sou · H5B366 · 2017-08-31 00:00:00 — Det behöver där- för inte göras någon bedömning av om det är tillåtet att behandla känsliga personuppgifter i registret. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Författningar som bl.a. reglerar behandling av personuppgifter Även bestämmelserna med bemyndiganden att meddela ytterligare föreskrifter kan därmed behållas. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 18 § fjärde stycket lagen om blodsäkerhet. Bestämmelser om personuppgiftsansvar i registerförfattningar be- höver, som framgått av avsnitt 9.7, inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens be- dömning bestämmelsen om personuppgiftsansvar i lagen om blod- säkerhet. Bestämmelsen i 18 § fjärde stycket lagen om blodsäkerhet kan och bör därmed behållas. Utredningens bedömning: Bestämmelserna om direktåtkomst i 18 § femte stycket lagen om blodsäkerhet samt 8 a § och 8 b § andra stycket förordningen om blodsäkerhet kan behållas. Regeringen får enligt 18 § femte stycket lagen om blodsäkerhet meddela föreskrifter om vilken myndighet som får ha direkt- åtkomst till uppgifterna i Inspektionen för vård och omsorgs register. Av 8 a § förordningen om blodsäkerhet framgår att får medges direktåtkomst till uppgifterna i registret om uppgifterna behövs hos för kunskapsutveckling, statistikfram- ställning, uppföljning, utvärdering eller epidemiologiska studier. Vidare anges i 8 b § andra stycket att har rätt att ta del av uppgifterna genom direktåtkomst. Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka för- utsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Bestämmelserna om direktåtkomst kan, i enlighet med vad utredningen kommit fram till i det avsnittet, behållas. Författningar som bl.a. reglerar behandling av personuppgifter Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Även bemyndigandet kan därmed vara kvar. Utredningens förslag: Bestämmelsen i 21 § lagen om blodsäker- het som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. Bestämmelsen i 21 § lagen om blodsäkerhet hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Bestäm- melsen bör, i enlighet med vad utredningen kommit fram till i av- snitt 9.15.1 och 9.19.1, upphävas. Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen och förordningen om blodsäkerhet kan behållas. Bestämmelser om skyldighet att lämna ut uppgifter finns i 16 a och 18 a §§ lagen om blodsäkerhet. Regeringen får även meddela vissa föreskrifter om uppgiftsskyldighet enligt 19 § lagen om blodsäker- het. Bestämmelser om uppgiftsskyldighet finns vidare i 8 § och 8 b § första stycket förordningen om blodsäkerhet. I lagen och för- ordningen finns det även andra bestämmelser om uppgifter som ska lämnas. Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Författningar som bl.a. reglerar behandling av personuppgifter 12.4Lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler och förordningen (2008:414) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler Lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler och den tillhörande förordningen inne- håller bestämmelser om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler avsedda för användning på människor eller för tillverkning av läkemedel avsedda för använd- ning på människor. Lagstiftningen innehåller även vissa bestämmel- ser om behandling av personuppgifter, nämligen bestämmelser om förhållandet till personuppgiftslagen, vissa register som ska föras, rättelse, skadestånd och uppgiftsskyldighet. I detta avsnitt analyse- ras om de bestämmelser som berör behandling av personuppgifter behöver ändras med anledning av dataskyddsförordningen. 12.4.2Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 8 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen när det gäller behandling av person- uppgifter. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler eller föreskrifter som meddelats med stöd av den. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. Författningar som bl.a. reglerar behandling av personuppgifter 12.4.3Register som förs av vävnadsinrättning Skyldighet att föra register Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 21 § första stycket och 21 § andra stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler kan behållas. I 21 § första stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler anges att den som har tillstånd att bedriva en vävnadsinrättning ska föra ett register med uppgifter om sin verksamhet, givare och mottagare av mänskliga vävnader och celler och kontroller som utförts av mänskliga vävnader och celler. Registret får enligt 21 § andra stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler föras med hjälp av automatiserad behand- ling. Skyldigheten att föra registret följer av ett EU-direktiv.16 Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Bestämmelserna om ändamål i 21 § andra stycket första meningen lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler kan behållas. Registret som ska föras av vävnadsinrättningen får enligt 21 § andra stycket första meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler endast ha till ända- 16 Se artikel 10.1 i och rådets direktiv /23/EG av om fastställande av kvalitets- och säkerhetsnormer för donation, tillvaratagande, kontroll, bearbetning, konservering, förvaring och distribution av mänskliga vävnader och celler. Författningar som bl.a. reglerar behandling av personuppgifter mål att säkerställa spårbarhet av mänskliga vävnader och celler för att förhindra överföring av sjukdomar. Skyldigheten att föra det aktuella registret innebär en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytter- ligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestäm- melserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed behållas. Finalitetsprincipen är inte tillämplig I bestämmelsen anges att registret som ska föras av vävnadsinrätt- ningen endast får användas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att be- handla personuppgifter i registret för andra ändamål än de som anges i bestämmelsen även om dessa andra ändamål inte är ofören- liga med det ändamål för vilket uppgifterna har samlats in. Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskydds- förordningen. Där framgår bl.a. att personuppgifter inte får be- handlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i data- skyddsdirektivet. Medlemsstaterna får, i enlighet med vad utred- ningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas. Författningar som bl.a. reglerar behandling av personuppgifter Personuppgifter som får behandlas Utredningens bedömning: Bestämmelserna om registrets inne- håll i 21 § tredje stycket och 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler, så- vitt avser vävnadsinrättningarnas register, samt 7 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas I 21 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler anges vilka personupp- gifter registret får innehålla. Registret får endast innehålla uppgifter om givarens identitet, givarens uppgivna sjukdomshistoria, resul- tatet av undersökningar på givaren och av kontroller av de mänsk- liga vävnaderna och cellerna och mottagarens identitet. Regeringen, eller den myndighet regeringen bestämmer, får enligt 25 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler meddela närmare föreskrifter om vilka uppgifter registret ska innehålla. Regeringen har enligt 7 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler bemyndigat respektive att med- dela närmare föreskrifter om registrets innehåll. En precisering av vilka personuppgifter som får behandlas är förenlig med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Utredningen utgår från de övervägan- den kring vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan framgått att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelsen i 21 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga väv- nader och celler kan och bör därmed behållas. Detsamma gäller be- stämmelsen i 25 § lagen om kvalitets- och säkerhetsnormer vid Författningar som bl.a. reglerar behandling av personuppgifter hantering av mänskliga vävnader och celler i fråga om det register som vävnadsinrättningarna ska föra. Även bestämmelsen i 7 § för- ordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas. De personuppgifter som får behandlas i registret omfattar även uppgifter om hälsa. För att känsliga personuppgifter ska få behand- las i registret krävs det att förandet av registret omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redogjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler reglerar verksamheten vid vävnads- inrättningar oavsett om hanteringen av vävnader och celler sker för att användas på människor eller vid läkemedelstillverkning. Skyl- digheten att föra register enligt 21 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler gäller oberoende av i vilket av dessa syften vävnader och celler hanteras. Hantering av mänskliga vävnader och celler som är avsedda för användning på människor får anses ha till syfte att medicinskt före- bygga, utreda och behandla sjukdomar och skador och bör därför betraktas som hälso- och sjukvård i hälso- och sjukvårdslagens (2017:30) mening.17 Hantering av vävnader och celler som ska användas vid läkemedelstillverkning är däremot inte, i likhet med vad som anges i avsnitt 12.3.3, att betrakta som hälso- och sjukvård enligt hälso- och sjukvårdslagen. Utredningen bedömer mot den bakgrunden att behandling av känsliga personuppgifter i registret ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen när syftet med hanteringen av vävnaderna och cellerna är att de ska användas på människor. Enligt artikel 9.3 i dataskyddsförordningen 17 I prop. 2007/08:96 s. 42 hänvisas till den tidigare gällande hälso- och sjukvårdslagen (1982:763). Eftersom definitionen av vad som utgör hälso- och sjukvård är densamma i den nu gällande hälso- och sjukvårdslagen är den bedömning som gjorts i förarbetena fortfarande aktuell. Författningar som bl.a. reglerar behandling av personuppgifter krävs det att uppgifterna behandlas av eller under ansvar av någon som omfattas av tystnadsplikt. Personalen vid vävnadsinrättning- arna omfattas av tystnadsplikt enligt bestämmelser i offentlighets- och sekretesslagen (2009:400), patientsäkerhetslagen (2010:659) och lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. I de fall verksamheten vid vävnadsinrättningen är att betrakta som hälso- och sjukvård är även bestämmelserna i patientdatalagen (2008:355) tillämpliga.18 Utredningen har i av- snitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Någon sådan bestämmelse behöver därför inte tas in i lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler. När känsliga personuppgifter behandlas i samband med att väv- nader och celler hanteras för att användas vid tillverkning av läke- medel är det inte lika givet att behandlingen omfattas av hälso- och sjukvårdsundantaget. Behandlingen har troligen tillåtits med stöd av artikel 8.4 i dataskyddsdirektivet, eftersom den behövs med hän- syn till ett viktigt allmänt intresse. Bestämmelser i registerförfatt- ningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är, i enlighet med vad ut- redningen konstaterat i avsnitt 9.11.3, förenliga med artikel i dataskyddsförordningen och kan och bör behållas. I artikel 9.2 i i dataskyddsförordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter som avser folkhälsoområdet. Exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av arti- keln är behovet av att säkerställa ett skydd mot allvarliga gräns- överskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska pro- dukter. Eftersom syftet med det EU-direktiv som genomförts genom lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler är att skydda folkhälsan och för- hindra att infektionssjukdomar överförs, bedöms undantaget i arti- kel 9.2 i i dataskyddsförordningen mer relevant att tillämpa när det 18 I prop. 2007/08:96 s. 68 anges att det är patientjournallagen och vårdregisterlagen som ska tillämpas parallellt med lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Eftersom dessa lagar har ersatts av patientdatalagen, är det numera den lagen som ska tillämpas. Författningar som bl.a. reglerar behandling av personuppgifter gäller behandling av känsliga personuppgifter i samband med att vävnader och celler hanteras för att användas vid tillverkning av läkemedel. Personalen vid vävnadsinrättningarna omfattas som anges ovan redan av bestämmelser om tystnadsplikt i offentlighets- och sekre- tesslagen, patientsäkerhetslagen och lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler. Den regleringen tillsammans med regleringen av registret i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler är enligt utredningens bedömning tillräcklig för att till- godose kravet på skyddsåtgärder i artikel 9.2 i i dataskyddsförord- ningen. Registret förs på grundval av nationell lagstiftning vilket också är ett krav enligt den artikeln. Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter inom den nu aktuella lagens tillämpnings- område får behandlas under samma förutsättningar som andra per- sonuppgifter, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen. Sammanfattningsvis gör alltså utredningen den bedömningen att känsliga personuppgifter alltjämt kan och bör få behandlas i registret. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelserna med bemyndiganden att meddela ytterligare före- skrifter kan därmed behållas. Författningar som bl.a. reglerar behandling av personuppgifter Utredningens bedömning: Bestämmelsen om gallring i 21 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid han- tering av mänskliga vävnader och celler är förenlig med data- skyddsförordningen och kan behållas. Detsamma gäller dele- gationsbestämmelserna i 22 § lagen om kvalitets- och säkerhets- normer vid hantering av mänskliga vävnader och celler samt 8 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Bestämmelser om gallring och bevarande kan, enligt den bedöm- ning utredningen har gjort i avsnitt 9.17.2, behållas i registerförfatt- ningar om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskydds- förordningen. Detsamma gäller bemyndiganden att meddela före- skrifter om bevarande. Det innebär att bestämmelsen om gallring i 21 § fjärde stycket samt delegationsbestämmelserna i 22 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan behållas. Även delegationsbestämmelserna i 8 § för- ordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan vara kvar. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 21 § femte stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens bedömning bestämmelsen om personuppgiftsansvar i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Bestämmelsen i 21 § femte stycket lagen om kvalitets- Författningar som bl.a. reglerar behandling av personuppgifter och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör därför behållas. 12.4.4Register som förs av Inspektionen för vård och omsorg Skyldighet att föra register Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 23 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävna- der och celler kan behållas. Inspektionen för vård och omsorg ska, enligt 23 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid han- tering av mänskliga vävnader och celler, med hjälp av automatiserad behandling föra ett register över dem som har tillstånd att bedriva en vävnadsinrättning. Skyldigheten att föra registret följer av ett EU-direktiv.19 Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskydds- förordningens bestämmelser. Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Bestämmelserna om ändamål i 23 § första stycket andra meningen och 23 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga väv- nader och celler kan behållas. Registret har enligt 23 § första stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler till ändamål att ge offentlighet åt vilka vävnadsinrätt- 19 Se artikel 10.2 i och rådets direktiv /23/EG av om fastställande av kvalitets- och säkerhetsnormer för donation, tillvaratagande, kontroll, bearbetning, konservering, förvaring och distribution av mänskliga vävnader och celler. Författningar som bl.a. reglerar behandling av personuppgifter ningar som har tillstånd och för vilken verksamhet dessa har be- viljats tillstånd. Registret får enligt 23 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler också användas för tillsyn, forskning och statistik. Att Inspektionen för vård och omsorg är skyldig att föra regist- ret innebär att det är en rättslig förpliktelse. De angivna ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har därmed stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytter- ligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestäm- melserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Bestämmelserna behöver därmed inte ändras med anledning av dataskyddsförordningen. Personuppgifter som får behandlas Utredningens bedömning: Bestämmelserna om registrets inne- håll i 23 § tredje stycket och 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler, så- vitt avser Inspektionen för vård och omsorgs register, samt 9 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas. Registret får, enligt 23 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler, i fråga om personuppgifter endast innehålla uppgifter om den som har tillstånd att bedriva en vävnadsinrättning och om verksamhets- chefen. Regeringen får enligt 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler meddela närmare föreskrifter om vilka uppgifter registret ska innehålla. I 9 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler föreskrivs att registret ska innehålla uppgifter om vävnadsinrättningens namn och adress, verksamhets- chefens namn och adress, ändamålet med verksamheten och dess omfattning samt den verksamhet eller de verksamheter som vävnads- inrättningen ska innefatta. Författningar som bl.a. reglerar behandling av personuppgifter