sou · H5B366 · 2017-08-31 00:00:00 — Åtgärderna får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av upp- gifter som inte medger eller inte längre medger identifiering av de registrerade ska ändamålen uppfyllas på det sättet. Artikel 89.1 i dataskyddsförordningen kan alltså sägas precisera de mer allmänna bestämmelserna om skyddsåtgärder som nämnts ovan, bl.a. genom att ange att den personuppgiftsansvarige i första hand ska överväga om det är möjligt att behandla sådana uppgifter som inte medger identifiering av de registrerade. Enligt utredningens bedömning får detta dock anses följa redan av den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen samt de allmänna bestämmelserna om säkerhet. I dataskyddsdirektivet är formuleringen angående skyddsåtgärder för historiska, statistiska eller vetenskapliga ändamål något annor- lunda. I artikel 6.1 b i dataskyddsdirektivet anges att senare behand- ling för historiska, statistiska eller vetenskapliga ändamål förutsätter att medlemsstaterna beslutar om lämpliga skyddsåtgärder. Skyldig- heten för den personuppgiftsansvarige att iaktta principen om uppgiftsminimering och vidta säkerhetsåtgärder följer dock av de allmänna bestämmelserna i dataskyddsdirektivet. Det är därför utredningens bedömning att regleringen i dataskyddsförordningen motsvarar den som finns i dataskyddsdirektivet (för bedömning avseende ändrad formulering av ändamålen se avsnitt 9.17.2). Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav fast- ställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen (se avsnitt 9.3). Allmänt om befintliga bestämmelser utan hinder av dataskyddsförordningen åläggas krav på säkerhets- åtgärder (se avsnitt 9.2). För behandling av känsliga personuppgifter med stöd av arti- kel , i eller j i dataskyddsförordningen gäller att nationell lag- stiftning ska innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Motsvarande krav gäller enligt artikel 10 i data- skyddsförordningen för nationell lagstiftning som tillåter behand- ling av uppgifter om lagöverträdelser utan kontroll av en myndig- het (se avsnitt 9.12). Även i artikel 87 i dataskyddsförordningen talas det om lämpliga skyddsåtgärder i fråga om behandling av ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering (se avsnitt 9.13). Nationell lagstiftning om skydds- åtgärder kan vidare vara nödvändig för att en begränsning av den registrerades rättigheter ska få göras (se avsnitt 9.15.2). Olika skydds- åtgärder är således inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. 9.16.2Bestämmelser om säkerhetsåtgärder i registerförfattningar Utredningens bedömning: Bestämmelser i registerförfattningar om säkerhetsåtgärder behöver inte ändras. I fråga om enskildas behandling gäller det under förutsättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c eller e i dataskyddsför- ordningen eller om behandlingen av uppgifterna grundar sig på artikel , i eller j eller artikel 10 i dataskyddsförordningen. I registerförfattningar finns det ofta bestämmelser om vad som kan betecknas som säkerhetsåtgärder (eller skyddsåtgärder). Här kan följande nämnas som exempel: •Bestämmelser om en databas som reglerar vilka personuppgifter som får göras mera allmänt tillgängliga i den aktuella verksam- heten. •Bestämmelser om tilldelning och begränsning av behörighet samt loggkontroll. Allmänt om befintliga bestämmelser •Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske. •Bestämmelser om sökbegränsningar. •Bestämmelser om kryptering och pseudonymisering. •Bestämmelser om samtycke som krav för en viss åtgärd. En databas som används gemensamt i verksamheten För vissa verksamheter har man valt att i registerförfattning knyta särskilda regler till viss behandling av personuppgifter som anses särskilt integritetskänslig. Exempelvis bedöms sådan behandling av personuppgifter, som innebär att fler än ett fåtal personer har såväl tillgång till som möjlighet att bearbeta eller förfoga över uppgif- terna på annat sätt, typiskt sett mer integritetskänslig än vad som är fallet när endast någon enstaka person förfogar över uppgifterna.42 För att avgränsa vilka personuppgifter som berörs, används ofta ett databasbegrepp. Begreppet används i juridisk mening och ansluter inte nödvändigtvis till tekniska avgränsningar eller behörighetstill- delningar. En avgränsning av vilka personuppgifter som får behandlas i en viss databas är ett förtydligande och en tillämpning av vad som gäller enligt den grundläggande principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. Samma princip, uttryckt på i sak samma sätt, finns i artikel 6.1 b i dataskyddsdirektivet. Bestämmelser i registerförfattningar om begränsningar av använ- dares åtkomst till personuppgifter samt om uppföljning av åtkoms- ten är tänkta att innebära en konkretisering av personuppgifts- lagens bestämmelser om säkerhet. Genom att användare endast får tillgång till sådana personuppgifter som han eller hon exempelvis har behov av i sitt arbete, kan risken för otillåten behandling av per- sonuppgifter förbyggas eller åtminstone minskas. 2002/03:135 s. 47 ff. Allmänt om befintliga bestämmelser medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behand- lats på ett otillåtet sätt. Styrning av tilldelning och begränsning av behörigheter är sådana tekniska och organisatoriska åtgärder som den personuppgifts- ansvarige ska vidta på eget initiativ enligt dataskyddsförordningen. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav även fastställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Logguppföljning medför i sig vissa särskilda integritetsrisker som bör beaktas. Om uppföljning sker av anställdas åtgärder i ett ärendehanteringssystem, kan exempelvis personuppgifter avseende såväl enskilda, vars uppgifter finns i ett ärende, som de anställda komma att behandlas. Det får förutsättas att en bedömning av dessa integritetsrisker i förhållande till eventuella integritetsvinster har gjorts innan befintliga bestämmelser om logguppföljning har införts i registerförfattningar. Direktåtkomst och utlämnande på medium för automatiserad behandling Utlämnande genom direktåtkomst och utlämnande på medium för automatiserad behandling utgör olika former av behandling av per- sonuppgifter och regleras ofta i registerförfattningar. I dataskydds- förordningen, dataskyddsdirektivet och personuppgiftslagen finns det inga särskilda bestämmelser som direkt rör dessa former av behandling/utlämnande43 utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behandlingen upp- fyller tillämpliga grundläggande krav i artikel 5 i dataskyddsförord- ningen och har lagligt stöd enligt artikel 6 i dataskyddsförord- ningen. Det krävs också att säkerhetsåtgärder enligt artikel 24.1 och 32 i dataskyddsförordningen är vidtagna. Om utlämnandet avser känsliga personuppgifter eller uppgifter om lagöverträdelser, 43 I skäl 31 till dataskyddsförordningen finns det dock vissa uttalanden om offentliga myndig- heters begäranden om att uppgifter ska lämnas ut och om att register kopplas samman, som inte verkar ha direkt stöd i artiklarna i dataskyddsförordningen. Jämför eSam, Elektroniskt informationsutbyte – en vägledning för utlämnande i elektroniskt form, s. 22 f. Allmänt om befintliga bestämmelser krävs i tillämpliga fall stöd enligt artikel 9 respektive artikel 10 i dataskyddsförordningen. Motsvarande gäller enligt dataskyddsdirek- tivet. Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det således ske på vilket sätt som helst så länge föreskrivna säkerhetsåtgärder vidtas. Artikel 24.1 och 32 i dataskyddsförord- ningen om säkerhetsåtgärder, som har sin motsvarighet i artikel 16 och 17 i dataskyddsdirektivet, kommer att vara direkt tillämpliga. Varken dataskyddsförordningen, dataskyddsdirektivet eller person- uppgiftslagen innehåller några bestämmelser som särskilt tar sikte på sökning. Sökning och sammanställning av personuppgifter är dock en form av behandling av personuppgifter som omfattas av dataskyddsregleringen. Det innebär bl.a. att en sökning måste vara förenlig med angivna ändamål för att vara tillåten. I många registerförfattningar finns sökbegränsningar som fram- för allt tar sikte på användningen av känsliga personuppgifter och uppgifter om lagöverträdelser som sökbegrepp. Anledningen är att användningen av dessa uppgifter som sökbegrepp kan leda till att det går att skapa mycket integritetskänsliga sammanställningar med personer som har vissa egenskaper. Sökbegränsningarna inskränker också allmänhetens möjligheter att ta del av sammanställningen (2 kap. 3 § tredje stycket tryckfrihetsförordningen). Att förbjuda användning av t.ex. känsliga personuppgifter och uppgifter om lag- överträdelser som sökbegrepp utgör en säkerhetsåtgärd/skydds- åtgärd i dataskyddsförordningens mening. Kryptering och pseudonymisering är åtgärder som tillgodoser prin- cipen om uppgiftsminimering i artikel 5.1 c i dataskyddsförord- ningen eftersom sådana åtgärder innebär att den personuppgifts- ansvarige inte behandlar fler direkt identifierande personuppgifter än vad som är nödvändigt för ändamålet med behandlingen. Krav på kryptering och pseudonymisering uppfyller också villkoren i principen om integritet och konfidentialitet i artikel 5.1 f i data- Allmänt om befintliga bestämmelser skyddsförordningen som anger att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna med an- vändning av lämpliga tekniska och organisatoriska åtgärder. Kryp- tering och pseudonymisering utgör sådana säkerhetsåtgärder som nämns i artikel 32 i dataskyddsförordningen och som ska vidtas i den mån det är lämpligt. Det förekommer bestämmelser i registerförfattningar om att en viss åtgärd, t.ex. direktåtkomst eller utlämnande på medium för automatiserad behandling, med personuppgifter som behandlas med stöd av annan rättslig grund än samtycke bara får utföras med den registrerades samtycke. En sådan bestämmelse kan enligt ut- redningen anses utgöra en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd.44 Eftersom registerförfattningarna inom Socialdepar- tementets verksamhetsområde gäller utöver personuppgiftslagen, måste samtycket uppfylla det som anges i definitionen av samtycke i 3 § personuppgiftslagen, som genomför definitionen av samtycke i artikel 2 h i dataskyddsdirektivet. Enligt definitionen i artikel 4.11 i dataskyddsförordningen ska samtycket vara frivilligt, specifikt, informerat och utgöra en otve- tydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar den aktuella behandlingen av personuppgifter som rör honom eller henne. Definitionen av samtycke i artikel 4.11 i dataskyddsförord- ningen motsvarar i allt väsentligt den som finns i artikel 2 h i data- skyddsdirektivet. Eftersom själva definitionen av vad som utgör ett giltigt samtycke inte har ändrats i sak i dataskyddsförordningen, bedömer utredningen att någon ytterligare analys av lämpligheten av att uppställa ett krav på samtycke för att en viss åtgärd, såsom direktåtkomst eller annat elektroniskt utlämnande, ska få utföras inte behöver göras i de fall sådana bestämmelser finns i befintliga registerförfattningar. Dataskyddsförordningens definition av sam- tycke föranleder således inte i sig att denna typ av integritetshöjande åtgärder behöver ändras. 44 Jämför Ds 2016:44 s. 224 ff. Allmänt om befintliga bestämmelser I artikel 7 och artikel 8 i dataskyddsförordningen, om barns samtycke avseende informationssamhällets tjänster, finns vissa kompletterande bestämmelser om samtycke, som inte har någon uttrycklig motsvarighet i dataskyddsdirektivet och personuppgifts- lagen. Dessutom har frågan om samtycke utvecklats i skäl 43 till dataskyddsförordningen på ett sätt som saknar motsvarighet i data- skyddsdirektivet. Det kan alltså inte uteslutas att kraven på sam- tycke i vissa situationer har skärpts något i förhållande till vad som anses gälla . När registerförfattningarna, sedan dataskydds- förordningen börjat tillämpas, kommer att komplettera dataskydds- förordningen i stället för att gälla utöver personuppgiftslagen, kommer regleringen av samtycke som finns i dataskyddsförord- ningen att gälla även för de samtycken i registerförfattningarna som utgör integritetshöjande åtgärder. Det finns dock inte något krav enligt dataskyddsförordningen på att sådana samtycken som i registerförfattningar har föreskrivits såsom en integritetshöjande åtgärd och inte som en rättslig grund för att över huvud taget få behandla personuppgifter ska omfattas av de eventuellt skärpta kraven på samtycke. Utredningen har där- för övervägt att använda ett annat begrepp, exempelvis godkän- nande, för ett sådant samtycke som utgör en form av skyddsåtgärd. På så sätt skulle inte de eventuellt skärpta kraven i dataskyddsför- ordningen gälla för samtycken som utgör integritetshöjande åtgärder. Utredningen ser dock flera nackdelar med att införa ett nytt be- grepp. Samtycke är ett inarbetat begrepp och används för att ut- trycka integritetshöjande åtgärder i flera andra registerförfattningar än de som utredningen har sett över.45 Om samtycke ersätts med något annat begrepp, blir det otydligt om bestämmelsen om åter- kallelse av samtycke i artikel 7.3 i dataskyddsförordningen gäller. I lagen om biobanker i hälso- och sjukvården m.m. finns hänvis- ningar till andra bestämmelser om samtycke, varför en ändring av samtyckesbegreppet inte bedöms vara lämplig i den författningen. Sammantaget gör utredningen därför bedömningen att det, i vart fall inte inom ramen för den översyn som görs, är lämpligt att ersätta begreppet samtycke, när det avser en integritetshöjande 45 Bestämmelser om samtycke som krav för en viss åtgärd finns bl.a. i 10 § studiestöds- datalagen (2009:287), 9 § förordningen (1998:1234) om det statliga personadressregistret och 6 § lagen (2006:24) om nationella toppdomäner för på Internet. Allmänt om befintliga bestämmelser åtgärd, med något annat begrepp. Det innebär att de eventuellt skärpta kraven på samtycke enligt dataskyddsförordningen gäller även när samtycket används som en integritetshöjande åtgärd. Det bedöms dock inte hindra sådana åtgärder som behöver utföras, eftersom åtgärderna är beroende av den registrerades inställning till dem. Därför bör det inte heller komma i fråga att ta bort bestämmelser om samtycke såsom en integritetshöjande åtgärd. De bestämmelser om de nämnda säkerhetsåtgärderna/skyddsåtgär- derna som finns i registerförfattningar är enligt utredningens be- dömning sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i data- skyddsförordningen (se avsnitt 9.3). Myndigheter kan vidare genom nationell lag åläggas säkerhetsåtgärder utan hinder av dataskydds- förordningen (se avsnitt 9.2). Vid behandling av känsliga person- uppgifter som grundar sig på artikel (viktigt allmänt intresse), i (allmänt intresse på folkhälsoområdet) och j (arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål) i dataskyddsförordningen krävs det skydds- åtgärder enligt nationell rätt. Så är fallet även vid behandling av uppgifter om lagöverträdelser som inte utförs under kontroll av en myndighet. Bestämmelserna om sökbegränsningar eller andra säker- hetsåtgärder i registerförfattningar kan således vara inte bara tillåtna utan också nödvändiga såsom skyddsåtgärder vid behandling av känsliga personuppgifter och uppgifter om lagöverträdelser eller vid begränsning av den registrerades rättigheter enligt artikel 23 i data- skyddsförordningen. Det är således utredningens slutsats att bestämmelser i register- författningar om de nämnda säkerhetsåtgärderna/skyddsåtgärderna inte behöver ändras med anledning av dataskyddsförordningen. I fråga om enskildas behandling gäller det under förutsättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c och e (se Allmänt om befintliga bestämmelser avsnitt 9.3) eller om behandlingen av uppgifterna grundar sig på artikel , i eller j eller artikel 10 i dataskyddsförordningen. 9.17.1Den generella regleringen om gallring och bevarande Principen om lagringsminimering i artikel 5.1 e i dataskyddsförord- ningen innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får dock lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsför- ordningen, under förutsättning att de lämpliga tekniska och organi- satoriska åtgärder som krävs enligt dataskyddsförordningen genom- förs för att säkerställa den registrerades rättigheter och friheter. För känsliga personuppgifter gäller specifikt enligt artikel 9.2 j i dataskyddsförordningen att sådana uppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämp- liga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säker- ställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åt- gärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger Allmänt om befintliga bestämmelser eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Om personuppgifter behandlas för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller sta- tistiska ändamål, får det enligt artikel 89.2 och 3 i dataskyddsför- ordningen föreskrivas om undantag från vissa av den registrerades rättigheter. Det rör sig om rätten till registerutdrag, rättelse, be- gränsning av behandling och invändning mot behandling. Undan- tag får göras om det krävs för att uppnå ändamålet med behand- lingen. Om personuppgifter behandlas för arkivändamål av allmänt intresse, får undantag även göras från kravet på dataportabilitet och kravet på att den personuppgiftsansvarige ska underrätta mottagare av personuppgifter om eventuella rättelser, raderingar eller begräns- ningar av behandling som skett. Regleringen i dataskyddsförordningen av vad som gäller för gall- ring och bevarande skiljer sig något från den som framgår av data- skyddsdirektivet. Dataskyddsdirektivets reglering är inte lika ut- förlig och innehåller inget särskilt undantag för behandling av käns- liga personuppgifter. Formuleringarna i dataskyddsförordningen och dataskyddsdirektivet är inte heller desamma. Enligt artikel 6.1 e i dataskyddsdirektivet ska medlemsstaterna föreskriva att person- uppgifter förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna ska enligt artikeln också vidta lämp- liga skyddsåtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Dataskyddsdirektivets bestämmelse har kommit till uttryck i 9 § första stycket i samt tredje och fjärde styckena personuppgifts- lagen. Där framgår att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Person- uppgifter får dock bevaras för historiska, statistiska eller vetenskap- liga ändamål , men inte längre än vad som behövs för dessa ändamål. För att uppfylla dataskyddsdirektivets krav på skyddsåtgärder anges att personuppgifter som behandlas för dessa ändamål bara får användas för att vidta åtgärder i fråga om den regi- Allmänt om befintliga bestämmelser strerade om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.46 Enligt 8 § andra stycket personuppgiftslagen hindrar bestäm- melserna i personuppgiftslagen inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Det inkluderar även eventuella känsliga person- uppgifter. Bestämmelserna i 9 § första stycket i samt tredje och fjärde stycket personuppgiftslagen gäller därför inte vid en myndig- hets arkivering av allmänna handlingar utan har främst betydelse för enskilda arkiv. Gallring av allmänna handlingar styrs i stället av bestämmelser i arkivlagen (1990:782) samt i registerförfattningar, vars bestämmelser gäller före arkivlagen och arkivförordningen (1991:446). Detta framgår av 10 § arkivlagen och 14 § arkivförord- ningen. Regleringen kompletteras av myndighetsföreskrifter och myndighetsbeslut om gallring eller bevarande. har konstaterat att vidarebehandling av personuppgifter för arkivändamål av allmänt intresse är tillåten enligt artikel 5.1 b i dataskyddsförordningen. För att även känsliga personuppgifter ska få behandlas för arkivändamål har Dataskydds- utredningen föreslagit en undantagsbestämmelse som grundar sig på artikel 9.2 j i dataskyddsförordningen. Enligt 3 kap. 6 § förslaget till dataskyddslag ska känsliga personuppgifter få behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om be- varande och vård av arkiv. Eftersom det följer av direkt tillämpliga bestämmelser i dataskyddsförordningen att sådan behandling som inte avser känsliga personuppgifter är tillåten, innebär den före- slagna bestämmelsen enligt att dataskydds- förordningen och dataskyddslagen inte hindrar att allmänna hand- lingar arkiveras och bevaras eller att arkivmaterial tas om hand av en arkivmyndighet. Det blir därmed inte någon saklig skillnad för myndigheter i förhållande till vad som gäller enligt 8 § person- uppgiftslagen.47 Enligt 4 kap. 1 § förslaget till dataskyddslag ska personuppgifter som behandlas enbart för arkivändamål av allmänt intresse inte få användas för att vidta åtgärder i fråga om den registrerade, annat än 1997/98:44 s. 63. 47SOU 2017:39 s. 215–216 och 220–222. Allmänt om befintliga bestämmelser