sou · H5B366 · 2017-08-31 00:00:00 — Det förutsattes vid lagens till- komst att behov av undantag och preciseringar för speciella områ- den skulle tillgodoses genom särskild lagstiftning.3 Personuppgiftslagen ställer inte något krav på tillstånd för in- rättande och förande av personregister eller annan behandling av personuppgifter. I stället innehåller lagen en rad hanteringsregler för behandling av personuppgifter. Regleringen omfattar all an- vändning av personuppgifter oavsett syfte, omfattning och art och oavsett om hanteringen kan betecknas som harmlös eller känslig från integritetssynpunkt. Paragraferna beskriver hur personupp- gifter ska hanteras från det att de samlas in till dess att de utplånas. Hanteringsreglerna omfattar bl.a. vissa grundläggande krav på behandlingen av personuppgifter, förutsättningar för när behand- ling över huvud taget är tillåten, förutsättningar för att få behandla känsliga personuppgifter, uppgifter om lagöverträdelser och per- sonnummer samt krav på information till den registrerade. De grundläggande kraven gäller för all strukturerad behandling av personuppgifter (9 §). Personuppgifter ska behandlas på ett korrekt sätt, i enlighet med god sed och bara om det är lagligt. Insamling av personuppgifter får ske enbart för särskilda, uttryck- ligt angivna och berättigade ändamål och de insamlade personupp- gifterna får inte senare behandlas för något ändamål som är ofören- ligt med det ändamål för vilket de samlades in (finalitetsprincipen). Personuppgifter ska vara adekvata och relevanta i förhållande till ändamålet och behandlingen får inte avse fler personuppgifter än 1997/98:44 s. 40 f. Kort om gällande rätt vad som är nödvändigt. Uppgifterna ska också vara riktiga och, om det är nödvändigt, aktuella. I personuppgiftslagen anges vidare vissa förutsättningar för när en behandling av personuppgifter över huvud taget är tillåten (10 §). Personuppgifter får behandlas med samtycke eller om be- handlingen är nödvändig för något av ett antal uppräknade syften. Är en behandling nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller för att åtgärder som den registrerade be- gärt ska kunna vidtas innan ett avtal träffas, så kan den vara tillåten. En behandling kan också vara tillåten om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldig- het, för att vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. Vidare kan en behandling vara tillåten om den är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen kan en behandling vara tillåten med stöd av en intresseavvägning. Känsliga personuppgifter får som huvudregel inte behandlas (13 §). Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser, medlemskap i fackförening eller person- uppgifter som rör hälsa eller sexualliv. Vissa undantag görs från för- budet – när den enskilde uttryckligen samtyckt till behandlingen, om behandlingen är nödvändig bl.a. för att skydda vitala intressen hos den registrerade eller någon annan och den registrerade inte kan lämna sitt samtycke, inom hälso- och sjukvården samt för forsk- nings- och statistikändamål (15–19 §§). Enligt personuppgiftslagen får regeringen eller den myndighet som regeringen bestämmer medge ytterligare undantag från förbudet att behandla känsliga per- sonuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Enligt 8 § personuppgiftsförordningen (1998:1191) får myndigheter, utöver vad som anges i 15–19 §§ personuppgifts- lagen, behandla känsliga personuppgifter i löpande text om uppgif- terna har lämnats i ett ärende eller är nödvändiga för handlägg- ningen av det. Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- Kort om gällande rätt den (21 §). Uppgifter om personnummer och samordningsnummer får behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (22 §). I personuppgiftslagen finns det bestämmelser som innebär en skyldighet för den personuppgiftsansvarige att självmant lämna viss information om behandlingen av personuppgifter till den registre- rade. Informationen ska omfatta uppgift om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Det finns vissa undantag från be- stämmelserna om informationsskyldighet. Information behöver t.ex. inte lämnas om sådant som den registrerade redan känner till. Den personuppgiftsansvarige är också skyldig att efter ansökan en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte samt viss information om be- handlingen. (23–27 §§) Enligt 28 § personuppgiftslagen ska den personuppgiftsansvarige på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med lagen. Personuppgiftslagen innehåller också vissa bestämmelser om säkerheten vid behandlingen av personuppgifter. Den personupp- giftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgär- der för att skydda de personuppgifter som behandlas. (30–32 §§) Det är som huvudregel förbjudet att till tredjeland föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Personuppgifts- lagen innehåller dock vissa undantag till detta förbud. (33–35 §§) Den personuppgiftsansvarige är skyldig att anmäla all behand- ling av personuppgifter till tillsynsmyndigheten. Anmälningsskyl- digheten gäller dock inte om den personuppgiftsansvarige utser ett personuppgiftsombud. (36–37 §§) Kort om gällande rätt Hanteringsreglerna gäller för behandling av personuppgifter i struk- turerat material som traditionella dataregister, databaser och ärende- och dokumenthanteringssystem. För behandling av personupp- gifter i ostrukturerat material som löpande text i ordbehandlings- program, i e-post, på internet eller i enstaka ljud- eller bildupptag- ningar gäller i stället en förenklad reglering av missbruksmodell. Det innebär att sådan behandling av personuppgifter är undantagen från samtliga hanteringsregler i personuppgiftslagen som det har bedömts möjligt att göra undantag från inom ramen för data- skyddsdirektivet. I stället gäller att behandlingen inte får utföras om den innebär en kränkning av den registrerades personliga integritet (5 a §). Särregleringen för behandling av personuppgifter i ostrukturerat material brukar kallas för missbruksregeln. 3.4.1Ett stort antal författningar Registerförfattningar gäller utöver eller i stället för personuppgifts- lagen. Tanken är att författningarna ska ge berörda personuppgifts- ansvariga ett mer anpassat regelverk när det finns behov av att av- vika från eller komplettera det integritetsskydd som personupp- giftslagen ger. trädde en ny grundlagsbestämmelse, 2 kap. 6 § andra stycket regeringsformen (RF), i kraft. Enligt bestäm- melsen är var och en gentemot det allmänna skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan sam- tycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Det stärkta grundlagsskyddet innebär att en begränsning av det skydd som bestämmelsen föreskriver endast får göras i form av lag (2 kap. 20 § RF) och under de förutsättningar som anges 2 kap. 21 och 22 §§ RF. Enligt övergångsbestämmel- serna har äldre föreskrifter, som inneburit ett betydande intrång i den personliga integriteten, fortsatt att gälla till och med . Fram till dess har också ändringar kunnat göras i dessa föreskrifter. Kort om gällande rätt Det är inte helt självklart att sådana bestämmelser som finns i registerförfattningar alltid måste anses utgöra sådan reglering som medför ett betydande intrång i den personliga integriteten. Infor- mationshanteringsutredningen (Ju 2011:11) har i sitt betänkande argumenterat för att så inte är fallet.4 I den mån bestämmelserna tillåter ett sådant betydande intrång i den personliga integriteten som avses i grundlagsbestämmelsen, måste dock regleringen ske i lag. Det kan i sammanhanget noteras att det länge har varit ett ut- talat mål från regering och riksdag att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag, dvs. inte av den generella dataskyddslagstiftningen.5 Behovet av en särskild författningsreglering kan uppstå av olika anledningar. När en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt personuppgiftslagen, kan det exempelvis finnas skäl att ge ett uttryckligt stöd i en register- författning. Samma sak gäller när personuppgiftslagen visserligen reglerar ett visst förhållande men det finns anledning att avvika från eller precisera den regleringen. kan personuppgiftslagens bestämmelser ge upphov till tolkningsproblem, vilket kan ge anled- ning att göra förtydliganden i registerförfattning. Stora och käns- liga uppgiftsmängder kan behöva omgärdas av särskilda begräns- ningar ur ett integritetsperspektiv och ibland kan det finnas anled- ning att vara särskilt tydlig gentemot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar.6 Inom verksamhetsområde finns ett stort antal författningar som innehåller bestämmelser om behandling av personuppgifter av olika slag. Författningarna skiljer sig åt i fråga om såväl utformning och struktur som syfte. Vissa författningar har som övergripande funktion att utöver personuppgiftslagen sär- reglera behandling av personuppgifter inom vissa särskilda verk- samheter eller myndigheter. Andra författningar avser att reglera register som ska/får föras och som ska/kan ha ett visst innehåll. Det finns också författningar vars främsta syfte inte är att reglera ett visst register eller annan behandling av personuppgifter, utan bara till en mindre del innehåller bestämmelser som rör behandling 4SOU 2015:39 s. 185 ff. 5Se bland annat prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och prop. 1997/98:44 s. 41. 6För en beskrivning och kartläggning av registerförfattningar, se betänkandet Myndighets- datalagen, SOU 2015:39 s. 71–72 och 83 ff. Kort om gällande rätt av personuppgifter och i den delen utgör särreglering i förhållande till personuppgiftslagen. Vidare finns författningar som reglerar upp- giftsskyldigheter. 3.4.2Lagstiftning som reglerar en verksamhet Sådana författningar som i förhållande till personuppgiftslagen sär- reglerar behandling av personuppgifter inom vissa verksamheter eller myndigheter utgörs vanligtvis av lagar som kompletteras av förordningar med mer detaljerade bestämmelser. Det finns dock även fristående förordningar som har samma syfte. Författningarna är ofta uppbyggda på liknande sätt och inne- håller bestämmelser om tillämpningsområde, förhållandet till person- uppgiftslagen, personuppgiftsansvar, primära ändamål för myndig- hetens egen användning av personuppgifter och sekundära ändamål för utlämnande av personuppgifter till externa mottagare, vilka per- sonuppgifter som får behandlas, sökbegrepp, behörighetsbegräns- ningar, direktåtkomst och annat elektroniskt utlämnande, bevar- ande och gallring samt frågor om rättelse, skadestånd och överkla- gande. Alla författningar innehåller dock inte alla typer av bestämmel- ser utan författningarnas omfattning och detaljeringsgrad varierar. Inom verksamhetsområde finns flera för- fattningar som reglerar behandling av personuppgifter inom en viss verksamhet. I samtliga dessa författningar anges att personupp- giftslagen gäller om inget annat följer av den aktuella författningen eller av föreskrifter som meddelats i anslutning till denna. I några av författningarna anges också i förtydligande syfte att även annan lagstiftning kan gälla före personuppgiftslagen. I fråga om rättelse och skadestånd hänvisas genomgående till personuppgiftslagens bestämmelser. Vissa författningar, t.ex. 114 kap. socialförsäkrings- balken, gäller bara för myndigheter, medan andra, t.ex. patient- datalagen (2008:355), gäller både för myndigheter och enskilda. I kapitel 10 går utredningen igenom de författningar som regle- rar behandling av personuppgifter inom en viss verksamhet inom verksamhetsområde. Författningarna räknas upp nedan (i kronologisk ordning). Uppräkningen omfattar även några författningar som endast innehåller enstaka bestämmelser om behandling av personuppgifter som på olika sätt anknyter till någon Kort om gällande rätt av de författningar som reglerar behandling av personuppgifter inom en viss verksamhet. Det rör sig om förordningen (1985:796) med vissa bemyndiganden för att meddela föreskrifter m.m., förordningen (2008:363) om provtagning för hivinfektion, 112 kap. socialförsäkringsbalken och lagen (2010:111) om införande av socialförsäkringsbalken. •Förordningen (1985:796) med vissa bemyndiganden för Social- styrelsen att meddela föreskrifter m.m. •Lagen (2001:454) om behandling av personuppgifter inom social- tjänsten och den anknytande förordningen (2001:637) om be- handling av personuppgifter inom •Patientdatalagen (2008:355) och den anknytande patientdata- förordningen (2008:360) •Förordningen (2008:363) om provtagning för hivinfektion •Apoteksdatalagen (2009:367) och den anknytande apoteksdata- förordningen (2009:624) •Förordningen (2009:1422) om behandling av personuppgifter i verksamhet med framställning av sta- tistik över kommunalt vårdnadsbidrag •112 kap. socialförsäkringsbalken (2010:110) •114 kap. socialförsäkringsbalken (2010:110) och den anknytande förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration •Lag (2010:111) om införande av socialförsäkringsbalken •Förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet •Lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel och den anknytande förordningen (2016:533) om behandling av personuppgifter i ärenden om licens för läkemedel Kort om gällande rätt • Den föreslagna lagen om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen (SOU 2014:67) 3.4.3Lagstiftning som reglerar ett register eller en informationssamling Flera av myndigheterna under administrerar register som innehåller stora mängder personuppgifter om många personer. Några exempel är som ansvarar för de olika hälsodataregistren, som för ett register över förskrivningar av läkemedel och andra varor för människor (recept- register) och som för register över natio- nella vaccinationsprogram. De författningar som specifikt reglerar behandlingen av personuppgifter i dessa och liknande register har ett tydligt fokus på dataskyddsreglering. Författningarna anger av- vikande eller mer preciserade bestämmelser i förhållande till person- uppgiftslagen och på så sätt framgår det tydligt vad myndigheten ska eller får göra vid förandet av ett register. Det är vanligt att det i författningarna finns bestämmelser om förhållandet till personuppgiftslagen, betydelsen av den registrerades inställning till behandlingen, personuppgiftsansvar, registrets ända- mål, personuppgifter som får behandlas, sökbegränsningar, direkt- åtkomst, utlämnande på medium för automatiserad behandling, uppgiftsskyldigheter, information som ska lämnas, behörighets- tilldelning, gallring, rättelse och skadestånd. Av majoriteten av författningarna framgår att personuppgifts- lagen gäller om inget annat följer av den aktuella författningen eller av föreskrifter som meddelats i anslutning till författningen. I övriga författningar anges inte förhållandet till personuppgiftslagen. I de fall frågan om rättelse och skadestånd har tagits upp, hänvisas genom- gående till personuppgiftslagens bestämmelser. I samtliga författ- ningar anges en myndighet vara personuppgiftsanvarig för registret. I kapitel 11 går utredningen igenom de författningar som reglerar ett visst register eller en informationssamling inom Socialdeparte- mentets verksamhetsområde. Författningarna räknas upp nedan (i kronologisk ordning). Förordningen (1992:62) om bevarande av Kort om gällande rätt registret rörande vissa alkoholbrott m.m. skiljer sig från övriga författningar genom att enbart reglera frågan om bevarande. •Förordningen (1992:62) om bevarande av registret rörande vissa alkoholbrott m.m. •Lagen (1996:1156) om receptregister och den anknytande för- ordningen (2009:625) om receptregister •Lagen (1998:543) om hälsodataregister och följande anknytande förordningar: –Förordningen (2001:707) om patientregister hos Social- styrelsen –Förordningen (2001:708) om medicinskt födelseregister hos –Förordningen (2001:709) om cancerregister hos –Förordningen (2005:363) om läkemedelsregister hos Social- styrelsen –Förordningen (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården –Förordningen (2008:194) om tandhälsoregister hos Social- styrelsen –Förordningen (2011:116) om register hos över läkemedel som lämnats ut från apotek i •Lagen (2005:258) om läkemedelsförteckning och den anknytande förordningen (2009:626) om läkemedelsförteckning •Förordningen (2006:196) om register över hälso- och sjukvårds- personal •Lagen (2012:453) om register över nationella vaccinationsprogram 3.4.4Lagstiftning som bland annat reglerar behandling av personuppgifter Utöver de mer traditionella registerförfattningarna finns många författningar vars främsta syfte inte är att reglera förandet av ett visst register eller annan behandling av personuppgifter men i an- Kort om gällande rätt slutning till annan verksamhetsreglering också anger vad som gäller i fråga om viss behandling av personuppgifter. Inom verksamhetsområde finns några olika kategorier av författningar som delvis innehåller reglering av behandling av personuppgifter. Det finns några författningar på socialtjänstområdet, som bl. innehåller bestämmelser om gallring av personuppgifter. Ett antal författningar som avser hantering av humanbiologiskt material reglerar även vad som gäller ur ett person- uppgiftsperspektiv. Några lagar specificerar vad som gäller i fråga om överföring av personuppgifter till tredjeland medan det i andra lagar finns bestämmelser om register som ska föras. Vissa författ- ningar innehåller bestämmelser om att uppgifter som ska lämnas ut ska eller får överföras elektroniskt. Det finns också exempel på bestämmelser om automatiserade beslut och undantag från för- budet att behandla känsliga personuppgifter. Vissa av de person- uppgiftsrelaterade bestämmelserna riktar sig enbart till myndig- heter, t.ex. bestämmelserna förordningen (2013:413) om kosmetiska produkter, medan andra gäller både för myndigheter och enskilda, t.ex. socialtjänstlagen (2001:453), lagen (2006:496) om blodsäker- het och lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Tobakslagens bestäm- melser riktar sig enbart till enskilda. I kapitel 12 går utredningen igenom de författningar inom Social- departementets verksamhetsområde vars främsta syfte inte är att reglera behandling av personuppgifter men som ändå innehåller sådana bestämmelser. Nedan följer en uppräkning (i kronologisk ordning) av dessa författningar. •Förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter •Lagen (1991:1047) om sjuklön •Lagen (1993:387) om stöd och service till vissa funktionshindrade och den anknytande förordningen (1993:1090) om stöd och ser- vice till vissa funktionshindrade •Tobakslagen (1993:581) •Bostadsbidragsförordningen (1993:739) •Förordningen (1996:1036) om underhållsstöd Kort om gällande rätt •Förordningen (1998:562) med vissa bemyndiganden för Försäk- ringskassan •Förordningen (1998:1340) om inkomstgrundad ålderspension •Socialtjänstlagen (2001:453) och den anknytande socialtjänst- förordningen (2001:937) •Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och den anknytande förordningen (2002:746) om biobanker i hälso- och sjukvården m.m. •Lagen (2006:351) om genetisk integritet m.m. •Lagen (2006:496) om blodsäkerhet och den anknytande förord- ningen (2006:497) om blodsäkerhet •Lagen (2006:1570) om skydd mot internationella hot mot män- niskors hälsa •Förordningen (2008:193) om statligt tandvårdsstöd •Lagen (2008:286) om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler och den anknytande för- ordningen (2008:414) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler •Lagen (2009:366) om handel med läkemedel och den ankny- tande förordningen (2009:659) om handel med läkemedel •Förordningen (2010:425) om ersättning för kostnader för sjuk- lön •Patientsäkerhetslagen (2010:659) och den anknytande patient- säkerhetsförordningen (2010:1369) •Alkohollagen (2010:1622) •Lagen (2012:263) om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga organ och den anknytande förordningen (2012:346) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ •Förordningen (2013:413) om kosmetiska produkter •Läkemedelslagen (2015:315) och den anknytande läkemedels- förordningen (2015:458) Kort om gällande rätt 3.4.5Lagstiftning som reglerar uppgiftsskyldigheter Det finns inom verksamhetsområde ett antal författningar som föreskriver olika uppgiftsskyldigheter. Uppgifts- skyldigheterna härrör från myndigheternas stora behov av att ut- byta och inhämta uppgifter från såväl andra myndigheter som en- skilda. I kapitel 13 tar utredningen upp författningar som innehåller uppgiftsskyldigheter men som i övrigt inte reglerar någon behand- ling av personuppgifter. Författningar som även innehåller bestäm- melser om hur personuppgifter ska lämnas ut – t.ex. automatiserat eller via direktåtkomst – är sådan lagstiftning som avses i kap. 10–12. antogs och rådets förord- ning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen. Data- skyddsförordningen utgör en ny generell reglering för behandling av personuppgifter inom EU och ersätter dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivi- sera skyddet för personuppgifter för att förbättra den inre markna- dens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskydds- direktivets struktur och innehåll men det har även tillkommit några nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna, men både förutsätter och möjliggör kompletterande nationella be- stämmelser av olika slag. I det följande redogörs det först för skillnaderna mellan en EU- förordning och ett EU-direktiv och sedan för bestämmelserna i dataskyddsförordningen. 4.2Skillnaden mellan en EU-förordning och ett EU-direktiv Det ordinarie lagstiftningsförfarandet inom EU går till på så sätt att och rådet på förslag av kommissionen gemensamt antar en EU-förordning, ett EU-direktiv eller ett beslut (artikel 289 fördraget om Europeiska unionen, ).