sou · H5B366 · 2017-08-31 00:00:00 — Några särskilda bestämmelser om straff och vite finns inte i register- författningar. har gjort bedömningen att något straff inte ska ådömas den som bryter mot dataskydds- förordningen samt att någon möjlighet för tillsynsmyndigheten att förena sina förelägganden med vite inte behöver införas.57 Utred- ningen bedömer att ställningstaganden är giltiga även för verksamhetsområde och god- tar således dem. Det finns därmed inget behov av nya bestämmelser i registerförfattningar med anledning av att personuppgiftslagens bestämmelser om straff och vite upphävs. 9.20Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig Utredningens bedömning: Bestämmelser om överklagande i registerförfattningar som enbart avser beslut om behandling av personuppgifter bör upphävas. Överklagandebestämmelser som utöver beslut om behandling av personuppgifter även avser andra beslut, bör ändras på så sätt att bestämmelser om över- klagande av beslut om behandling av personuppgifter ersätts med en upplysning om att det finns bestämmelser om över- klagande i den föreslagna dataskyddslagen. Bestämmelser om överklagande av vissa beslut som har fattats av en myndighet i egenskap av personuppgiftsansvarig finns i 52 § person- uppgiftslagen. Där anges att en myndighets beslut om information 57 SOU 2017:39 s. 295–297. Allmänt om befintliga bestämmelser enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information som ska lämnas med anledning av ett automatise- rat beslut enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut fattade av den personuppgiftsansvarige får enligt 53 § personuppgiftslagen inte överklagas. Prövningstillstånd krävs vid överklagande till kam- marrätten. Bestämmelsen i 52 § personuppgiftslagen har inte sin grund i dataskyddsdirektivet utan i allmänna förvaltningsrättsliga principer om att beslut som direkt berör en enskild person ska kunna över- klagas.58 Eftersom registerförfattningarna gäller utöver person- uppgiftslagen, är personuppgiftslagens överklagandebestämmelser tillämpliga om det inte finns avvikande bestämmelser i register- författningarna. Överklagandebestämmelsen i personuppgiftslagen trädde i kraft . Registerförfattningar som tillkommit innehåller ofta egna överklagandebestämmelser. De över- klagandebestämmelser som finns i de författningar utredningen sett över anger att beslut om rättelse och avslag på ansökan om information enligt 26 § personuppgiftslagen får överklagas till all- män förvaltningsdomstol. I förarbetena till överklagandebestäm- melsen i personuppgiftslagen konstaterades att det genom införan- det av en bestämmelse om överklagande i personuppgiftslagen är nödvändigt att ta in överklagandebestämmelser i särskilda registerförfattningar som hänvisar till personuppgiftslagen. Det framhölls också att det vid en översyn av registerförfattningar kan finnas anledning att uppmärksamma frågan om överklagande.59 Så länge sådana särskilda bestämmelser inte upphävts gäller de dock i första hand eftersom särbestämmelser i annan författning gäller framför personuppgiftslagen enligt 2 § personuppgiftslagen. De flesta författningar som tillkommit efter att överklagande- bestämmelserna infördes i personuppgiftslagen innehåller inte några bestämmelser om överklagande, eftersom det inte ansetts nödvän- 2005/06:173 s. 50–53. En uttrycklig bestämmelse om att förvaltningsbeslut får över- klagas om beslutet kan antas påverka någons situation på ett inte obetydligt sätt föreslås införas i den nya förvaltningslag som förväntas träda i kraft . Den föreslagna bestämmelsen avser att ge uttryck för de principer som kommit till uttryck i praxis om att det är ett besluts faktiska verkningar som avgör om ett beslut kan överklagas, se prop. 2016/17:180 s. 252–255. 2005/06:173 s. 53. Allmänt om befintliga bestämmelser Det förekommer dock hänvisningar till personuppgiftslagens bestämmelser om överklagande. Sådana bestämmelser har införts av tydlighetsskäl när författningen även innehåller bestämmelser om överklagande av andra beslut än sådana som berör behandling av personuppgifter. En registrerad ska enligt artikel 79 i dataskyddsförordningen ha rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som den registrerade anser har åsidosatt hans eller hennes rättigheter som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med dataskyddsförordningen. Enligt be- dömning, som överensstämmer med den bedömning som gjordes vid genomförandet av motsvarande bestämmelse i dataskyddsdirek- tivet, tillgodoses denna rättighet genom möjligheten att vid allmän domstol föra talan om skadestånd.60 I likhet med dataskyddsdirek- tivet innehåller dataskyddsförordningen inte någon särskild reglering om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig. har, mot bak- grund av de allmänna förvaltningsrättsliga principer som motiverade införandet av överklagandebestämmelserna i personuppgiftslagen, föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande. Av 8 kap. 2 § förslaget till dataskyddslag framgår att beslut enligt artiklarna 12.5, 15–19 eller 21 i dataskyddsförord- ningen som har meddelats av en myndighet i egenskap av person- uppgiftsansvarig får överklagas till allmän förvaltningsdomstol. Det rör sig om beslut om den registrerades rätt till information, registerutdrag m.m., rättelse, radering, begränsning, invändningar och underrättelse till tredje man om rättelse, radering eller begräns- ning. Prövningstillstånd föreslås på samma sätt som krävas vid överklagande till kammarrätten. Andra beslut av den personuppgifts- ansvarige får enligt 8 kap. 6 § förslaget till dataskyddslag inte över- klagas.61 Dataskyddslagen kommer att gälla om inte annat följer av register- författningarna eller föreskrifter som har meddelats med stöd av registerförfattningarna, se avsnitt 9.6. Det innebär att under förut- sättning att det inte finns avvikande bestämmelser i register- 60SOU 2017:39 s. 304. 61SOU 2017:39 s. 303. Allmänt om befintliga bestämmelser författningarna, kommer bestämmelserna i dataskyddslagen om över- klagande av personuppgiftsansvariga myndigheters beslut att vara tillämpliga även inom registerförfattningarnas tillämpningsområde, på samma sätt som personuppgiftslagens bestämmelser är . Något skäl att reglera överklagandemöjligheten på annat sätt än vad föreslagit har inte framkommit. Det finns därför inte behov av särskilda bestämmelser om överklagande i registerförfattningarna. Befintliga bestämmelser om att beslut om rättelse och information enligt 26 § personuppgiftslagen kan över- klagas bör därför upphävas. Vissa författningar innehåller dock, som angetts ovan, även bestämmelser om överklagande av andra beslut än beslut om behandling av personuppgifter. Av tydlighets- skäl bör dessa författningar förses med en bestämmelse som upp- lyser om att det finns bestämmelser om överklagande av beslut om behandling av personuppgifter i den föreslagna dataskyddslagen. Utredningens bedömning: Befintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsförordningen som enligt dataskydds- direktivet och bör inte ändras. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Rutinmässiga informationsöverföringar mellan myndigheter bör i regel vara författningsreglerade som uppgiftsskyldigheter, eftersom det annars krävs en sekretessprövning (10 kap. 28 § offentlighets- och sekretesslagen). En uppgiftsskyldighet – en skyldighet enligt lag eller förordning att lämna uppgifter till en viss mottagare – innebär att utlämnandet av uppgifter kan ske utan hinder av sekretess när det görs till en myndighet. I stället räcker det med en prövning av vilka uppgifter som kan lämnas ut med stöd av uppgiftsskyldigheten. Uppgiftsskyldigheter är som regel utformade så att de endast anger skyldigheten att lämna ut uppgifter och inte på vilket sätt uppgifterna ska lämnas eller varifrån uppgifterna ska hämtas. Ett helt manuellt utlämnande av personuppgifter som aldrig behandlats på ett sätt som omfattas av dataskyddsförordningens tillämpnings- område berörs förstås inte av dataskyddsförordningen. Allmänt om befintliga bestämmelser nande av personuppgifter från ett elektroniskt system medför där- emot en automatiserad behandling av personuppgifter i och med att personuppgifterna tas ut ur systemet, oavsett om överföringen av personuppgifter till mottagaren är automatiserad eller , inklusive muntligt uppgiftslämnande. I de fall där skyldigheten att lämna uppgifter gäller personuppgifter som hos den som skyldig- heten riktar sig till redan behandlas på ett sätt som omfattas av dataskyddsförordningen, måste därför dataskyddsförordningens bestämmelser följas vid uppgiftslämnandet. Detsamma gäller om den som ska fullgöra skyldigheten i andra fall väljer att göra det genom att behandla personuppgifter på ett sätt som omfattas av dataskyddsförordningen, t.ex. genom att först skanna in och sedan mejla uppgifterna. gäller att personuppgiftslagen eller tillämplig register- författning måste följas vid utlämnande av personuppgifter. För ett utlämnande av behandlade personuppgifter gäller enligt utredning- ens bedömning i princip samma förutsättningar enligt dataskydds- förordningen och dataskyddsdirektivet. Utlämnandet måste ske med stöd av ett primärt eller sekundärt ändamål eller vara förenligt med finalitetsprincipen, eller omfattas av ett tillåtet undantag från den principen. I vissa fall kan en skyldighet att lämna ut uppgifter uppfattas stå i strid med de ursprungliga ändamålen. Det finns dock enligt både dataskyddsdirektivet och dataskyddsförordningen vissa möjligheter till undantag från finalitetsprincipen. I enlighet med vad som anges i avsnitt 9.15.2 bedömer utredningen att de situationer där undan- tag kan göras enligt dataskyddsdirektivet omfattas av möjligheten till undantag enligt dataskyddsförordningen. En nyhet i dataskydds- förordningen är att en lagstiftningsåtgärd med undantag, när så är relevant, ska innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder (artikel 23.2). Det får förutsättas att det i samband med att den aktuella uppgiftsskyldigheten infördes över- vägdes vilka bestämmelser om bl.a. skyddsåtgärder som är relevanta. Det är därför utredningens bedömning att befintliga uppgiftsskyldig- heter, även sådana som är till synes svåra att förena med finalitets- principen, är lika förenliga med dataskyddsförordningen som de är med dataskyddsdirektivet. De behöver alltså inte ändras med anled- ning av dataskyddsförordningen. Allmänt om befintliga bestämmelser Vid utlämnande av känsliga personuppgifter krävs, förutom att det sker med stöd av ett primärt eller sekundärt ändamål eller är förenligt med finalitetsprincipen, om inte ett undantag har före- skrivits, att det finns särskilt stöd för behandlingen. Det är utred- ningens bedömning att de situationer där behandling av känsliga personuppgifter kan tillåtas enligt dataskyddsdirektivet inte är färre än enligt dataskyddsförordningen (se avsnitt 9.11). I den mån data- skyddsförordningen medför nya krav för behandling av känsliga personuppgifter – t.ex. i form av skyddsåtgärder – framgår av utred- ningens överväganden rörande respektive lagstiftning att kraven är uppfyllda genom regleringen i registerförfattningarna. I övrigt måste den personuppgiftsansvarige – liksom – beakta tillämplig reg- lering om dataskydd när uppgiftsskyldigheten fullgörs. Det är med stöd av det sagda utredningens samlade slutsats att de bestämmelser om uppgiftsskyldighet som finns inom Social- departementets verksamhetsområde är lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Någon ändring av dem med anledning av dataskyddsförordningen behövs därför inte. När uppgiftsskyldigheten fullgörs måste dock den personuppgifts- ansvarige beakta den reglering om dataskydd som finns i bl.a. data- skyddsförordningen. Utredningens bedömning: Utredningens förslag innebär inte att barns rättigheter enligt inte tillgodoses. Det krävs inte heller några nya bestämmelser för att uppfylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter. I utredningsdirektiven anges att utredaren mot bakgrund av åtagan- den i FN:s konvention om barnets rättigheter () i möjligaste mån och där det är relevant bör uppmärksamma barns rättigheter inom ramarna för utredningsuppdraget. Detta eftersom barns personuppgifter hanteras i stor utsträckning i många av verk- samheterna inom verksamhetsområde. Barns personuppgifter nämns också särskilt i skäl 38 till dataskyddsför- ordningen där det anges att dessa förtjänar särskilt skydd, eftersom Allmänt om befintliga bestämmelser barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. har förbundit sig att leva upp till de krav som barn- konventionen ställer. omfattar såväl medborger- liga och politiska rättigheter som sociala, ekonomiska och kultu- rella rättigheter. Grundprinciperna i är principen om icke-diskriminering, principen om barnets bästa, barnets rätt till liv, överlevnad och utveckling samt barnets rätt att fritt uttrycka sina åsikter i alla frågor som rör barnet. inne- håller utöver detta ett antal artiklar som reglerar barns rättigheter inom olika områden. Bland annat anges i artikel 16.1 i barnkonven- tionen att barn inte får utsättas för godtyckliga eller olagliga ingrip- anden i sitt privat- och familjeliv, sitt hem eller sin korrespondens och inte heller för olagliga angrepp på sin heder och sitt anseende. I flera av de verksamheter som omfattas av utredningens upp- drag behandlas barns personuppgifter. Behandling av barns person- uppgifter är i dessa verksamheter lika nödvändig som behandling av uppgifter om vuxna personer. De bestämmelser om säkerhetsåtgär- der som finns och som syftar till att skydda den personliga integri- teten gäller på motsvarande sätt för barns personuppgifter. Barnets rättigheter kan dock utövas av barnets vårdnadshavare. hade ratificerat innan den nuvarande regleringen av behandling av personuppgifter kom till och det får förutsättas att har beaktats vid utformningen av regler- ingen. Utredningens huvudsakliga uppdrag har varit att analysera vilka konsekvenser dataskyddsförordningen medför i fråga om be- handling av personuppgifter inom verksam- hetsområde och föreslå de anpassningar av författningar inom verk- samhetsområdet som behövs till följd av den. Vid analysen har beaktats, och utredningen bedömer att inget av utredningens förslag innebär att barns rättigheter enligt barnkonven- tionen inte tillgodoses. I skäl 38 till dataskyddsförordningen anges som nämnts ovan att barns personuppgifter förtjänar särskilt skydd. Där anges också att det särskilda skyddet för barns personuppgifter i synnerhet bör gälla användningen av barns personuppgifter i marknadsförings- syfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster Allmänt om befintliga bestämmelser som erbjuds direkt till barn utnyttjas. Någon sådan behandling av barns personuppgifter är, såvitt utredningen känner till, inte aktuell inom verksamhetsområde. Utredningen be- dömer att de befintliga bestämmelserna är tillräckliga för att upp- fylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter. SÄRSKILDA ÖVERVÄGANDEN OCH FÖRSLAG 10Författningar som reglerar en verksamhet 10.1Patientdatalagen (2008:355) Utredningens förslag: Patientdatalagen kompletteras med en bestämmelse som innebär att vissa bestämmelser i lagen inte ska tillämpas vid behandling av personuppgifter inom rättspsykia- trisk vård. Utredningen lämnar dock inte något förslag till vilka bestämmelser som inte ska tillämpas, utan förslaget ska ses som en markering av att det i det fortsatta lagstiftningsarbetet bör övervägas vilken anpassning av patientdatalagen som krävs med anledning av det nya dataskyddsdirektivet. Utredningens bedömning: Någon ändring av patientdatalagens tillämpningsområde föranleds inte av dataskyddsförordningen. Patientdatalagen ska enligt 1 kap. 1 § första stycket tillämpas vid vård- givares behandling av personuppgifter inom hälso- och sjukvården. Lagen är enligt 1 kap. 3 § tillämplig hos såväl offentliga vårdgivare, dvs. statliga myndigheter, landsting och kommuner, som privata vårdgivare, dvs. andra juridiska personer eller enskilda näringsidkare som bedriver hälso- och sjukvård. I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka uppgif- ter författningen ska tillämpas på inte i sig påverkas av dataskydds- förordningen. Patientdatalagen kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som . Författningar som reglerar en verksamhet Dataskyddsförordningen föranleder alltså inte någon ändring av patientdatalagens tillämpningsområde. Patientdatalagen är till följd av definitionen av hälso- och sjukvård i 1 kap. 3 § tillämplig bl.a. på behandling av personuppgifter som sker i samband med rättspsykiatrisk vård. Lagen (1991:1129) om rättspsykiatrisk vård gäller enligt 1 § andra stycket den som efter beslut av domstol ska ges rättspsykiatrisk vård, är anhållen, häktad eller intagen på en enhet för rättspsykiatrisk undersökning, är in- tagen i eller ska förpassas till kriminalvårdsanstalt eller är intagen i eller ska förpassas till ett särskilt ungdomshem för att verkställa en dom på sluten ungdomsvård. Utredningen om 2016 års dataskydds- direktiv har gjort bedömningen att all den vård som bedrivs enligt lagen om rättspsykiatrisk vård är hänförlig till något av områdena brottsbekämpning, lagföring eller verkställighet av straff och därför omfattas av tillämpningsområdet för det nya dataskyddsdirektivet (se avsnitt 9.5).1 Utredningen har inte anledning att göra någon annan bedömning. Det innebär att dataskyddsförordningen inte är tillämplig vid behandling av personuppgifter inom rättspsykiatrisk vård, se artikel 2.2 d i dataskyddsförordningen. Att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt ingår i det uppdrag regeringen gett Utredningen om 2016 års dataskyddsdirektiv2, som för detta ändamål har föreslagit en ny brottsdatalag.3 Brottsdatalagen ska enligt den föreslagna 1 kap. 2 § gälla för behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Behandling av personuppgifter som sker i sam- band med verkställighet av rättspsykiatrisk vård omfattas alltså av den föreslagna brottsdatalagens tillämpningsområde.4 Brottsdata- lagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestämmelser i annan lag eller förordning. 1SOU 2017:29 s. 224–225. 4SOU 2017:29 s. 172 och 224 f. Författningar som reglerar en verksamhet kompletteras patientdatalagen av personuppgiftslagen. När person- uppgiftslagen upphävts, dataskyddsförordningen börjat tillämpas och brottsdatalagen trätt i kraft kommer patientdatalagen vid behand- ling av personuppgifter inom rättspsykiatrisk vård att kompletteras av bestämmelserna i brottsdatalagen (se avsnitt 10.1.3) och inte av bestämmelserna i dataskyddsförordningen och dataskyddslagen. Utredningen anser att patientdatalagen, på samma sätt som vid annan hälso- och sjukvård, bör fortsätta att gälla vid behandling av personuppgifter inom rättspsykiatrisk vård. Utredningen har sam- rått med Utredningen om 2016 års dataskyddsdirektiv om den be- dömningen. Det ingår dock inte i utredningens uppdrag att föreslå anpassningar av registerförfattningar inom verksamhetsområde för att regleringen ska leva upp till det nya data- skyddsdirektivet. Den omständigheten att inte dataskyddsförord- ningen utan brottsdatalagen kommer att vara tillämplig när det gäller rättspsykiatrisk vård innebär att det för den verksamheten bör övervägas om det behöver göras undantag från exempelvis de bestäm- melser i patientdatalagen som föreslås innehålla hänvisningar till dataskyddsförordningen. I vilken utsträckning det behöver göras undantag eller anpassningar för att regleringen i patientdatalagen, när det gäller rättspsykiatrisk vård, ska uppfylla kraven i det nya dataskyddsdirektivet och inte komma i konflikt med den föreslagna brottsdatalagen behöver också bedömas i det fortsatta lagstiftnings- arbetet. För att det i det fortsatta lagstiftningsarbetet ska uppmärksam- mas att det krävs anpassningar av patientdatalagen på grund av det nya dataskyddsdirektivet vid behandling av personuppgifter inom rättspsykiatrisk vård har utredningen i författningsförslaget tagit in en markering om detta. I avsnitt 10.1.3 föreslås också en upplysnings- bestämmelse om att patientdatalagen vid behandling av personuppgif- ter inom rättspsykiatrisk vård kompletteras av brottsdatalagen. Hälso- och sjukvård i samband med verkställighet av fängelsestraff m.m. När Kriminalvården verkställer ett fängelsestraff kan det förekomma viss hälso- och sjukvård, som Kriminalvården tillhandahåller, efter- som den intagne inte kan utnyttja den allmänna hälso- och sjukvår- den. Motsvarande kan förekomma hos Författningar som reglerar en verksamhet vid verkställighet av missbrukarvård eller sluten ungdomsvård som påföljd. Sådan hälso- och sjukvård anses, enligt den bedömning Utredningen om 2016 års dataskyddsdirektiv gjort, separerad från den verksamhet som utgör verkställigheten av straffet. Det innebär att det även fortsättningsvis är patientdatalagen, kompletterad av dataskyddsförordningen och den förslagna dataskyddslagen, och inte den föreslagna brottsdatalagen som gäller för den behandling av personuppgifter som utförs inom och Statens institutionsstyrelses hälso- och sjukvårdsverksamhet, såvida det inte rör sig om sådan kontroll eller provtagning som den intagne i vissa fall är skyldig att underkasta sig som ett led i verkställigheten av straffet.5 Patientdatalagen kan alltså i dessa fall fortsätta att gälla vid behandling av personuppgifter inom hälso- och sjukvård hos straffverkställande myndigheter. Hälso- och sjukvård i verksamheter som inte omfattas av Hälso- och sjukvård kan utgöra led i verksamheter som inte om- fattas av , t.ex. när Försvarsmakten tar hand om soldater som skadats vid en övning eller insats i . Behandlingen av personuppgifter i verksamheten omfattas i dessa fall inte av data- skyddsförordningen (artikel 2.2 a), men enligt 1 kap. 2 § i den före- slagna dataskyddslagen ska bestämmelserna i dataskyddsförord- ningen och den lagen ändå gälla. Patientdatalagen, kompletterad av dataskyddsförordningen och dataskyddslagen, kan alltså fortsätta att gälla i dessa fall. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om patientdatalagens syfte i 1 kap. 2 §. 2007/08:126 s. 50 och SOU 2017:29 s. 218. Författningar som reglerar en verksamhet Som utredningen konstaterat i avsnitt 9.4 påverkas inte bestäm- melser om syftet med lagstiftningen av dataskyddsförordningen. Bestämmelsen i 1 kap. 2 § patientdatalagen kan därmed behållas. 10.1.3Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 1 kap. 4 § patientdata- lagen ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av patientdatalagen eller föreskrifter som med- delats med stöd av den lagen. Inom den rättspsykiatriska vården ska i stället den föreslagna brottsdatalagen gälla, om inte annat följer av patientdatalagen eller föreskrifter som meddelats med stöd av den lagen.