sou · H5B352 · 2017-06-07 00:00:00 — En särskild registerförfattning för personlig integritet i arbetslivet skulle, i alla fall i teorin, kunna bidra till en bättre tydlighet än både dagens generella bestämmelser i personuppgiftslagen och den kommande dataskyddsförordningen, som även den är relativt allmänt hållen. I praktiken har det dock visat sig vara svårt att ta fram en lagtext som är både acceptabel för arbetslivets parter och som förtydligar rättsläget. Det pågår en utredning inom som har till uppgift att se över och föreslå anpassningar till dataskyddsförordningen av författningar som departementet förfogar över. Utredaren ska emellertid inte utreda eller överväga förstärkningar av den personliga integriteten i arbetslivet utöver sådana förstärkningar som direkt följer av dataskyddsförordningen. Utredningsuppdraget ska slutrapporteras senast den 31 maj 2017.1 Lagförslag i tidigare utredningar Integritetsskyddet i arbetslivet har varit föremål för tre olika utredningar . Alla tre har konstaterat brister i integritetsskyddet för arbetstagare och föreslagit ändringar och förtydliganden i regelverket. har dock inget av förslagen lett till lagstiftning. Det senaste mest omfattande förslaget lämnades av Utredningen om integritetsskydd i arbetslivet i betänkandet Integritetsskydd i arbetslivet.2 Förslaget fick under remissbehandlingen omfattande kritik, bl.a. avseende nyttan med en så allmänt hållen reglering som den som föreslogs. Det bör noteras att förslagen välkomnades av vissa instanser. Även några remissinstanser som i princip välkomnade en reglering på området, ansåg emellertid att förslaget var så 1Regeringskanslibeslut (A2016/01274/SV). otydligt att det inte skulle bidra till ökad klarhet på området. Andra instanser motsatte sig reglering av området av principiella skäl. Enligt uppgift behandlas betänkandet inte längre aktivt i . Frågan om registerutdrag i arbetslivet har därefter givits en separat och fördjupad analys av Utredningen om registerutdrag i arbetslivet. I betänkandet Registerutdrag i arbetslivet3 föreslog utredningen att det ska vara förbjudet för arbetsgivare att utan författningsstöd begära att en arbetssökande ska visa upp eller överlämna ett utdrag ur belastningsregistret. Betänkandet handläggs i och har även diskuterats i riksdagen.4 En uppförandekod (se kapitel 4 om uppförandekoder) för integritetsskyddet inom arbetslivet, skulle kunna utgöra ett komplement eller ett alternativ till en särskild registerförfattning på arbetslivsområdet. En fördel med en uppförandekod är att den särskilt kan riktas in på branschspecifika frågeställningar och problem. Den kan också innehålla konkreta råd, anvisningar och exempel, i en utsträckning som inte är möjlig i lagtext. En uppförandekod har vidare den fördelen att det är de personuppgiftsansvariga, dvs. i detta fall arbetsgivarna, som tillsammans utarbetar koden. De kan därmed förväntas snabbare komma att tillägna sig innehållet, dvs. sprida och använda sig av uppförandekoden, än vad som skulle vara fallet med en helt ny lag. En registerförfattning är, jämfört med en uppförandekod, svårare att anpassa till konkreta situationer, och författningen tar att ta fram. Det är också mer omständligt och tidskrävande att komplettera eller ändra en författning när behov för detta uppstår . Det har inte heller låtit sig göras att ta fram en lagstiftning för integritetsskydd inom arbetslivet som är godtagbar för arbetslivets olika parter och som innebär ett förtydligande i förhållande till personuppgiftslagens allmänt hållna bestämmelser. 4Skriftlig fråga från riksdagsledamoten till arbetsmarknads- och etableringsminister . Se även interpellation 2015/16:48 Saknad proposition av till arbetsmarknadsminister . Mot den beskrivna bakgrunden, anser vi att integritetsskyddet på arbetslivsområdet lämpar sig väl för en uppförandekod. I kapitlet om uppförandekoder beskrivs olika typer av uppförandekoder. Mot bakgrund av de risker som kommittén lyfter fram i delbetänkandet, anser vi att arbetslivsområdet är exempel på ett område där det kan behövas olika koder för olika branscher, beroende på vilka integritetsrisker som gör sig gällande i respektive bransch. Exampelvis har positionering lyfts som ett problem särskilt inom transportsektorn, kameraövervakning inom restaurang- och café- näringen, och detaljerad tidmätning inom äldrevården och i call- center-verksamhet. På arbetslivsområdet finns det ett flertal tydliga och välorganiserade sammanslutningar som företräder kategorier av personuppgiftsansvariga, vilka skulle kunna vara upphovsmän till uppförandekoder, dvs. de olika arbetsgivarorganisationer som organiserar sig branschvis. De motsvaras av branschbaserade arbetstagarorganisationer. Arbetstagarorganisationernas medverkan i uppförandekoderna Som framgår i det allmänna avsnittet om uppförandekoder, bedömer att en välavvägd uppförandekod normalt sett bygger på att de registrerade hörts och att deras synpunkter har beaktats. Det sagda gäller enligt kommitténs mening särskilt inom arbetslivets område. Det framstår som synnerligen angeläget att de arbetstagarorganisationer som kommer att beröras av koden, involveras i arbetet i ett tidigt skede, och att deras synpunkter beaktas i samband med Datainspektionens prövning av utkastet till kod. Tillsyns- och normeringsmyndigheter för arbetslivet Förutom Datainspektionen är den myndighet som har tydligast koppling till integritetskydd i arbetslivet. har visserligen inte i någon större omfattning ägnat sig åt frågor som rör personlig integritet i arbetslivet. Frågan berörs dock i verkets föreskrifter. I 10 § tredje stycket föreskrifter (AFS 1998:5) om arbete vid bildskärm sägs att kvantitativ eller kvalitativ kontroll av arbetstagarens arbetsinsats via datasystemet inte får utföras utan dennes vetskap. Vidare anges i arbetsmiljö5 att ”även perspektiv som handlar om integritet, kontroll och övervakning genom exempelvis it-systemens logg och GPS-tracking behandlas alltmer inom en bred definition av begreppet digital arbetsmiljö”. För övrigt kan noteras att hanteringen av personuppgifter i arbetslivet i regleras bl.a. i den norska arbetsmiljölagen (9 kap. i lov om arbeidsmiljø, arbeidstid og stillingsvern mv. Frågor som kan tas upp i uppförandekoder för arbetslivet Med utgångspunkt i dels de risker som kommittén har bedömt föreligger på arbetslivsområdet, dels de skyldigheter som kommer att åligga arbetsgivarna enligt dataskyddsförordningen, kan uppförandekoder för personlig integritet i arbetslivet beröra bland annat följande frågor (det närmare innehållet kommer att variera beroende på vilken bransch uppförandekoden avser): Hur arbetsgivarna ska gå till väga för att uppfylla kravet i artikel 30 i dataskyddsförordningen på register över vilka behandlingar av personuppgifter som görs på arbetsplatsen. Lämpligtvis ges en metod eller mall (med exempel) för praktisk inventering och dokumentation av vilka uppgifter om arbetstagarna som hanteras i den utrustning och de system som används på arbetsplatsen, och hur dessa uppgifter används (såväl av arbetsgivaren som av dennes leverantör). Hur konsekvensbedömningar avseende dataskydd (artikel 35 i dataskyddsförordningen) ska genomföras före införandet av varje nytt system eller större ändring i befintliga system. sig om att arbetsgivaren tillhandahåller ny utrustning eller ett nytt system för arbetstagarna. Det kan också röra sig om ändrade användarvillkor för tjänster som arbetsgivaren redan använder sig av. Det bör även ges en mall eller exempel för hur en konsekvensbedömning kan genomföras i praktiken. Hur inbyggt dataskydd och dataskydd som standard (artikel 25 i dataskyddsförordningen) kan genomföras, med angivande av exempel. Exempelvis kan anges att antalet uppgifter ska minimeras och att systemens förhandsinställningar ska vara de mest integritetsvänliga. I vilka situationer som behandlingen kan bygga på samtycke från arbetstagarna. Det bör exempelvis anges att tystnad, på förhand ikryssade rutor eller inaktivitet inte ska utgöra ett giltigt samtycke.6 Vidare kan anges att samtycke inte ska betraktas som frivilligt om arbetatagaren inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke.7 Hur och när uppgifter ska gallras. Uppgifter om inloggningar och enskildas användning av utrustning bör exempelvis kunna gallras eller avidentifieras tämligen omgående i normalfallet, medan det i andra situationer kan vara nödvändigt att spara uppgifterna om det är nödvändigt för att genomföra vissa interna kontroller. Exempel på informationssäkerhetsåtgärder som arbetsgivarna behöver vidta för att uppfylla kraven i artikel 32 i dataskyddsförordningen (avseende exempelvis behörighet, loggning, säkerhet vid åtkomst över internet osv). Vilken information som måste ges till arbetstagarna om hur uppgifter används, med angivande av exempel. Här bör exempelvis anges hur information kan ges med hjälp av standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över hur uppgifterna hanteras och av vem.8 6Se skäl 32 i dataskyddsförordningen. 7Se skäl 42 i dataskyddsförordningen. 8Se skäl 60 i dataskyddsförordningen. När kameraövervakning inomhus kan användas och hur arbetsgivarna bäst kan uppfylla kraven i kameraövervakningslagen på exempelvis dokumentation och information.9 Vem ska uppmuntra utarbetandet av uppförandekoder? Skyldigheten att uppmuntra utarbetandet av uppförandekoder enligt artikel 40 i dataskyddsförordningen gäller inte bara Datainspektionen. Regeringen både kan och bör agera även genom andra myndigheter. Som framgår i kapitlet om uppförandekoder, anser att regeringen så långt som möjligt bör uppdra åt andra myndigheter att i samråd med Datainspektionen stå för merparten av det arbete som en myndighet behöver utföra när det gäller uppförandekoder. Ett skäl till detta är att Datainspektionen inte ska bli överbelastad med uppdrag av detta slag inom en rad olika områden på en gång, som myndigheten har ett stort arbete framför sig med att anpassa sin verksamhet till dataskyddsförordningen. Ett annat skäl till detta är att en branschspecifik myndighet i många fall bättre än Datainspektionen känner till vilken slags vägledning (både till form och innehåll) som efterfrågas inom branschen som myndigheten inte sällan redan har etablerade kontakter med aktörer och branschföreträdare. har väl etablerade kontakter med olika branscher och har både kunskap om branscherna och även erfarenhet av att samla både arbetsgivarorganisationer och arbetatagarorganisationer för att diskutera frågor om reglering. Ordet ”uppmuntra” används i dataskyddsförordningen, och ska enligt kommitténs tolkning i detta sammanhang närmast förstås som att initiera och stödja. I arbetet med att initiera och stödja framtagandet av uppförandekoder, kan exempelvis bjuda in branschorganisationerna och andra ansvariga myndigheter för ett samtal om förutsättningarna för en uppförandekod på området, där även alternativen till en uppförandekod kan tas upp. Om det inte finns en uppförandekod, måste arbetsgivarna och deras personupp- 9 Förslag om kameraövervakning kommer att lämnas av Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd (Ju 2015:14) som bl.a. ska ta ställning till om integritetsskyddet i samband med kameraövervakning på arbetsplatser behöver förbättras. giftsbiträden utan närmare tolkningshjälp enbart tillämpa dataskyddsförordningen eller annan, allmänt hållen ramlagstiftning. Det skulle kunna innebära en ökad risk för administrativa sanktionsavgifter enligt artikel 83 i dataskyddsförordningen. Det krävs en särskild kompetens för att leda projekt för att ta fram uppförandekoder. Det finns specialister på detta som kan anlitas av myndigheterna för att leda och genomföra sådana projekt, exempelvis inom SIS (). En möjlighet är att utför uppdraget med hjälp av SIS. Det kommer därför inte vara nödvändigt för att anställa personer för utförandet av detta uppdrag. Sammanfattningsvis anser vi att regeringen bör ge i uppdrag att i samråd med Datainspektionen vidta åtgärder för att initiera och stödja utarbetandet av uppförandekoder för arbetslivsområdet. Kommittén vill i sammanhanget betona att uppförandekoderna för arbetslivsområdet inte behöver omfatta samtliga de punkter som nämns ovan – särskilt inte till en början. Det kan vara tillräckligt att specificera tillämpningen när det gäller de företeelser inom arbetslivet som vi bedömer medför de mest allvarliga riskerna för den personliga integriteten: övervakning för att kontrollera arbetstagarnas aktiviteter och beteenden på arbetet. För övervakning av arbetstagarnas aktiviteter och beteenden, är av betydelse bland annat vilka behandlingar och ändamål som arbetsgivaren har laglig grund för, och vilken information som ska ges till de registrerade. Dessa frågor omfattas till en del av ovan nämnda föreskrift10 på området. 10 AFS 1998:5. 7Hälso- och sjukvård och välfärdsteknik inom konstaterade i delbetänkandet att allvarliga risker uppstår i samband med informationshantering inom hälso- och sjukvården till följd av: –bristande ledning och bristande ansvarstagande över informationssystemen och de personuppgifter som hanteras i dessa, –komplexa miljöer med många olika system för hantering av information, (gamla system), –brist på gemensamma lösningar, t.ex. gemensam infrastruktur, –bristande regelefterlevnad, –bristande kunskaper hos både personal och ledning, samt –bristande informationssäkerhet. 7.1.2Användning av välfärdsteknik inom Användning av välfärdsteknik kan bland annat handla om att erbjuder hjälp och stöd åt enskilda med hjälp av olika digitala tjänster i form av trygghetslarm, tele- och videokommunikation, sensorer i hemmet, kognitiva hjälpmedel, ett mobilt arbetssätt och e-tjänster för trygghet, service och delaktighet. Hälso- och sjukvård och välfärdsteknik inom När det gäller användning av välfärdsteknik konstaterade kommittén att risker för den personliga integriteten uppstår till följd av: –hantering av mycket närgångna och känsliga uppgifter om enskilda med stort hjälpbehov, –tjänsterna omfattar stora delar av befolkningen, –oklarheter om hur hantera samtycke vid stöd åt personer med nedsatt beslutsförmåga, –risk för brister i informationssäkerhet, samt –bristande ansvarstagande. 7.2Åtgärd för både hälso- och sjukvården och socialtjänst – uppförandekoder som tillämpningsstöd förslag: Regeringen bör ge en myndighet i uppdrag att initiera och stödja utarbetandet av uppförandekoder för verksamhet inom hälso- och sjukvård och socialtjänst. Regeringen bör ge en myndighet i uppdrag att utgöra sekretariat för förvaltningen av de gemensamma uppförandekoderna. 7.2.1Genomföra visionen om e-hälsa Det framgår av Vision e-hälsa 2025 att det behövs ett brett nationellt samarbete för att nå visionen. Enligt information på E-hälsomyn- dighetens webbplats är nyckeln till att förverkliga visionen samverkan mellan alla olika aktörer som arbetar med e-hälsa, allt från kommuner och landsting till idéburna organisationer. E-hälsomyndighe- ten har enligt sin instruktion ansvaret för att samordna och leda regeringens satsningar. Inom ramen för visionen om e-hälsa har regeringen och kommuner och landsting (SKL) kommit överens om en handlingsplan på e-hälsoområdet för perioden –2019, som bland annat Hälso- och sjukvård och välfärdsteknik inom innehåller en ny nationell samverkans- och samordningsstruktur.1 Enligt visionen är regelverket ett av insatsområdena. Regeringen och SKL ska enligt handlingsplanen se till att skapa ändamålsenliga regelverk som såväl värnar individens integritet och säkerhet som främjar den digitala utvecklingen, samt underlätta tillämpning och införande av regelverk i berörda verksamheter. Parterna ska därför fastslå en process för att gemensamt identifiera och fånga behov av information gällande befintliga regler eller kommande förändringar av dessa. Såväl staten som SKL förutsätter alltså ett utvecklat samarbete mellan berörda aktörer inom sektorn. Den nationella samordnaren för effektivare resursutnyttjande inom hälso- och sjukvården anförde i sitt slutbetänkande2 att staten behöver ta ansvar för informationshanteringen i hälso- och sjukvården, ur perspektivet att det är en infrastrukturfråga som behöver ges nationellt hållbara och långsiktiga lösningar: Det behövs ett tydligt ansvar för nationell informationsstruktur och fackspråk liksom standarder som ska gälla för informationssystemen i både tekniskt och semantiskt hänseende när det gäller utbyte av information m.m. Det behövs krav på och stöd till arbetet med informationshantering. Det behövs också en ändrad lagstiftning som möjliggör informationsutbyte över gränser på ett effektivare sätt än . I slutbetänkandena från Utredningen rätt information i vård och omsorg (SOU 2014:23) liksom från (SOU 2015:32) har förslag lämnats som är väsentliga delar i detta, särskilt vad avser de lagliga och tekniska och organisatoriska förutsättningarna för att utbyta information. Utredningen bedömer att det vore av stor vikt att förslagen nu genomförs för den sammantagna utvecklingen när det gäller informationshantering och verksamhetsstöd i hälso- och sjukvården. 7.2.2Digitalisering, dataskydd och informationssäkerhet Informationssäkerhetsarbete beskrivs ofta som ett arbete med att uppnå önskad nivå av riktig, tillgänglig, spårbar samt konfidentiell information i en verksamhet. Inom hälso- och sjukvården och måste patientuppgifter finnas tillgängliga där de behövs, och den som använder denna information måste också kunna lita på att den är korrekt. 1Handlingsplan för samverkan vid genomförande av vision e-hälsa 2025, 2017–2019, bilaga till regeringsbeslut nr III:10, dnr S2017/00378/FS. 2Effektiv vård (SOU 2016:2), s. 552 Hälso- och sjukvård och välfärdsteknik inom måste det finnas skydd som hindrar att information försvinner och att den ändras oavsiktligt eller av någon obehörig person. Det kan innebära en allvarlig risk för enskilda om vårdgivaren eller den som bedriver socialtjänst förlitar sig på felaktig information om honom eller henne. Informationssäkerhet i dessa verksamheter innebär även att obehöriga personer inte ska kunna få tillgång till patientuppgifter. Av dataskyddsförordningens artikel 32.1 framgår bland annat att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Patientdatalagen öppnade för nya möjligheter till utbyte av patientinformation genom elektronisk direktåtkomst, men ställer höga krav på säkerhet och integritet. För att få dela patientinformation genom elektronisk direktåtkomst krävs att journalsystemen bland annat har inbyggda funktioner för identifiering, behörighetskontroll och loggning. Patienten måste ha möjlighet att, om hon eller han vill, kunna spärra viss eller all information från att delas genom elektronisk direktåtkomst. Innan uppgifter om en patient görs tillgängliga för andra vårdgivare genom sammanhållen journalföring ska patienten också informeras om vad det innebär och att patienten har rätt att motsätta sig att uppgifter lämnas ut till andra vårdgivare. Det har varit en stor utmaning för landstingen att anpassa journalsystemen efter patientdatalagens krav. Trots att lagen infördes uppfyller landstingen ännu inte dessa krav fullt ut. Enligt den senaste SLIT-rapporten3 kommer genomförandet av patientdatalagen att bli klart först . Patientdatalagen är en ramlagstiftning som anger de grundläggande förutsättningarna för informationshantering av uppgifter om patienter inom all hälso- och sjukvård. granskning4 visar att det finns tillämpningssvårigheter och detaljer som inte fullt ut har lösts eller reglerats. 3eHälsa i landstingen, . En rapport från Landstingens IT-strateger/IT-chefer (). 4Rätt information vid rätt tillfälle inom vård och omsorg – samverkan utan verkan? (RiR 2011:19) Hälso- och sjukvård och välfärdsteknik inom Datainspektionens erfarenhet är att många vårdgivare inte lever upp till bestämmelserna om behörighetsstyrning och åtkomstkontroll enligt patientdatalagen. Många vårdgivare har inte gjort den behovs- och riskanalys som de är skyldiga att göra inför behörighetstilldelning. Det innebär att personal ofta tilldelas alltför omfattande behörigheter och således kan ta del av långt fler patientuppgifter än vad de i praktiken behöver för att ge patienten en god och säker vård. Många vårdgivare har inte heller riktlinjer för vad som utgör obehörig åtkomst, vilket försvårar möjligheterna att genomföra verkningsfulla åtkomstkontroller. Datainspektionen anser att det är av stor vikt att de för integritetsskyddet så viktiga bestämmelserna om behörighetstilldelning och åtkomstkontroll efterlevs på ett godtagbart sätt innan förslag genomförs som ger möjlighet till ytterligare spridning av patientuppgifter.5 Så sent som riktade Datainspektionen skarp kritik mot en region avseende hantering av patientuppgifter. Trots att patientdatalagen trädde i kraft och trots tidigare kritik från Datainspektionen hade regionen inte vidtagit åtgärder. Datainspektionen förelade regionen att bland annat införa behörighetsbegränsningar i huvudjournalsystemet och att göra en behovs- och riskanalys som ligger till grund för hur man tilldelar behörigheter till användarna.6 I delbetänkandet redogjorde vi för uppgifter i tidningen om att antalet polisanmälningar om dataintrång inom hälso- och sjukvården ökar.7 Även för att motverka dataintrång är det viktigt att vårdgivarna har tydliga rutiner för hur vårdgivaren förväntar sig att medarbetarna ska använda sig av journalsystemen. Sådana rutiner är viktiga för att hälso- och sjukvårdspersonalen ska kunna känna sig trygga med att de gör rätt och de är nödvändiga för att skydda den enskildes integritet. Vårdgivarna behöver även ha rutiner för att göra polisanmälan i de fall olovligt intrång ändå görs. 5Datainspektionens remissvar på SOU 2014:23, dnr 1568-2014 6Datainspektionens tillsynsbeslut , dnr 1546-2016 7SOU 2016:41, s. 255. Hälso- och sjukvård och välfärdsteknik inom Tillämpningsstöd i form av uppförandekoder En uppförandekod i dataskyddsförordningens mening är en möjlighet för sammanslutningar som företräder personuppgiftsansvariga eller personuppgiftsbiträden att inom en viss bransch eller sektor specificera hur man i praktiken ska tillämpa dataskyddsförordningens bestämmelser. Ett samarbete mellan personuppgiftsansvariga inom hälso- och sjukvård och socialtjänst om gemensamma uppförandekoder skulle kunna vara ett sätt att lösa tillämpningsproblemen. Uppförandekoder skulle kunna stärka den ömsesidiga tilliten och samarbetet mellan aktörerna och därmed förutsättningarna att genomföra visionen om e-hälsa 2025, särskilt inom insatsområdet som handlar om regelverket. Också i arbetet med att ta fram riktlinjer och rutiner för t.ex. åtkomst till journalsystemen och för polisanmälan vid dataintrång kan gemensamma uppförandekoder vara ett stöd. bedömer att även inom området välfärdsteknik inom skulle säkerheten och den ömsesidiga tilliten kunna öka med hjälp av uppförandekoder. Uppförandekod om gemensam informationsstruktur Ett sätt att minska onödig spridning av känsliga personuppgifter inom hälso- och sjukvården och är att strukturera uppgifterna i informationssystemen så att användaren enklare kan ta del av rätt information. Det pågår nationella arbeten med att ta fram en gemensam informationsstruktur för sektorn. En gemensam struktur är en förutsättning för interoperabilitet, men den gör det också möjligt med smarta lösningar för anpassad tillgång till rätt uppgifter. Det framgår av den senaste SLIT-rapporten8 att det finns en bristande interoperabilitet mellan olika system i landstingen. Detta beror enligt rapporten framför allt på bristande standardisering av informatiken i systemen och hur systemen implementerats.