prop · H503171 · 2018-03-19 00:00:00 — Den nuvarande regleringen av tillåtna ändamål för personupp- giftsbehandling inom ramen för socialförsäkringens administration inne- bär att utgångspunkten är att behandlingar av personuppgifter är tillåten endast om det i lag eller annan författning är uttryckligen tillåtet. De tillåtna ändamålen finns angivna huvudsakligen i 114 kap. 7–9 §§ social- försäkringsbalken. Dessa ändamålsbestämmelser är mycket allmänt hållna och ger i allt väsentligt enbart uttryck för den uppgift av allmänt intresse som kan utläsas enligt de materiella författningar som gäller för verksamhet. De ger inte en tillämpare någon närmare vägledning vid fastställandet av om det finns en rättslig grund i form av uppgift av allmänt intresse som en behandling av person- uppgifter kan baseras på. Vid beslut om att utföra en viss typ av behand- ling av personuppgifter efter kommer Pensionsmyndig- heten ändå att behöva fastställa närmare ändamål enligt artikel 5 för att behandlingen ska anses tillåten. läns landsting delar utredningens bedömning att registerförfatt- ningarna uppfyller de nya krav på rättslig grund för behandling av personuppgifter som ställs i dataskyddsförordningen. Datainspektionen anser att det är av stor vikt att lagstiftaren tar ställ- ning till om en allmän konsekvensbedömning ska utföras av lagstiftaren och att den i sådana fall följer kraven på hur en konsekvensbedömning ska genomföras enligt artikel 35. läns landsting, och anser att konsekvensbedömningar behöver inte alls göras vid personupp- giftsbehandling inom registerförfattningarnas tillämpningsområde, såsom patientdatalagen. Detta bör klargöras så att det inte kommer råda någon osäkerhet. Skälen för regeringens bedömning Rättslig grund för behandling av personuppgifter Behandling av personuppgifter är laglig enligt dataskyddsförordningen endast om och i den mån åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål. b)Behandling är nödvändig för att fullgöra ett avtal i vilket den regi- strerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- ning. f) Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den regi- strerades intressen eller grundläggande rättigheter eller friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Motsvarande krav på att behandlingen ska vara nödvändig finns i artikel 7 i dataskyddsdirektivet. Europeiska unionens domstol har uttalat att begreppet nödvändigt i dataskyddsdirektivet har en unionsrättslig innebörd. Kravet på nödvändighet enligt dataskyddsdirektivet har inte ansetts innebära att det ska vara omöjligt att utföra en uppgift om inte personuppgifter behandlas. Trots att en uppgift skulle kunna utföras utan att personuppgifter behandlas på visst sätt kan behandlingen anses nöd- vändig om den innebär effektivitetsvinster (dom av , Huber C-524/06, EU:C:2008:724, och SOU 2017:39 s. 105–106). Villkoren i artikel 6.1 i dataskyddsförordningen är i huvudsak de- samma som anges i artikel 7 i dataskyddsdirektivet och som genomförts i svensk rätt genom 10 § personuppgiftslagen. En skillnad är dock att myndigheter enligt dataskyddsförordningen inte får behandla person- uppgifter med stöd av en intresseavvägning när de fullgör sina uppgifter (artikel 6.1 andra stycket i dataskyddsförordningen). Uppräkningen i artikel 6 är uttömmande. Om inget av villkoren är till- lämpliga så är behandlingen inte laglig och får inte utföras. Flera av vill- koren är överlappande och flera kan vara tillämpliga avseende samma behandling av personuppgifter. Utöver det grundläggande kravet på att behandling av personuppgifter måste vara laglig enligt nämnda artikel så gäller också andra krav som följder av dataskyddsförordningen. De grundläggande principerna för behandling av personuppgifter, dvs. de allmänna krav som gäller för all personuppgiftsbehandling som anges i artikel 5.1 i dataskyddsförordningen ska också följas, se avsnitt 6.4. Regeringen redogör i propositionen Ny dataskyddslag närmare för artiklarna 5 och 6 i dataskyddsförordningen, bl.a. att de är grundläggande och kumulativa samt dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas (prop. 2017/18:105 s. 48). Grunden för behandlingen ska ha stöd i rättsordningen Den grund för behandling av personuppgifter som avses i artikel 6.1 c (rättslig förpliktelse) och e (allmänt intresse och myndighetsutövning) i dataskyddsförordningen ska enligt artikel 6.3 fastställas i enlighet med eller den nationella rätt som den personuppgiftsansvarige omfattas av. Regeringen anför i propositionen Ny dataskyddslag (avsnitt 8.2) bl.a. följande. När det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c), som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse (artikel 6.1 e) måste det emellertid även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket i dataskyddsförord- ningen anges det nämligen att den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas 2017/18:171 av. I skäl 45 i dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet (prop. 2017/18:105 s. 49). Det bör emellertid betonas att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter. Legali- tetsprincipen är en av de principer som kännetecknar som rätts- stat. Principen är grundlagsfäst genom 1 kap. 1 § regeringsformen, förkortad RF, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som har beslutat, utan även andra författningar och t.ex. sedvanerätt (prop. 1973:90 s. 397 och KU 1973:26 s. 59). Legalitetsprincipen innebär att myndigheternas maktutövning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen (prop. 2017/18:105 s. 50). Enligt artikel 6.3 andra stycket ska syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämp- ningen av bestämmelserna i denna förordning, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ända- målsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I fråga om rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförord- ningen krävs enligt artikel 6.3 i dataskyddsförordningen att syftet med behandlingen är fastställt i den rättsliga grunden. Det framgår inte av dataskyddsförordningen att syftet ska vara fastställt i en registerförfatt- ning som reglerar behandling av personuppgifter utan syftet kan även finnas i exempelvis den författning som reglerar själva verksamheten. För behandling av personuppgifter för att utföra arbetsuppgifter av all- mänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e i dataskyddsförordningen finns det inget krav på att syftet med behand- lingen av personuppgifter ska framgå av den rättsliga grunden i stället ska syftet enligt artikel 6.3 vara nödvändigt för att utföra arbetsuppgiften av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. I fråga om bestämmelse artikel 6.3 andra stycket sista meningen konstaterar regeringen i propositionen Ny dataskyddslag att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta motsvarar det krav som ställer på lagstiftaren i en rättsstat. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna har inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . Det bör därför vara mycket ovanligt att svensk rätt inte uppfyller krav. Mot denna bakgrund bör utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt. Den personuppgiftsansvarige behöver därmed inte göra någon proportiona- litetsbedömning avseende regleringen av den rättsliga grunden för behandlingen, utan kan utgå från att svensk rätt uppfyller detta krav. Däremot måste behandlingen vara nödvändig i förhållande till den rättsliga grunden och följa de grundläggande principerna i artikel 5. Dessutom ankommer det på varje svensk myndighet att i all verksamhet iaktta proportionalitetskravet. Detta krav kommer numera även till uttryck i 5 § i den nya förvaltningslagen, där det anges att en åtgärd aldrig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägen- heter som kan antas uppstå för den som åtgärden riktas mot (prop. 2017/18:105 s. 50). Av skäl 41 i dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Även detta är ett uttryck för legalitetsprincipen och utgör således inte någon nyhet inom den svenska offentliga förvaltningen. Vilken grad av tydlighet och precision som krävs i fråga om den rätts- liga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens karaktär. Det torde stå klart att en behandling av personuppgifter som inte utgör någon egentlig kränkning av den person- liga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, t.ex. behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ RF (prop. 2017/18:105 s. 51). I registerförfattningarna inom verksamhetsområde anges inom vilka verksamheter eller för vilka ändamål personuppgifter behandlas. Av författningarna framgår vilka personuppgifter som får be- handlas. anser att det får förutsättas att man under författningsarbetet har funnit stöd för behandling av personuppgifter enligt ändamålen i artikel 7 i dataskyddsdirektivet och att ändamålen nu har motsvarande stöd i dataskyddsförordningen. De ändamål som anges i registerförfattningarna har ofta stöd i någon av grunderna rättslig för- pliktelse, allmänt intresse eller myndighetsutövning. Grunderna är ibland överlappande på så sätt att ett ändamål kan ha stöd i mer än en grund. Exempelvis kan en rättslig förpliktelse att föra ett visst register även anses utgöra en arbetsuppgift av allmänt intresse. Socialdataskyddsutred- ningen anser att någon ytterligare analys av vilket stöd redan befintliga ändamål, som grundar sig på en rättslig förpliktelse, allmänt intresse eller myndighetsutövning (artikel 7 c och e i dataskyddsdirektivet), har i data- skyddsförordningen, krävs därför inte för att konstatera att behandlingen är laglig enligt dataskyddsförordningen. Datainspektionen anser att det inte är förenligt med dataskyddsförord- ningen att luta sig mot bedömningar som har gjorts för länge sedan enligt ett annat regelverk utan att ta hänsyn till de omständigheter som råder . Det är inte tillräckligt att hänvisa till de proportionalitetsbedöm- ningar som utförts i tidigare lagstiftningsarbete, utan att det sker någon bedömning av dessa. Regeringen anser att de ovan återgivna bedömningarna om legalitets- principen och i propositionen Ny dataskyddslag gör sig lika mycket gällande i fråga om de sektorsspecifika registerförfatt- ningarna inom verksamhetsområde som i fråga om överväganden om reglering på generell nivå. Detta innebär att det dels finns grund för behandlingar av personuppgifter i den nationella rätten, dels även att kravet på proportionalitet är uppfyllt. Grunden för behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift som ett led i den personuppgiftsansvariges myn- dighetsutövning mot enskild är redan fastställd i nationell rätt. Rättsliga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. I vissa fall kan den rättsliga förpliktelsen framgå av registerförfattningen, t.ex. bestämmelser om att ett visst register ska föras, att personuppgifter ska gallras, att uppgifter ska lämnas ut eller att patientjournaler ska föras. När behandling som tillåts enligt en registerförfattning grundas på en rättslig förpliktelse eller myndighetsutövning får det förutsättas att författningsstödet för för- pliktelsen respektive myndighetsutövningen hade identifierats när be- handlingen tilläts. Det gör att den personuppgiftsansvarige kan utgå från att nödvändiga författningsbestämmelser finns när behandling har tillåtits i en registerförfattning med stöd av artikel 7 c eller, när det gäller myn- dighetsutövning, artikel 7 e i dataskyddsdirektivet. Ändamålsbestämmel- ser i registerförfattningar inom verksamhetsområde grundar sig ofta på arbetsuppgifter av allmänt intresse eller rättslig förpliktelse. Arbetsuppgifterna härrör mestadels från uppdrag och åligganden som framgår av olika verksamhetsorienterade författningar, t.ex. hälso- och sjukvårdslagen (2017:30), läkemedelslagen (2015:315), socialtjänstlagen (2001:453), socialförsäkringsbalken och myndigheters instruktioner. Arbetsuppgifterna kan också anges i regeringsbeslut såsom regleringsbrev och andra regeringsuppdrag. Den rättsliga grunden för be- handling av personuppgifter för arbetsuppgifter av allmänt intresse är således i de allra flesta fall fastställd genom någon annan rättsakt än registerförfattningen. Skulle så inte vara fallet, är den rättsliga grunden i vart fall fastställd genom registerförfattningens ändamålsbestämmelse. Regeringen instämmer därmed i slut- satser om att det får förutsättas att t.ex. de ändamål som fastställts i befintliga registerförfattningar vad gäller att fullgöra rättslig förpliktelse, allmänt intresse eller myndighetsutövning i samband med tidigare för- fattningsarbeten har bedömts vara relevanta och proportionerliga i för- hållande till det integritetsintrång personuppgiftsbehandlingen kan inne- bära. Detta gäller även i de fall registerförfattningar saknar förarbeten i den meningen att t.ex. förarbetena inte tydligt redovisar bedömningarna eller om det är fråga om en förordning, som ju i regel saknar förarbeten. Regeringen anser till skillnad från att bestämmel- serna i t.ex. 114 kap. 7–9 §§ socialförsäkringsbalken är sådana nationella mer specifika bestämmelser som avses i artikel 6.2 i dataskyddsförord- ningen. Regeringen anser att myndigheter och andra aktörer inte ska behöva göra dessa bedömningar i de fall det finns författningsstöd för behandling av personuppgifter i befintliga författningar. Enligt artikel 35 i dataskyddsförordningen kommer den personuppgifts- ansvarige att vara skyldig att göra en konsekvensbedömning före en be- handling av personuppgifter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. I vissa fall måste även för- handssamråd ske med tillsynsmyndigheten. Detta är en ny skyldighet för den personuppgiftsansvarige. anser att skyldigheten har störst betydel- se när verksamheten inte omfattas av särskild registerlagstiftning. En konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen behöver nämligen som regel inte göras vid behandling som utförs med stöd av artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse, allmänt intresse eller myndighetsutövning) när en konsekvensutredning redan har genomförts vid antagandet av den reglering som utgör den rättsliga grunden för behandlingen. Remissinstanserna Datainspektionen, läns landsting, och framför att de ser behov av klargöranden av om konsekvensbedömningar behöver göras vid person- uppgiftsbehandling inom registerförfattningarnas tillämpningsområde. Regeringen anser att det får förutsättas att de ändamål som fastställts i befintliga registerförfattningar vad gäller att fullgöra rättslig förpliktelse, allmänt intresse eller myndighetsutövning i samband med tidigare för- fattningsarbeten har bedömts vara relevanta och proportionerliga i för- hållande till det integritetsintrång personuppgiftsbehandlingen kan inne- bära. Regeringen anser att det i sådana fall inte är nödvändigt för den 2017/18:171 personuppgiftsansvarige att göra ytterligare konsekvensbedömningar i de fall behandlingen av personuppgifter har stöd i befintliga registerförfatt- ningar. 6.5.2Samtycke som rättslig grund Regeringens bedömning: Bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan och bör behållas. Om bestämmelsen omfattar behandling av personuppgifter som inte grundar sig på artikel 6.1 c eller e i EU:s dataskyddsförordning, krävs dock särskilda överväganden. bedömning: Överensstämmer i allt väsentligt med regeringens. Utredningen bedömer att särskilda över- väganden krävs för bestämmelser som omfattar enskildas behandling av personuppgifter som inte grundar sig på artikel 6.1 c eller e. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen efterfrågar noggranna överväganden kring bestäm- melser i registerförfattningar om samtycke som rättslig grund för behand- ling av personuppgifter. Övervägandena måste bl.a. beakta kravet på att ett samtycke måste vara frivilligt och att dataskyddsförordningen inte ger mandat till nationella bestämmelser avseende samtycke som rättslig grund. Utredningen har angett att bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan och bör behållas, men om den rättsliga grunden inte utgörs av rättslig förpliktelse enligt artikel 6.1 c eller allmänt intresse eller myndighetsutövning enligt artikel 6.1 e krävs särskilda överväganden om det avser enskildas behandling. Dataskyddsförordningen är utformad så att offentlig verksamhet förväntas få stöd från lagstiftaren för den behandling av personuppgifter som verksamheterna behöver utföra, se bl.a. skäl 47. Såsom anges i betänkandet bör samtycke inte heller utgöra rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgifts- ansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt (skäl 43). Många verksamheter inom område har i uppgift att ge stöd, vård och omsorg till personer som är i behov av det. Det är således verksamheter där det oftast råder ojämlikhet mellan den registrerade och den personuppgiftsansvarige, t.ex. läkare och patient respektive socialsekreterare och mottagare av bistånd. Utrymmet för att samtycke ska kunna utgöra den rättsliga grunden är mycket snäv. Medlemsstaterna har, enligt artikel 6.2, enbart stöd för att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen gällande artikel 6.1 c och e. Samtycke som rättslig grund ger inte medlemsstaterna utrymme för egen nationell reglering enligt artikel 6.3. Datainspektionen delar bedöm- ningen att bestämmelser om samtycke som rättslig grund kräver särskilda överväganden, men anser att det krävs för alla verksamheter inom område oavsett om de bedrivs av enskilda aktörer eller myndigheter. Datainspektionen anser vidare att de registerförfattningar som inne- håller bestämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation där den registrerade befinner sig i förhållande till den personuppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de personuppgiftsansvariga om och under vilka förutsättningar sam- tycke kan ges och hur samtycket påverkar övriga regler i aktuell register- författning. Det saknas sådana överväganden i betänkandet, exempelvis hänvisas beträffande 6 § apoteksdatalagen och 4 § andra stycket lagen om receptregister enbart till avsnitt 9.10.2. I avsnitt 10.1.6 avseende 2 kap. 3 § första stycket patientdatalagen anges att enligt den bedömning utredningen har gjort i avsnitt 9.10.2 behöver någon ny avvägning angående huruvida det är lämpligt att grunda en behandling av person- uppgifter på samtycke inte göras. Utredningen konstaterar därefter att bestämmelsen kan behållas. Regler från dataskyddsförordningen som inte ska eller får regleras nationellt, får enligt skäl 8 enbart införlivas i nationell rätt om det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga. Datainspektionen anser att såsom de aktuella bestämmelserna är utformade kan det ge verksamheterna en felaktig uppfattning om att samtycke kan utgöra den rättsliga grunden på ett betydligt vidare sätt än vad dataskyddsförordningen avsett för offentlig verksamhet.