sou · H5B352 · 2017-06-07 00:00:00 — Utredningen ska även undersöka vilka anpassningar av de författningar som hör till verksamhetsområde som krävs eller bör göras med anledning av dataskyddsförordningen, och lämna behövliga och lämpliga författningsförslag. Det pågår alltså ett utredningsarbete som bl.a. handlar om patientdatalagen. Vi bedömer att våra förslag kan beredas tillsammans med de förslag till anpassningar som lämnas av . förslag: Regeringen bör, med utgångspunkt i befintliga förslag, låta utreda möjligheten till ny lagstiftning som reglerar hantering av personuppgifter inom , som kompletterar och specificerar kraven i dataskyddsförordningen. har inte i sin riskanalys analyserat integritetsriskerna som kan föreligga generellt vid hantering av personuppgifter inom . Vi har i stället begränsat analysen till personuppgiftsbehandling i samband med de tjänster som kan erbjudas enskilda med hjälp av ny teknik, så kallad välfärdsteknik. Det är ett aktuellt område med många pågående satsningar och höga ambitioner. Vid användningen av dessa tjänster uppkommer en rad integritetsfrågor och de förutsätter ofta behandling av personuppgifter. () har i sin rapport21 om etiska aspekter på robotar och övervakning i vården av äldre, rekommenderat att en bedömning av de konsekvenser övervakningen kan få för etiska värden ska göras innan övervakningsåtgärder vidtas i vården eller omsorgen av äldre. Rådet betonar särskilt att det är viktigt att balans uppnås mellan nyttan av övervakningen och det intrång i den 21 Robotar och övervakning i vården av äldre – etiska aspekter, rapport av Stockjolm 2014. Hälso- och sjukvård och välfärdsteknik inom enskildes integritet som övervakningen innebär. Åtgärden bör vidtas på ett sådant sätt att intrånget blir så begränsat som möjligt. De bestämmelser som reglerar vilka personuppgifter som får hanteras i och hur det ska göras är utspridda på en mängd olika författningar. Den nuvarande regleringen av personuppgiftsbehandlingen i finns i lagen (2001:454) om behandling av personuppgifter inom , och förordningen (2001:637) om behandling av personuppgifter inom . Dessutom gäller i vissa delar bestämmelserna i personuppgiftslagen (1998:204). Det finns även regler som rör dokumentation och skyddet av den enskildes integritet på område i den materiella lagstiftningen såsom socialtjänstlagen (2001:453), och lagen (1993:387) om stöd och service till vissa funktionshindrade. kommer dataskyddsförordningen ersätta personuppgiftslagen. Även lagen om behandling av personuppgifter inom och dess förordning berörs av den pågående utredningen22 om anpassning till dataskyddsförordningen av regelverket inom ansvarsområde. Utredningen om rätt information i vård och omsorg23 föreslog en ny socialtjänstdatalag som skulle ersätta lagen om behandling av personuppgifter inom . Denna lag skulle vara en mer komplett reglering av hur personuppgifter ska hanteras inom . I sin analys av behovet av ny lagstiftning räknar utredningen upp de brister som föreligger med befintlig lagstiftning24: –Otydligt förhållande mellan lagen om behandling av personuppgifter inom och personuppgiftslagen. –Olika regler för olika aktörer på område. –Avsaknad av bestämmelser som tydliggör krav på de informationssystem som innehåller personuppgifter. –Avsaknad av bestämmelser som tydliggör när någon som arbetar i får ta del av uppgifter. 22Utredningen om dataskyddsförordningen – behandling av personuppgifter och anpassningar av författningar inom verksamhetsområde, S 2016:05. 23SOU 2014:23 s. 631 ff. 24SOU 2014:23 s. 591 ff. Hälso- och sjukvård och välfärdsteknik inom –Avsaknad av uttryckliga krav på behörighetsstyrning och åtkomstkontroll. –Avsaknad av tydlig vägledning för vad som gäller ifråga om utlämnande av personuppgifter på medium för automatiserad behandling och direkåtkomst. –Bristande harmonisering med motsvarande reglering på hälso- och sjukvårdens område, dvs. –Avsaknad av ett regelverk för ett ändamålsenligt utbyte av uppgifter mellan socialtjänst och hälso- och sjukvård. Utredningen om rätt information i vård och omsorg anför vidare att en särskild registerlagstiftning i många fall innebär en bättre garanti för utformningen av integritetsskyddet vad gäller särskilt känsliga register. Myndighetsregister med ett stort antal registrerade personer och med ett särskilt integritetskänsligt innehåll bör enligt utredningen vara reglerade i lag. Den behandling av personuppgifter som förekommer inom är av sådan karaktär och omfattning att de grundläggande principerna för behandlingen ska finnas i en lag. Riksdag och regering har i flera sammanhang uttalat att ett myndighetsregister som behandlar känsliga uppgifter om ett stort antal personer bör regleras i lag. I sitt remissvar25 över Rätt information på rätt plats i rätt tid26 anförde Datainspektionen att myndigheten delar uppfattningen att den nuvarande regleringen av personuppgiftsbehandling inom har vissa brister. Datainspektionen anförde att myndigheten hade uppmärksammat att regleringen är svår att förstå och tillämpa för . Det är ibland t.o.m. oklart om en viss typ av behandling av personuppgifter ens är tillåten enligt nuvarande lagstiftning. Datainspektionen anförde därför att myndigheten skulle välkomna en ny mer sammanhållen reglering av all den personuppgiftsbehandling som är aktuell inom område. Enligt Datainspektionens mening fanns det emellertid så stora brister i den föreslagna socialtjänstdatalagen, som inverkar såväl på den faktiska tillämpning av lagen som på det integritetsskydd den enskilde registrerade har rätt till, att föreslaget avstyrktes i sin helhet. 25Datainspektionens remissvar på SOU 2014:23, dnr 1568-2014. Hälso- och sjukvård och välfärdsteknik inom delar Datainspektionens och Utredningens om rätt information i vård och omsorg bedömning att det behövs en ny reglering för den personuppgiftsbehandling som förekommer inom . Personuppgiftsbehandlingen inom bör i likhet med personuppgiftsbehandlingen i hälso- och sjukvården regleras i en egen lag. En sådan lag bör utformas med beaktande av det lagstiftningsutrymme som dataskyddsförordningen ger. En komplett och tydlig lagstiftning inom detta område ökar förutsättningarna för ett ordnat införande av välfärdsteknik inom . Kommittén anser att en sådan lag bör innehålla bl.a. följande. 1.Ett kapitel om en säker och ändamålsenlig hantering av personuppgifter där bestämmelser om inre sekretess samlas med bestämmelser om ansvaret för att uppgifter finns tillgängliga när det behövs för att arbetet i ska kunna utföras på ett sätt som tillgodoser enskildas behov m.m. 2.Bestämmelser om att den som bedriver verksamhet inom ska se till att dokumenterade personuppgifter hanteras och förvaras så att inte obehöriga får tillgång till dem. Om internet eller andra jämförliga nät används för att överföra personuppgifter som behandlas enligt socialtjänstdatalagen, ska den som bedriver verksamhet inom se till att överföringen görs så att ingen obehörig kan ta del av uppgifterna. 3.Bestämmelser om att den som bedriver verksamhet inom ska se till att de informationssystem som innehåller personuppgifter är lätta att använda, stödjer arbete i , underlättar arbetet med kvalitetsutveckling, underlättar samverkan och utbyte av uppgifter samt är utformade på sådant sätt att de enskildas integritetsskydd tillgodoses. Dokumentationen i är i allmänhet av mer integritetskänslig karaktär än information i många andra sammanhang. Informationen rör inte sällan enskildas privata förhållanden om sådant som exempelvis hälsa och sociala och ekonomiska förhållanden. Av hänsyn till behovet av skydd för den personliga integriteten är det därför nödvändigt att de uppgifter om enskilda som dokumenteras i hanteras på ett säkert och ändamålsenligt sätt. Det handlar även om att inte äventyra enskildas förtroende för informationshantering. behöver uppgifter kunna användas Hälso- och sjukvård och välfärdsteknik inom på ett ändamålsenligt sätt som leder till att den enskilde får sina behov tillgodosedda. Dokumenterade personuppgifter behöver därför hanteras på ett sätt som gör att behovet av integritetsskydd kan tillgodoses som verksamheten ges förutsättningar att skapa bästa möjliga resultat för enskilda individer. Grundläggande förutsättningar för en ändamålsenlig informationshantering är bland annat att uppgifter finns tillgängliga när de behövs för att utreda, fatta beslut eller genomföra insatser för enskilda. En annan förutsättning är att de uppgifter som dokumenteras om enskilda förvaras och hanteras på ett sådant sätt att behoven av integritetsskydd tillvaratas. Det handlar exempelvis om att se till att obehöriga inte kan komma åt uppgifter om enskilda, att uppgifter inte sprids utanför verksamheten, att de informationssystem som används i verksamheten är utformade på ett sådant sätt att integritetsskyddet tillgodoses, att en användares behörighet till uppgifter anpassas och begränsas till de behov som användaren har samt att åtkomsten till uppgifterna loggas och kontrolleras m.m. anser att en särskild lag bör reglera personuppgiftshanteringen i och att en sådan lag bland annat bör innehålla ovan nämnda bestämmelser. Den utredning27 som undersöker vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom verksamhetsområde, har inte till uppgift att föreslå någon ny lag för behandling av personuppgifter inom område. 7.4Åtgärd – ställföreträdare för beslutsoförmögna bedömning: Det behöver införas bestämmelser om legala företrädare för personer med nedsatt beslutsförmåga i vård- och omsorgssituationer. Företrädarna måste ha befogenhet att ta ställning till såväl vård- och omsorgsinsatser, som den personuppgiftshantering som hör ihop med dessa. 27 Utredningen om dataskyddsförordningen – behandling av personuppgifter och anpassningar av författningar inom verksamhetsområde, S 2016:05 Hälso- och sjukvård och välfärdsteknik inom Respekten för varje människas integritet och självbestämmande är grundläggande utgångspunkter vid all vård, omsorg och forskning. De lagar som reglerar dessa områden förutsätter att en vuxen har förmåga att exempelvis själv ta initiativ, lämna samtycke till åtgärder, vara delaktig eller på annat sätt utöva sitt självbestämmande. Det finns dock personer som inte har förmåga att fullt ut utöva sitt självbestämmande. En persons förutsättningar att ta ställning i frågor, som rör hans eller hennes vård, omsorg eller forskning eller som rör hantering av personuppgifter, kan vara mer eller mindre begränsade. Att inte kunna fatta ett eget beslut i en situation är något som – av vitt skilda orsaker – potentiellt kan drabba alla människor. Personens förmåga att fatta egna beslut i en viss fråga kan vara nedsatt tillfälligt eller och graden av nedsättning kan variera . Personal inom hälso- och sjukvården och möter personer som av en eller annan anledning tillfälligt eller mer varaktigt saknar möjlighet att ge uttryck för sin inställning och vilja att exempelvis få en viss vård- och behandlingsinsats. En sådan person har ofta även nedsatt förmåga ta emot information och lämna samtycke till den informationshantering som vård- och behandlingsinsatserna förutsätter. Nuvarande regelverk för personuppgiftsbehandling i hälso- och sjukvården och innehåller inga särskilda bestämmelser för hur personuppgifter avseende personer som saknar förmåga att ta ställning till en viss personuppgiftsbehandling ska hanteras. Det saknas generella och heltäckande regler i svensk rätt gällande i vilka situationer vuxna ska anses sakna förmåga, i rättslig mening, att fatta egna beslut om sin hälso- och sjukvård eller omsorg och vad som då ska gälla. En konsekvens av bristerna i dagens reglering är bland annat att den som saknar förmåga att ta emot och förstå information samt ta ställning till frågor om informationshantering kan ställas utanför möjligheterna att ta del av de möjligheter som välfärdsteknik erbjuder. Många sådana tjänster är därtill utformade just som stöd för personer som har nedsatt beslutsförmåga och har ökade behov av omsorg och tillsyn. Denna brist i lagstiftningen har medfört svåra tillämpningsproblem i verksamheter inom vård och omsorg som står inför den kon- Hälso- och sjukvård och välfärdsteknik inom kreta uppgiften att hitta den bästa lösningen för en enskild person i behov av insatser. Avsaknaden av regler om ställföreträdare för personer med nedsatt beslutsförmåga medför att personer som inte själva kan ta ställning till frågor om hantering av information, riskerar att få insatser på osäkrare villkor och av lägre kvalitet än personer som har förmåga att ta ställning i dessa frågor. Vår utgångspunkt är att den som saknar förmåga att samtycka till vård eller omsorg och den informationshantering som föranleds av insatsen, har ett alldeles särskilt behov av lagstiftning som ger ökad trygghet och skydd. Behovet av skydd gäller såväl i frågor om patient- och brukarsäkerhet och kvalitet som i frågor om personlig integritet. Utredningen om stöd och hjälp till beslutsoförmögna i vård, omsorg och forskning har föreslagit en ny lag: lagen om stöd och hjälp till vuxna vid ställningstaganden till hälso- och sjukvård och omsorg28. Lagen innehåller bland annat bestämmelser om företrädare för personer som har fyllt och som inte har förmåga att i olika situationer själva ta ställning i frågor som gäller deras hälso- och sjukvård och omsorg. lämnade regeringen en lagrådsremiss29 med förslag till lagstiftning om framtidsfullmakter. En framtidsfullmakt är enligt remissen en fullmakt för en annan person att ha hand om fullmaktsgivarens personliga eller ekonomiska angelägenheter när denne kan det själv. En framtidsfullmakt ska dock inte kunna omfatta åtgärder inom hälso- och sjukvård eller tandvård. Däremot ska en fullmaktshavare kunna bistå vid ansökan om socialt bistånd och samtycka till personuppgiftsbehandling. Remissen innefattar också förslag om att anhöriga ska få rätt att företräda enskilda som inte längre själva kan ha hand om sina ekonomiska angelägenheter. 28Stöd och hjälp till vuxna vid ställningstaganden till vård, omsorg och forskning (SOU 2015:80). 29Regeringens remiss till lagrådet , Framtidsfullmakter – en ny form av ställföreträdarskap för vuxna. Hälso- och sjukvård och välfärdsteknik inom Eftersom självbestämmande är en viktig komponent för att den enskilde ska kunna ta till vara sina rättigheter har samhället ett ansvar för att se till att personer med nedsatt beslutsförmåga inte går miste om större värden än absolut nödvändigt, och för att, om möjligt, särskilda åtgärder vidtas för att kompensera för det försämrade skydd som den nedsatta beslutsförmågan för med sig.30 För att personer med nedsatt beslutsförmåga ska kunna dra nytta av fördelarna med exempelvis välfärdsteknik med bibehållet integritetsskydd, är det enligt kommittén viktigt att frågan om ställföreträdare får en lösning. Denna fråga blir inte löst av det begränsade förslag till framtidsfullmakter som regeringen lämnade i den ovan nämnda lagrådsremissen. Kommittén har inhämtat att frågan om ställföreträdare är under beredning i . Vi bedömer att det är angeläget att det införs en lagreglerad möjlighet att, i samband med insatser inom hälso- och sjukvården och , utse någon form av ställföreträdare för vuxna med nedsatt beslutsförmåga. 30 SOU 2015:80, s. 368. Som framgår av kommitténs delbetänkande, finns det inom e-förvalt- ningen ett antal risker för den personliga integriteten, relaterade till: Den ökade informationsdelningen inom och mellan myndigheter (påtaglig risk). När den enskilde förväntas ta ansvar för en hantering som den inte förmår överblicka (kan medföra att risken ökar). Offentlig sektors användning av publika molntjänster (allvarlig risk). Stora brister i myndigheters kompetens avseende juridik, informationssäkerhet och kravställning (påtaglig risk). Myndigheternas användning av tjänster från sociala medier och sökmotorföretagen (viss risk). Den ökade spridningen av information från myndigheter till resten av samhället, i kombination med en svårtillämpad och delvis oklar lagstiftning, dvs. PSI-lagstiftningen (påtaglig risk). Medborgarprofilering och myndigheters efterforskande verksamhet på nätet (allvarlig risk).1 Bristerna i myndigheternas informationssäkerhet (allvarlig risk). Avsaknaden av samordning och styrning (allvarlig risk). 1 Härmed avses sådan kontrollverksamhet hos myndigheter, som syftar till att i förväg bedöma vilken sannolikhet det finns för att en individ ska begå någon form av felaktighet. Denna typ av kontroller brukar kallas för ”smarta kontroller” eller ”urvalsprofiler”. I delbetänkandet använder vi medborgarprofilering som samlingsbegrepp för dessa företeelser. Det framkom också att bristerna i regelverket för e-förvalt- ningen kan medföra försämringar i integritetsskyddet. Slutligen kan sägas att en del myndigheter efterlyser tydligare och mer konkret vägledning från Datainspektionen i frågor som rör e-förvaltning. 8.2.1En myndighet med samlat ansvar för den offentliga förvaltningens digitalisering2 förslag: I instruktionen för den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, bör anges att denna myndighet även ska främja skyddet av den personliga integriteten, och då särskilt stödja lösningar som nyttjar integritetsskyddande arbetssätt och teknik. Kommittén har i delbetänkandet konstaterat att den bristande styrningen och samordningen i e-förvaltningen innebär risker inte bara för hur snabbt och hur väl digitaliseringen av förvaltningen kan genomföras, utan även bär med sig risker för den personliga integriteten. Vidare har det i kommitténs kontakter med myndigheter framförts att det finns ett behov av tydligare och mer konkret vägledning från Datainspektionen i frågor som rör e-förvaltning och integritetsskydd. Det har likaså i ett antal myndigheters remissvar på delbetänkandet framförts önskemål om tydlig och konkret vägledning från Datainspektionen eller från någon annan myndighet i frågor som rör integritetsskyddet i e-förvaltningen. Regeringen har gett i uppdrag till Utredningen om effektiv styrning av nationella digitala tjänster att analysera hur digitaliseringen i den offentliga sektorn kan stärkas genom att, inom ramen för den befintliga myndighetsstrukturen, samla ansvaret för dessa frågor till 2 Med denna myndighet avses det förslag till myndighet med samlat ansvar för digitaliseringen som lämnas i betänkandet digitalforvaltning.nu (SOU 2017:23). vill betona att alla myndigheter också fortsättningsvis kommer att ha kvar sitt fulla ansvar för hur personuppgifter hanteras av respektive myndighet – även om förslaget införs att ge en myndighet ett särskilt ansvar för digitaliseringen. en myndighet.3 Utredningen lämnade delbetänkandet digitalforvaltning.nu.4 I betänkandet föreslås två alternativ för valet av myndighet där det samlade ansvaret ska placeras. I bägge alternativen föreslås att det i den respektive myndighetens instruktion ska föreskrivas att myndigheten i fråga ska stödja andra myndigheter i utarbetandet av gemensamma uppförandekoder enligt dataskyddsförordningen. När det gäller hur den ansvariga myndigheten ska arbeta med integritetsskyddsfrågor, anges i delbetänkandet en hög ambitionsnivå: Eftersom frågorna om personlig integritet och informationssäkerhet är av avgörande betydelse för att digitaliseringen ska lyckas anser utredningen att de ska utgöra ett särskilt prioriterat område i uppdraget. Det behöver beaktas redan från början i förberedelserna inför att axla det samlade ansvaret för den offentliga sektorns digitalisering. Det ska då knytas sådan kompetens till den myndighet som får uppdraget, som behövs för att beakta integritets- och informationssäkerhetsskydd i ett tidigt skede av olika projekt och uppdrag. I uppdraget ska även ingå att ansvara för samverkan med Datainspektionen, MSB och PTS för att säkerställa att frågorna om skydd av personlig integritet och informationssäkerhet ständigt är närvarande när digitaliseringen genomförs. För att samverkan i frågorna om integritets- och informationssäkerhetsskydd ska prioriteras anser utredningen att de behöver lyftas upp och föras in i respektive myndighets instruktion. Kommittén välkomnar utredningens förslag och det som sägs om personlig integritet och informationssäkerhet. För att säkerställa att den höga ambitionsnivå som uttrycks i betänkandet även präglar den ansvariga myndighetens arbete i praktiken, anser vi att ambitionen bör konkretiseras i regeringens styrning av myndigheten även på andra sätt än att myndigheten ska samverka. Vi anser också att integritetsskyddande arbetssätt och teknik bör användas i större omfattning i samhället i allmänhet, och att offentlig sektor spelar en viktig roll i detta. En bilaga till vårt delbetänkande innehöll en inventering av sådan möjlig teknik och arbetssätt. Det är viktigt att försäkra sig om en genomgående och hög ambitionsnivå i myndighetens arbete när det gäller integritetsskydd och informationssäkerhet. Kommittén anser därför att det i den I det som följer benämns denna myndighet som ”den ansvariga myndigheten”. ansvariga myndighetens instruktion eller regleringsbrev uttryckligen bör anges att myndigheten även ska främja skyddet av den personliga integriteten, och då särskilt stödja lösningar som nyttjar integritetsskyddande arbetssätt och teknik.5 I delbetänkandet konstaterade kommittén att en återkommande iakttagelse är att enskilda i stor utsträckning är omedvetna om och har dåliga kunskaper om hur och varför deras personuppgifter hanteras i it-utrustningar och tjänster i olika sammanhang. En liknande iakttagelse har vi gjort beträffande personuppgiftsansvariga företag och myndigheter. Det finns således ett behov av omfattande och långsiktiga informationsinsatser riktade såväl till allmänheten som till personuppgiftsansvariga myndigheter, företag och övriga organisationer. Vi har därför i kapitlet lämnat ett förslag om att flera olika myndigheter bör få i uppdrag att inom sitt ansvarsområde utforma och bedriva omfattande folkbildning avseende digitaliseringen och dess inverkan på den personliga integriteten. Vi anser att den myndighet som får det samlade ansvaret, , , , Datainspektionen samt andra myndigheter och organisationer i civilsamhället borde vara självklara aktörer inom detta område. Dessa måste samarbeta med varandra för att utforma folkbildningsinsatsen på ett så bra och verkningsfullt sätt som möjligt. Det uppstår ibland på digitaliseringens och integritetsskyddets område motsättningar mellan de myndigheter som driver digitaliseringen och tillsynsmyndigheten. De här motsättningarna har ofta sin grund i respektive myndighets roll och uppdrag, men en bristfällig samverkan mellan myndigheter kan onödigt försvåra utvecklingen av ett välavvägt integritetsskydd och utvecklingen av en effektiv förvaltning. Därför vill vi betona att det är av avgörande betydelse för alla uppdragens genomförande och framgång att den ansvariga myndigheten har ett mycket väl fungerande samarbete med Datainspektionen. 5 Exempelvis kan detta göras genom att myndigheten i sitt arbete med att stödja och samordna e-förvaltningens utveckling, föreslår eller utreder möjligheterna att, vid samverkan mellan myndigheter eller vid bearbetningar av stora uppgiftssamlingar inom en myndighet, använda sig av integritetsskyddande teknik som intygsbaserad identifiering, randomisering eller säkra flerpartsberäkningar. Dessa exempel är hämtade ur delbetänkandets bilaga 3 Integritetsskyddande teknik, där varje teknik beskrivs närmare. förslag: Regeringen bör uppdra åt den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering att inrätta ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster. Regeringen bör också låta utreda hur ett regelverk för tystnadsplikt för leverantörer av molntjänster och andra personuppgiftsbiträden skulle kunna utformas.