreskrifterna om överklagande ska tillämpas vid överklag- ande av beslut som meddelats före ikraftträdandet bedömer utred- ningen att övergångsbestämmelser bör införas. har föreslagit en övergångsbestämmelse till dataskyddslagen med innebörden att personuppgiftslagen, person- uppgiftsförordningen och föreskrifter som meddelats med stöd av dessa författningar fortfarande ska gälla för överklagande av beslut som meddelats med stöd av samma författningar.4 Ett smidigt 3RÅ 1996 ref. 57 och RÅ 1988 ref. 132. 4SOU 2017:39 s. 340–342. alternativ till att införa särskilda övergångsbestämmelser i register- författningar vore förstås att låta den av föreslagna övergångsbestämmelsen gälla även all annan lagstiftning som kompletterat personuppgiftslagen, dvs. även bestämmelserna i den lagstiftningen skulle ses som ”äldre föreskrifter”. Det anses följa av allmänna rättsgrundsatser att de skadestånds- bestämmelser som gäller för skadefallet är tillämp- liga. Detta behöver alltså inte regleras i särskilda övergångsbestäm- melser.5 Bestämmelsen om skadestånd i 48 § personuppgiftslagen har genom särskilda bestämmelser i registerförfattningarna gjorts tillämp- lig även vid behandling av personuppgifter enligt registerförfatt- ningarna. Utredningen föreslår att dessa bestämmelser i register- författningarna ska upphävas i samband med att personuppgifts- lagen upphävs och dataskyddsförordningen ska börja tillämpas (se bl.a. avsnitt 9.19.1). Skadeståndsbestämmelsen i personuppgiftslagen bör dock fortfarande gälla om den omständighet som yrkandet hänför sig till har inträffat före det att bestämmelsen upphävs. har föreslagit en övergångsbestämmelse som innebär att äldre föreskrifter – personuppgiftslagen, person- uppgiftsförordningen och föreskrifter som meddelats med stöd av dessa – om skadestånd fortfarande ska gälla för skada som orsakats före dataskyddsförordningens ikraftträdande. Som skäl för detta har anfört att det är lämpligt med en så tydlig reglering som möjligt, bl.a. mot bakgrund av att ett stort antal sektorsspecifika författningar innehåller hänvisningar till skade- ståndsbestämmelsen i personuppgiftslagen.6 Den föreslagna över- gångsbestämmelsen i dataskyddslagen omfattar enligt utredningens bedömning inte bestämmelser i registerförfattningar som innebär att skadeståndsbestämmelsen i personuppgiftslagen ska tillämpas vid brott mot bestämmelser i dessa författningar. Mot bakgrund av den föreslagna övergångsbestämmelsen till dataskyddslagen finns 1972:5 s. 593. 6SOU 2017:39 s. 342–343. det en risk att det blir otydligt för tillämparen om inte övergångs- bestämmelser införs även i registerförfattningarna. Utredningen föreslår därför att övergångsbestämmelser införs till de bestämmel- ser i registerförfattningarna som innebär att personuppgiftslagens skadeståndsbestämmelse är tillämplig på behandling av person- uppgifter som sker enligt registerförfattningen. Övergångsbestäm- melserna bör ange att det är tidpunkten för den omständighet som yrkandet hänför sig som är avgörande för vilka skadeståndsbestäm- melser som ska tillämpas. I avsnitt 10.14 föreslår utredningen en övergångsbestämmelse som avser förslaget till ändring i förordningen om behandling av person- uppgifter inom socialförsäkringens administration. Dessutom före- slår utredningen i avsnitt 10.15 en ändring i en befintlig övergångs- bestämmelse i lagen om införande av socialförsäkringsbalken. Över- vägandena framgår av de avsnitt som avser respektive författning. I övrigt bedömer utredningen att det inte finns något behov av övergångsbestämmelser med anledning av de förslag som lämnas. 16Konsekvenser av att utredningens förslag genomförs Utredningen ska enligt utredningsdirektiven redovisa förslagens konsekvenser enligt 14–15 a §§ kommittéförordningen (1998:1474). Det innebär att om förslagen i betänkandet påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betän- kandet. Även samhällsekonomiska konsekvenser i övrigt ska redo- visas. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Vidare ska eventuella konsekvenser för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, samt för syssel- sättning och offentlig service i olika delar av landet redovisas. Det- samma gäller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag, för jämställd- heten mellan kvinnor och män eller för möjligheten att nå de integra- tionspolitiska målen. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. Utredningen ska enligt utredningsdirektiven också redovisa för- slagens konsekvenser för den personliga integriteten. Konsekvenser av att utredningens förslag genomförs 16.2Uppdraget och de ändringar som föreslås Utredningen har i uppdrag att analysera vilka konsekvenser data- skyddsförordningen medför i fråga om behandling av personupp- gifter inom verksamhetsområde samt föreslå behövliga och lämpliga anpassningar av författningar inom verk- samhetsområdet till följd av den nya förordningen. I avsnitt 7 finns det en generell redogörelse för konsekvenserna av att dataskydds- förordningen börjar tillämpas. I detta avsnitt – avsnitt 16 – tar utred- ningen upp konsekvenserna av utredningens förslag, om de genom- förs. Dataskyddsförordningen innehåller till stor del samma eller i vart fall liknande bestämmelser som dataskyddsdirektivet och person- uppgiftslagen. Dataskyddsförordningen är dock direkt tillämplig och gäller – till skillnad från personuppgiftslagen som är subsidiär – oavsett vad som regleras i en nationell registerförfattning. Bestäm- melser i nationell lagstiftning är därför tillåtna endast om det finns särskilt stöd för sådana bestämmelser i dataskyddsförordningen. En översyn och anpassning av nationell lagstiftning på området är så- ledes nödvändig för att den inte ska strida mot den direkt tillämp- liga EU-förordningen. Utgångspunkten för översynen har varit att behandling av person- uppgifter som är laglig ska kunna fortsätta även efter att data- skyddsförordningen börjar tillämpas (se avsnitt 6.1). Det är inte några ofullkomligheter i lagstiftningen, eller ifrågasatta integritetskränkningar, som har föranlett utredningsuppdraget utan enbart den kommande nya EU-regleringen av behandling av person- uppgifter. De förslag till författningsändringar som utredningen lämnar avser därför att så långt det är möjligt bibehålla, dvs. varken inskränka eller utöka, befintliga möjligheter att behandla person- uppgifter. Utredningen har gått igenom samtliga bestämmelser som inne- håller reglering av behandling av personuppgifter inom Socialdeparte- mentets verksamhetsområde och föreslår ett stort antal författnings- ändringar som har till syfte att anpassa den svenska lagstiftningen till dataskyddsförordningen. Av utredningens överväganden fram- går vilka möjligheter som finns till nationell lagstiftning på området och vilka ändringar som är nödvändiga för att regleringen ska över- ensstämma med dataskyddsförordningen. Konsekvenser av att utredningens förslag genomförs gående bedömt det vara möjligt att behålla bestämmelser vars syfte är att ge en mer preciserad eller avvikande reglering i förhållande till den generella regleringen. Ett tillägg i form av en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. I övrigt föreslås ändringar av lagteknisk karaktär eller i upplysande syfte. De flesta av förslagen är rena följder av att dataskyddsförordningen ska börja tillämpas och att personuppgiftslagen upphävs. Det gäller t.ex. förslag att upphäva hänvisningar till personuppgiftslagen och bestämmelser avseende sådant som regleras direkt i dataskyddsför- ordningen eller i den föreslagna dataskyddslagen. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskydds- förordningen och dataskyddslagen, bidrar till att minska eventuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra. Konsekvensanalysen utgår från de förändringar som förslagen medför i relation till vad som gäller enligt nuvarande reglering, dvs. enligt befintliga registerförfattningar, övrig reglering som avser behandling av personuppgifter inom verksam- hetsområde och personuppgiftslagen.