prop · H503171 · 2018-03-19 00:00:00 — Eftersom personupp- giftslagen kommer att upphävas, bör dock hänvisningen till den lagen tas bort. 7.5.9Bestämmelsen om gallring får ändrad lydelse Regeringens förslag: Bestämmelsen i 114 kap. 31 § socialförsäk- ringsbalken ändras så att formuleringen om historiska, statistiska eller vetenskapliga ändamål överensstämmer med den som används i EU:s dataskyddsförordning. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. anser att bestämmelsen om gallring inte behövs i och med att behandlingen regleras direkt i förordningen. Skälen för regeringens förslag: Enligt 114 kap. 31 § socialförsäk- ringsbalken ska personuppgifter som behandlas automatiskt gallras när de är nödvändiga för de ändamål som anges i 114 kap. 7 §, om inte regeringen eller den myndighet som regeringen bestämmer med- delar föreskrifter om att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelser om gallring och bevarande behöver inte ändras i sak under de förutsättningar som anges i avsnitt 6.10. Detsamma gäller delegationsbestämmelser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för och för vissa ända- mål. Bestämmelserna i 114 kap. 31 § socialförsäkringsbalken bör behållas. Bestämmelsen ska dock ändras så att formuleringar överens- stämmer med dataskyddsförordningens lydelse. 7.5.10Information som ska lämnas på begäran Regeringens förslag: Hänvisningen till 114 kap. 30 § socialförsäkringsbalken ändras till att avse artikel 15 i Bestämmelsen om att information bara behövs lämnas gratis en gång per kalenderår gällande varje handling för sig tas bort. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. anför att 114 kap. 30 § socialförsäkringsbalken innehåller en begränsning av registrerades rätt till information. melsen bör upphävas eftersom behovet av inskränkningen inte väger tyngre än de registrerades intresse av att rättigheten inte inskränks. Skälen för regeringens förslag: I 114 kap. 30 § socialförsäkrings- balken finns det en bestämmelse som kompletterar 26 § personuppgifts- lagen, som i sin tur anger vilken information den personuppgifts- ansvarige ska lämna på begäran av den registrerade, dvs. den information som lämnas i ett s.k. registerutdrag. Enligt 26 § personuppgiftslagen ska information lämnas om vilka uppgifter om den sökande som behandlas. Enligt 114 kap. 30 § socialförsäkringsbalken gäller denna skyldighet i ett första skede inte personuppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende, om den registrerade tagit del av handlingens innehåll. Eftersom den enskilde ofta i enlighet med förvaltningslagen har kommunicerats uppgifter som tillförts ett ärende från annan än honom eller henne själv, har den registrerade i de flesta fall tagit del av de personuppgifter som finns i handlingar som kommit in i ett ärende eller upprättats i ett ärende. Då behöver eller Pensions- myndigheten endast lämna information om vilka sådana handlingar som finns i ärendet. Om den registrerade sedan begär att få information om personuppgifter i en sådan handling och anger vilken handling som avses, ska registerutdraget omfatta även dessa uppgifter, om inte annat följer av bestämmelser om sekretess. I dataskyddsförordningen framgår skyldigheten att lämna information på begäran av den registrerade av artikel 15. Bestämmelsen i 114 kap. 30 § socialförsäkringsbalken medför en viss begränsning av rätten enligt artikel 15 i dataskyddsförordningen. Samtlig information kan inte fås i ett första steg utan det krävs att den registrerade först tar del av information om vilka handlingar som finns, för att sedan begära att även få del av innehållet i handlingarna. Begränsningen är dock inte särskilt ingripande och medför ingen rättsförlust, eftersom rätten att få del av samtliga personuppgifter kvarstår även om den förutsätter en större ansträngning från den registrerades sida. Begränsningen får förutsättas ha stöd i personuppgiftslagen och data- skyddsdirektivet. Befintliga begränsningar av den registrerades rättig- heter kan och bör behållas (se avsnitt 6.8.2). För den händelse bestämmelsen även skulle innebära en utvidgning av skyldigheterna enligt dataskyddsförordningen, drabbar den utvidgningen bara myndigheter, varför dataskyddsförordningen inte hindrar den. Bestämmelsen behöver dock omarbetas, eftersom personuppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. En hänvisning bör göras till artikel 15 i dataskyddsförordningen. Bestämmelsen om att information bara behövs lämnas gratis en gång per kalenderår gällande varje handling för sig tas bort, se artikel 12.5 i dataskyddsförordningen. Hänvisningen bör vara dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom artikel 15 i dataskyddsförordningen är direkt tillämplig. 2017/18:171 7.5.11 Bestämmelsen om rättelse och skadestånd upphävs Regeringens förslag: Bestämmelsen i 114 kap. 33 § socialförsäk- ringsbalken som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Enligt 114 kap. 33 § socialförsäk- ringsbalken ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt 114 kap. eller föreskrifter som har meddelats i anslutning till kapitlet. Bestämmelsen bör upphävas (se avsnitt 6.8.1 och 6.11.1). 7.5.12Bestämmelsen om överklagande upphävs Regeringens förslag: Bestämmelsen om överklagande i 114 kap. 36 § socialförsäkringsbalken upphävs. förslag: Överensstämmer inte med regeringens. Utredningen föreslår att hänvisningen till personuppgifts- lagens bestämmelser om överklagande ersätts med en hänvisning till dataskyddslagen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: I 114 kap. 36 § socialförsäkrings- balken upplyses om att i fråga om överklagande av beslut om rättelse eller avslag på ansökan om information enligt 26 § personuppgiftslagen (registerutdrag) tillämpas bestämmelserna i den lagen. Vidare framgår av paragrafen att andra beslut enligt 114 kap. socialförsäkringsbalken inte får överklagas. I fråga om överklagande av beslut enligt 114 kap. kommer dataskydds- lagens bestämmelser att gälla (se avsnitt 6.12). Till skillnad från anser regeringen att det inte behövs en särskild bestämmelse som upplyser om det. 7.5.13Automatiserade beslut i socialförsäkringsbalken Regeringens bedömning: Bestämmelserna i 112 kap. 6 och 7 §§ socialförsäkringsbalken bör inte ändras. bedömning: Överensstämmer med regeringens. Remissinstanserna: Remissinstanserna har inte haft några synpunkter Skälen för regeringens bedömning: I avsnitt 6.8.1 redogörs för innehållet i artikel 4.4 i dataskyddsförordningen om profilering och i artikel 22 om automatiserat individuellt beslutsfattande, inbegripet profilering. Enligt 112 kap. 6 § socialförsäkringsbalken får fatta beslut om pensionsgrundande inkomst genom automatiserad behandling när skälen för beslutet får utelämnas enligt 20 § första stycket 1 förvalt- ningslagen (1986:223). får enligt 7 § i samma kapitel fatta beslut om allmän ålderspension, efterlevandepension och efterlevandestöd genom automatiserad behandling, när skälen för beslutet får utelämnas enligt 20 § förvaltningslagen. Av 20 § förvalt- ningslagen följer att ett beslut varigenom en myndighet avgör ett ärende ska innehålla de skäl som har bestämt utgången, om ärendet avser myndighetsutövning mot någon enskild. Skälen får dock utelämnas helt eller delvis bl.a. om beslutet inte går någon part emot eller om det av någon annan anledning är uppenbart obehövligt att upplysa om skälen. Om skälen har utelämnats bör myndigheten, enligt andra stycket i samma paragraf, på begäran av den som är part om möjligt upplysa om skälen i efterhand. Förvaltningslagen (1986:223) kommer att upphävas då den nya förvaltningslagen (2017:900) träder i kraft. Enligt 32 § i den nya förvaltningslagen ska ett beslut som kan antas påverka någons situation på ett inte obetydligt sätt innehålla en klargörande motivering, om det inte är uppenbart obehövligt. Någon generell möjlighet att göra undantag för gynnande beslut finns inte. I Ds 2017:42 föreslås att 112 kap. 6 § ändras på det sättet att beslut om pensions- grundande inkomst får fattas genom automatiserad behandling när en klargörande motivering för beslutet får utelämnas enligt 32 § första stycket förvaltningslagen. I samma Ds föreslås att 7 § i samma kapitel ändras så att beslut om allmän ålderspension får fattas genom automatiserad behandling av när en klargörande motivering för beslutet får utelämnas enligt 32 § första stycket förvalt- ningslagen och att detsamma ska gälla i tillämpliga delar för beslut om efterlevandepension och efterlevandestöd. Automatiserade beslut är enligt artikel 22 i dataskyddsförordningen som huvudregel inte tillåtna om de innefattar profilering (se regeringens bedömning i avsnitt 6.8.1). Utredningen har bedömt att de beslut som och kan fatta på automatiserad väg enligt socialförsäkringsbalken inte inkluderar profilering i dataskyddsför- ordningens mening, och att bestämmelserna i socialförsäkringsbalken därför inte behöver ändras. Automatiserade beslut om pensionsgrundande inkomst, om ålders- pension, efterlevandepension och efterlevandestöd måste enligt regeringens mening anses innebära automatisk behandling av personupp- gifter som består i att analysera eller förutsäga en persons ekonomiska situation. Därmed omfattas beslutsfattandet av definitionen av profilering i artikel 4.4 dataskyddsförordningen. Regeringen bedömer därför till skillnad från utredningen att besluts- fattande enligt 112 kap. 6 och 7 §§ socialförsäkringsbalken omfattas av huvudregeln i artikel 22.1 som innebär att en registrerad har rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behand- ling, inbegripet profilering. För att sådana automatiserade beslut ändå ska 2017/18:171 vara tillåtna krävs att något av villkoren i artikel 22.2 är uppfyllt. Enligt artikel 22.2 b kan beslut grundas på automatiserad behandling, inbegripet profilering, om beslutet tillåts enligt unionsrätten eller nationell rätt som den personuppgiftsansvarige omfattas av, och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och be- rättigade intressen. Bestämmelserna i 112 kap. 6 och 7 §§ som tillåter automatiserade beslut kan och bör således behållas enligt dataskydds- förordningen. Det krävs dock att den nationella rätten fastställer lämpliga skyddsåtgärder (se avsnitt 6.8.1). Sådana skyddsåtgärder får anses finnas i tillräcklig omfattning dels genom den hänvisning till förvaltningslagen som begränsar möjligheterna att fatta beslut genom automatiserad behandling, dels genom bestämmelserna om ändring, omprövning och överklagande i 113 kap. socialförsäkringsbalken, och dels genom de allmänna bestämmelserna i förvaltningslagen om den enskildes rättig- heter. 7.6 Lagen (2010:111) om införande av socialförsäkringsbalken Regeringens förslag: Bestämmelserna i 9 kap. 22 och 23 §§ lagen om införande av socialförsäkringsbalken ändras så att det framgår att 114 kap. 33 § socialförsäkringsbalken har upphävts och att de upp- hävda bestämmelserna om skadestånd ska tillämpas om den om- ständighet som ett yrkande om skadestånd grundas på har inträffat före men efter utgången av . Bestäm- melsen om att de gällande bestämmelserna ska tillämpas i annat fall tas bort. förslag: Överensstämmer delvis med Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Enligt 9 kap. 22 § lagen om införande av socialförsäkringsbalkens ska bestämmelserna i 114 kap. 33 § social- försäkringsbalken om skadestånd på grund av behandling enligt det kapitlet eller föreskrifter som har meddelats i anslutning till det kapitlet även avse behandling enligt den upphävda lagen (2003:763) om behand- ling av personuppgifter inom socialförsäkringens administration eller föreskrifter som har meddelats i anslutning till den lagen. 23 § lagen om införande av socialförsäkringsbalken gäller detta endast om den omständighet som ett yrkande om skadestånd grundas på har inträffat efter utgången av . I annat fall tillämpas de dess- förinnan gällande bestämmelserna. Bestämmelsen i 114 kap. 33 § social- försäkringsbalken är i princip identisk med bestämmelsen om skadestånd i 30 § lagen om behandling av personuppgifter inom socialförsäkringens Båda bestämmelserna hänvisar till personuppgiftslagens bestämmelse om skadestånd. Regeringen föreslår i propositionen Ny dataskyddslag, (prop. 2017/08:105) att personuppgiftslagen, och därmed även dess bestämmel- se om skadestånd, upphävs. Regeringen föreslår i avsnitt 7.5.11 att Prop. 2017/18:171 114 kap. 33 § socialförsäkringsbalken, som hänvisar till personuppgifts- lagens bestämmelser om skadestånd och rättelse, också upphävs. I propositionen om en ny dataskyddslag (prop. 2017/18:105 s. 176) anför regeringen att det följer av allmänna grundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593) och att någon särskild över- gångsbestämmelse om detta inte behövs. Vid upphävandet av lagen om behandling av personuppgifter inom socialförsäkringens administration och införandet av socialförsäkrings- balken föreskrevs att de nya bestämmelserna om skadestånd i socialför- säkringsbalken skulle gälla även för skadefall som inträffat före ikraft- trädandet. Detta avviker från huvudregeln om att äldre lag ska gälla för skadefall som inträffat före ikraftträdandet av en ny lag med skadestånds- bestämmelser. För att detta ska fortsätta att gälla föreslår regeringen i likhet med att bestämmelserna i 9 kap. 22 och 23 §§ lagen om införande av socialförsäkringsbalken behålls i sak, men ändras så att det framgår att 114 kap. 33 § socialförsäkringsbalken har upphävts och att den bestämmelsen bara ska tillämpas på skadefall som inträffat före dataskyddsförordningens ikraftträdande. Den mening i 9 kap. 23 § lagen om införande av socialförsäkrings- balken som föreskriver att tidigare gällande bestämmelser ska tillämpas för fall som inträffade behövs inte eftersom det följer redan av de allmänna rättsgrundsatser som redovisats här. Mening- en kan därför tas bort från paragrafen. Även för skadefall som inträffar efter dataskyddsförordningens ikraftträdande ska huvudregeln gälla, vilket inte kräver någon särskild övergångsbestämmelse (se avsnitt 8.2). 7.7Lagen (1996:1156) om receptregister 7.7.1Förhållandet till annan reglering Regeringens förslag: I 3 § lagen om receptregister ska det finnas en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också upplysas om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om receptregister eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 3 § lagen om recept- register om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av övervägandena i avsnitt 6.3. 2017/18:171 7.7.2 Regeringens förslag: Lagen om receptregister kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i EU:s dataskyddsförordning på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. förslag: Överensstämmer inte med regeringens förslag. lämnade inget förslag om en sådan bestämmelse. Remissinstanserna: anser att förandet av recept- registret kan anses ha en lika stark koppling till bedrivande av hälso- och sjukvård som läkemedelsförteckningen och att en ny bestämmelse om behandling av känsliga personuppgifter bör införas även i lagen om receptregister. Skälen för regeringens förslag: noterar att bl.a. föreslår att nya bestämmelser om behandling av känsliga personuppgifter införs i lagen om läkemedels- förteckning. Bestämmelsen hänvisar till artikel 9.3 i dataskyddsförord- ningen som reglerar att känsliga personuppgifter som får behandlas för de ändamål som regleras i artikel 9.2 h dataskyddsförordningen endast av eller under ansvar av den yrkesutövare som omfattas av tystnadsplikt. Motsvarande bestämmelse föreslås inte som tillägg i lagen om recept- register. Skälet till detta synes vara det utredningen framför att det rättsliga stödet för behandling av känsliga personuppgifter i recept- registret är det undantag från förbudet som finns i artikel data- skyddsförordningen. Utredningens bedömning är att förandet av recept- registret ”i vart fall anses nödvändigt av hänsyn till ett viktigt allmänt intresse” (SOU 2017:66 avsnitt 11.1.7, s. 471). Vidare framgår det av att skälet till den bedömningen är att utredningen anser att de behandlingar som sker med stöd av lagen om receptregister ”inte har lika stark koppling till bedrivandet av hälso- och sjukvård” som de som sker med stöd av lagen om läkemedelsförteckningen (jfr SOU 2017:66 avsnitt 11.3.7, s. 482–483). anser att motiveringen till detta synes dock hänföras från tiden då den aktuella lagen infördes då ända- målet bl.a. var att utgöra underlag för tillämpningen av bestämmelserna om läkemedelsförmåner, men efter lagens tillkomst har ändamålen för- ändrats och utvecklats. kan de huvudsakliga ändamålen bättre beskrivas som: registrering och expediering av e-recept, expedie- ring av pappersrecept samt registrering av underlag för tillämpningen av bestämmelserna om läkemedelsförmåner. Med beaktande av de ändamål som finns i 6 § lagen om receptregister anser att förandet av receptregistret kan anses ha en lika stark koppling till bedrivande av hälso- och sjukvård som läkemedelsförteckningen och att en ny bestämmelse om behandling av känsliga personuppgifter bör in- föras även i lagen om receptregister. Mot bakgrund av det som anför anser regeringen att det i lagen om receptregister bör införas en kompletterande be- stämmelse som påminner om kravet enligt artikel 9.3 i dataskyddsförord- ningen på att känsliga personuppgifter endast får behandlas av eller Prop. under ansvar av den som omfattas av tystnadsplikt, se även avsnitt 6.6.4. Personalen vid omfattas av bestämmelser om tyst- nadsplikt i bl.a. 25 kap. 17 a § offentlighets- (2009:400). 7.7.3 Den enskildes inställning till behandling av personuppgifter Regeringens bedömning: Bestämmelsen i 4 § lagen om receptregi- ster om den enskildes inställning till behandlingen av personuppgifter kan och bör behållas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att de registerförfattningar som innehåller be- stämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation den registrerade befinner sig i förhållande till den person- uppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de person- uppgiftsansvariga om och under vilka förutsättningar samtycke kan ges och hur samtycket påverkar övriga regler i aktuell registerförfattning. Datainspektionen saknar emellertid sådana särskilda överväganden beträffande 4 § andra stycket lagen om receptregister. Någon kommentar gällande privata vårdgivare görs inte. Skälen för regeringens bedömning Rätten att invända mot behandling av personuppgifter Behandling av personuppgifter som är tillåten enligt lagen om recept- register får enligt 4 § första stycket lagen om receptregister utföras även om den enskilde motsätter sig behandlingen. Rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen gäller endast behandling som grundar sig på artikel 6.1 e eller f (allmänt intresse, myndighetsutövning eller intresseavvägning) i dataskyddsför- ordningen. Den behandling som sker enligt lagen om receptregister grundar sig på en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen (jfr bedömning såvitt avser lagen om läkemedelsförteckning SOU 2017:66 avsnitt 11.3.5, s. 479). Vid sådan behandling ger dataskyddsförordningen inte den registrerade någon rätt att invända. Det är förenligt med skäl 8 i dataskyddsförord- ningen att behålla bestämmelsen i 4 § lagen om receptregister, trots att det redan följer av dataskyddsförordningens reglering att den registrerade inte har någon rätt att invända mot behandlingen. hållas, eftersom den skapar tydlighet och igenkänning hos tillämparna. 2017/18:171 Samtycke som grund för behandlingen Behandling av personuppgifter som inte är tillåten enligt lagen om receptregister får, enligt 4 § andra stycket, ändå utföras, om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. Datainspektionen anser att de registerförfattningar som innehåller be- stämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation den registrerade befinner sig i förhållande till den person- uppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de person- uppgiftsansvariga om och under vilka förutsättningar samtycke kan ges och hur samtycket påverkar övriga regler i aktuell registerförfattning. Datainspektionen saknar emellertid sådana särskilda överväganden be- träffande 4 § andra stycket lagen om receptregister. Någon kommentar gällande privata vårdgivare görs inte. I enlighet med vad som anges i avsnitt 6.5.2 förekommer det att myndigheter och enskilda tillåts att med stöd av samtycke behandla personuppgifter för andra ändamål eller i andra fall än de i författningen angivna. En sådan regel finns i 4 § andra stycket lagen om receptregister. Enligt den bedömning som redovisas i samma avsnitt kan sådana bestämmelser behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen och skäl 8 i dataskyddsförordningen om att det är tillåtet att införliva delar av dataskyddsförordningen i nationell rätt. Regeringen delar därför inte Datainspektionens bedömning att ytterligare analys är nödvändig. 7.7.4Ändrad hänvisning i fråga om finalitetsprincipen Regeringens förslag: Hänvisningen till personuppgiftslagens bestäm- melse om finalitetsprincipen i 7 § lagen om receptregister tas bort. I stället införs en bestämmelse där det anges att personuppgifter som behandlas får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag: Överensstämmer huvudsak- ligen med regeringens. Utredningen föreslår en annan formulering av bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Övriga synpunkter, se avsnitt 6.5.3. Skälen för regeringens förslag: Enligt 7 § lagen om receptregister gäller finalitetsprincipen i 9 § första stycket d och andra stycket person- uppgiftslagen vid behandling som sker enligt lagen om receptregister. Det innebär att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in samt att behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka upp- Prop.