prop · H503171 · 2018-03-19 00:00:00 — Det är inte heller möjligt att, utifrån registerförfattningarna, förstå att särskilda förhållanden råder till de övriga reglerna i register- författningen när den rättsliga grunden är samtycke. Bestämmelserna om samtycke som rättslig grund ökar således inte begripligheten och kan därför, enligt Datainspektionen, inte behållas i sin nuvarande utformning. läns landsting anser att kraven på samtycke synes ha skärpts något i dataskyddsförordningen. Det är dock svårt att överblicka hur stor denna förändring egentligen är och vilka konsekvenserna kan bli exempelvis inom hälso- och sjukvårdens område samt att en sådan analys hade kunnat vara av intresse för rättstillämpningen. Skälen för regeringens bedömning: Samtycke utgör enligt både dataskyddsdirektivet och dataskyddsförordningen en rättslig grund för behandling av personuppgifter. Av artikel 6.1 a i dataskyddsförordningen och artikel 7 a i dataskydds- direktivet följer att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycke definieras i artikel 4.11 i dataskydds- förordningen som varje slag av frivillig, specifik, informerad och otve- tydig viljeyttring, genom vilken den registrerade, antingen genom ett ut- talande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Definitionen motsvarar i allt väsentligt den som finns i artikel 2 h i dataskyddsdirektivet. I artikel 7 om villkor för samtycke och 8 om villkor som gäller barns samtycke avseende informationssamhällets tjänster i dataskyddsförord- ningen finns vissa ytterligare bestämmelser om samtycke som rättslig 2017/18:171 grund för behandling av personuppgifter, som inte har någon uttrycklig motsvarighet i dataskyddsdirektivet och personuppgiftslagen. I skäl 42 i dataskyddsförordningen anges följande. efter samtycke från registrerade, bör personuppgiftsansvariga kunna visa att de registrerade har lämnat sitt samtycke till behandlingen. vid skriftliga förklaringar som rör andra frågor bör det finnas skyddsåtgärder som säkerställer att de registrerade är medvetna om att samtycke ges och om hur långt samtycket sträcker sig. rådets direktiv /13/EEG bör en förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. I skäl 43 i dataskyddsförordningen anges följande. att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. inte vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter, trots att det är lämpligt i det en- skilda fallet, eller om genomförandet av ett avtal – inbegripet tillhanda- hållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande. Några motsvarande skrivningar finns inte i skälen i dataskyddsdirek- anför att det inte kan uteslutas att kraven på samtycke i vissa situationer när samtycke utgör den rättsliga grunden för behandling av personuppgifter har skärpts något i förhållande till vad som anses gälla , jämför skäl 171 i dataskyddsförordningen som innehåller skrivningar som verkar förutsätta att ett samtycke enligt data- skyddsdirektivet inte alltid uppfyller villkoren i dataskyddsförordningen. läns landsting anser att kraven på samtycke synes ha skärpts något i dataskyddsförordningen. Det är dock svårt att överblicka hur stor denna förändring egentligen är och vilka konsekvenserna kan bli exempelvis inom hälso- och sjukvårdens område. Regeringen anser att om kraven på samtycke har skärpts i dataskydds- förordningen så är det en fråga som får hanteras i rättstillämpningen. Artikel 29-gruppen har i ett yttrande gjort vissa uttalanden avseende dataskyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personuppgifter. allt registeransvariga inom den offentliga sektorn, där behandlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig för- pliktelse eller utförandet av en arbetsuppgift av allmänt intresse. använda samtycke som rättslig grund i dessa fall är inte lämpligt. särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har officiella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. I samma yttrande anges att ett samtycke som i en vårdsituation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt (Yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13 f.). Även enligt Datainspektionen kan det starkt ifrågasättas om kravet på att samtycket lämnats frivilligt är uppfyllt om myndigheter skulle kräva samtycke till behandling av personuppgifter som en förutsättning för att tillhandahålla samhälleliga tjänster. I de fall där den enskilde inte har någon verklig valmöjlighet måste den personuppgiftsansvarige stödja be- handlingen av personuppgifter på någon annan grund (Samtycke enligt personuppgiftslagen – Datainspektionen informerar s. 6). Samtycke kan dock enligt ovan nämnda yttrande från Artikel 29-gruppen i undantags- fall vara en giltig grund för stater när de behandlar personuppgifter, men en noggrann kontroll bör göras för att se om samtycket faktiskt är till- räckligt frivilligt. Regeringen betonar att bestämmelsen i artikel 6.1 a i dataskyddsförord- ningen om att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål är direkt tillämplig och inte försedd med någon möj- lighet till nationell begränsning. Det är därför inte tillåtet att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt samtycke från den registrerade annat än när det gäller känsliga personuppgifter (artikel 9.2 a) och personuppgifter om lagöverträdelser (artikel 10). Detta motsvarar vad som gäller . Regeringen anser att det inom verksamhets- område framför allt är andra grunder såsom rättslig förpliktelse (artikel 6.1 c) eller allmänt intresse eller led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) som utgör rättslig grund för behand- ling av känsliga personuppgifter. Att använda grunden samtycke är där- med inte särskilt vanligt inom verksamhetsområde. Regeringen instämmer i vad anför om att kravet på frivillighet gäller även enligt dataskyddsdirektivet, dvs. detta är inget nytt krav. Det som anförs i skäl 42 och 43 motsvarar en del av vad som anges i uttalandena från Artikel 29-gruppen. Det torde i varje specifikt fall få bedömas om det råder sådan betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla för- hållanden som denna särskilda situation omfattar, dvs. kravet på frivillig- het inte är uppfyllt. Även i de fall det är en myndighet så torde det finnas utrymme för samtycke som rättslig grund t.ex. om den registrerade har fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke, jfr slutet av skäl 42. För det fall behandlingen av personuppgifter hos en myndighet grundar sig på samtycke så krävs det särskilda överväganden för att bedöma om den grunden kan utgöra stöd för behandlingen. I vissa registerförfattningar förekommer det att myndigheter och en- skilda uttryckligen förbjuds möjligheten att behandla personuppgifter 2017/18:171 med stöd av samtycke. Det förekommer också bestämmelser i register- författningar där det tillåts att med stöd av samtycke behandla person- uppgifter för andra ändamål eller i andra fall än de i författningen an- givna. Detta gäller exempelvis 2 kap. 3 § patientdatalagen (avsnitt 7.1.3) och 6 § andra stycket apoteksdatalagen (avsnitt 7.2.2) samt 4 § andra stycket lagen om receptregister (se avsnitt 7.7.3). Även sådana bestäm- melser kan behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a (om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationell rätt föreskriver att förbudet inte kan upphävas av den registrerade) i dataskyddsförordningen och skäl 8 i dataskyddsförordningen om att det är tillåtet att införliva delar av dataskyddsförordningen i nationell rätt. Eftersom det anses att den registrerades samtycke inte ger rätt att behandla personuppgifter i strid med de grundläggande kraven på behandling i artikel 5 i dataskyddsför- ordningen, gäller dock att bestämmelsen inte kan ge stöd för att t.ex. be- handla sådana personuppgifter som inte är korrekta i förhållande till de ändamål som anges i författningen eller som samtycket avser (artikel 5.1 d). Det förekommer även bestämmelser i registerförfattningar om att en behandling för vissa ändamål bara får utföras med den registrerades samtycke trots att den behandling som författningen reglerar stöder sig på en annan rättslig grund än samtycke, t.ex. en arbetsuppgift av allmänt intresse, exempelvis 3 § andra stycket lagen om läkemedelsförteckning. En sådan begränsning anser regeringen är tillåten för myndigheter och (till skillnad från bedömning) även en- skilda. Om de angivna ändamålen för den behandling av personuppgifter som regleras i registerförfattningen är sådana som avses i artikel 6.1 c eller e i dataskyddsförordningen (dvs. rättslig förpliktelse eller arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning), får bestämmelserna anses tillåtna såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelser som innebär krav på sam- tycke för en viss åtgärd, t.ex. direktåtkomst, när den behandling som för- fattningen reglerar stöder sig på en annan rättslig grund kan utgöra en integritetshöjande åtgärd, dvs. ett slags skyddsåtgärd, se exempelvis be- stämmelser i 4 och 6 kap. patientdatalagen. Regeringens bedömning: Bestämmelser i registerförfattningar som innebär att personuppgifter som behandlas för i författningen angivna ändamål får behandlas också för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in, bör behållas i sak. bedömning: Överensstämmer huvud- sakligen med regeringens. Utredningens bedömning avser en annan formulering av bestämmelserna, nämligen bestämmelser i registerför- fattningar med innebörden att personuppgifter, som behandlas för i för- fattningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen (DI) avstyrker den föreslagna formuleringen som hänvisar till finalitetsprincipen, dvs. till artikel 5.1 b i dataskyddsförord- ningen. DI anser att det är bra att det i de föreslagna bestämmelserna hänvisas till artikeln, men att den föreslagna formuleringen är miss- visande. I den föreslagna lydelsen framstår det som att det alltid är tillåtet att behandla personuppgifter för andra ändamål enligt artikel 5.1 b. Det är dock inte korrekt eftersom den artikeln anger ett antal förutsättningar som måste vara uppfyllda för att personuppgifter ska få behandlas för andra ändamål än det ändamål för vilket de samlades in. Artikel 5.1 b gäller direkt och får enligt skäl 8 i förordningen regleras i nationell rätt om det innebär ett förtydligande. anser att en del av författningsförslagen innebär fel- aktiga upprepningar av artikel 5.1 b. Skälen för regeringens bedömning: Av 9 § första stycket d person- uppgiftslagen framgår att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I flera registerförfattningar förekommer hänvisningar till denna s.k. finalitetsprincip i personuppgiftslagen. Principen finns även i data- skyddsförordningen. Av artikel 5.1 b framgår att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ända- målen. Artikel 89.1 i dataskyddsförordningen utgör en precisering av principen om uppgiftsminimering som regleras i artikel 5.1 och de allmänna bestämmelserna om skyddsåtgärder i dataskyddsförordningen (se vidare i avsnitt 4.9.1). Av skäl 50 i dataskyddsförordningen framgår att vid behandling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamling- en av personuppgifter medgavs. Detta är en nyhet i förhållande till data- skyddsdirektivet. Finalitetsprincipen kommer således att finnas kvar även i dataskydds- förordningen som kommer att vara direkt tillämplig. I och med att det i registerförfattningar finns ändamålsbestämmelser kan det uppstå oklar- heter om huruvida artikel 5.1 b ska tillämpas eller om tillämpnings- området med avsikt är begränsat till att utesluta sådan behandling. Det finns därför av tydlighetsskäl anledning att i förekommande fall behålla någon form av hänvisning till finalitetsprincipen i registerförfattningarna. Datainspektionen avstyrker den formulering med en hänvisning till finalitetsprincipen som har föreslagit. DI motiverar det med att formuleringen är missvisande, eftersom det finns ett antal förutsättningar som måste vara uppfyllda för att personuppgifter ska få behandlas för andra ändamål än det ändamål för vilket de samlades in. Enligt regeringens bedömning kommer de bestämmelser som reglerar tillåtna ändamål och finalitetsprincipen i registerförfattning- arna att utgöra en sådan ändamålsbegränsning som avses i artikel 6.3 i 2017/18:171 dataskyddsförordningen. Reglerna blir därför enligt regeringens mening inte missvisande och det finns inte heller skäl att ange vilken artikel i dataskyddsförordningen som förtydligas genom bestämmelserna i Regeringen menar också, i likhet med Socialdata- skyddsutredningen, att det saknas skäl att i bestämmelsen hänvisa till måste enligt dataskyddsförordningen som är direkt tillämplig beakta såväl artikel 89.1 som övriga bestämmelser i dataskyddsförordningen. Det gäller bl.a. de grundläggande principerna i artikel 5 om uppgiftsmini- mering m.m. och bestämmelserna i artikel 13.3 och 14.4 som innebär att de registrerade som huvudregel på förhand måste informeras om åter- användning av personuppgifter. Regeringens förslag till bestämmelser som rör finalitetsprincipen på område finns i 2 kap. 5 § patientdatalagen (avsnitt 7.1.4), 9 § apoteksdatalagen (avsnitt 7.2.3), 9 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel (avsnitt 7.3.2), 114 kap. 10 § 7 § lagen om receptregister (avsnitt 7.7.4) samt 6 § lagen om register över nationella vaccinationsprogram (avsnitt 7.10.2). Det kan noteras att i vissa författningar finns bestämmelser som före- skriver att behandlingen endast får utföras för vissa angivna ändamål och att finalitetsprincipen därmed inte gäller. Personuppgifter i nationella och regionala kvalitetsregister får enligt 7 kap. 6 § patientdatalagen inte behandlas för några andra ändamål än de som anges i 7 kap. 4 och 5 §§. Det innebär att det inte är tillåtet att be- handla personuppgifter i nationella och regionala kvalitetsregister för andra ändamål även om dessa inte är oförenliga med det ändamål för vilket uppgifterna har samlats in. Finalitetsprincipen gäller därmed inte vid behandling av personuppgifter i nationella eller regionala kvalitets- Däremot kan personuppgifter behandlas för andra ändamål än de som räknas upp i dessa bestämmelser med stöd av patientens samtycke. Detta följer av den allmänna bestämmelsen i 2 kap. 3 § patientdatalagen. I 3 § lagen om läkemedelsförteckning anges att läkemedelsförteck- ningens dokumentation av köp av förskrivna läkemedel endast får använ- das för vissa angivna ändamål. Av bl.a. 5 kap. 5 § lagen om biobanker inom hälso- och sjukvården m.m. följer att endast får an- vändas för vissa angivna ändamål. Av 16 § lagen om blodsäkerhet följer att registret med uppgifter om blodverksamheten, blodgivare, blod- mottagare och gjorda kontroller av blod och blodkomponenter endast får ha till ändamål att göra det möjligt att spåra blod och blodkomponenter och att förhindra att smittat blod och blodkomponenter överförs till Register som förs enligt 21 § lagen om säkerhetsnormer vid hantering av mänskliga vävnader och celler får ha till ändamål att endast säkerställa spårbarhet av mänskliga vävnader och celler för att förhindra överföring av sjukdomar. I dessa fall gäller inte I andra lagar där det saknas bestämmelser om finalitetsprincipen får den personuppgiftsansvarige bedöma utifrån lagarnas ändamålsbestäm- melsers utformning eller andra bestämmelser, som reglerar t.ex. utläm- nande eller åtkomst till personuppgifter, huruvida en senare behandling är förenlig eller oförenlig med de ändamål uppgifterna samlades in för. Vid den personuppgiftsansvariges bedömning behöver bestämmelserna i . 2017/18:171 artikel 5.1 b och artikel 6.4 a–e i dataskyddsförordningen särskilt be- Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen bör inte anses vara oförenlig med de ursprungliga ändamålen. 6.6.1Förbud mot att behandla känsliga personuppgifter och möjligheterna till undantag Regeringens bedömning: Det är möjligt att bara delvis tillåta be- handling av känsliga personuppgifter som omfattas av något av undan- tagen i artikel 9.2 i EU:s dataskyddsförordning som kräver stöd i nationell rätt. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning: Av artikel 9.1 i dataskydds- förordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter. I propositionen Ny dataskyddslag anför regeringen i fråga om be- greppet känsliga personuppgifter att begreppet är väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i för- fattningstext. Regeringen anser därför att benämningen känsliga person- uppgifter bör användas i dataskyddslagen som en samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen (prop. 2017/18:105 s. 75). Motsvarande förbud att behandla känsliga personuppgifter finns i artikel 8.1 i dataskyddsdirektivet. Dataskyddsdirektivets förbud har kommit till uttryck i 13 § personuppgiftslagen, som innehåller en upp- räkning av samma kategorier som i dataskyddsdirektivet. Artikel 9.1 i dataskyddsförordningen innehåller dock något fler kategorier av person- uppgifter – genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning har till- kommit. Som anges i avsnitt 6.6.6 innebär införandet av begreppet sexuell läggning dock inte någon egentlig utvidgning från svenskt perspektiv eftersom detta i svensk rätt har ansetts ingå i ”sexualliv”. Huvudregeln är enligt artikel 9.1 i dataskyddsförordningen att behand- ling av känsliga personuppgifter är förbjuden. med ett antal undantag i artikel 9.2, som anger när behandling av känsliga personuppgifter trots allt kan tillåtas. Känsliga personuppgifter kan behandlas med stöd av samtycke (a) och för att skyldigheter och rättigheter ska kunna tillvaratas inom arbetsrätten och på områdena social trygghet och socialt skydd i den omfattning detta är tillåtet enligt unionsrätten, nationell rätt eller kollektivavtal (b). också tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är förhindrad att ge sitt samtycke (c). heter med politiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om sina medlemmar och vissa andra personer (d). Vidare får känsliga personuppgifter behandlas om behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade (e). Ytterligare ett undantag avser behandling som är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller är en del av domstolarnas dömande verksamhet (f). Behandling av känsliga person- uppgifter får ske av hänsyn till ett, på grundval av eller nationell rätt, viktigt allmänt intresse (g). Behandling av känsliga personuppgifter får också ske i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg, på grundval av eller medlemsstaternas nationella rätt under förutsättning att uppgifterna behandlas av eller under ansvar av bl.a. en yrkesutövare som omfattas av tystnadsplikt (h och artikel 9.3). Även ett allmänt intresse på folkhälsoområdet, på grundval av EU- rätten eller nationell rätt, ger rätt att behandla känsliga personuppgifter (i). Slutligen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (j). Medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa (artikel 9.4). En fråga är om möjligheterna att i nationell rätt göra undantag från förbudet att behandla känsliga person- uppgifter måste utnyttjas fullt ut i den nationella rätten för att kunna I artikel 9.4 anges att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, men endast för behandling av vissa kategorier av känsliga personuppgifter, nämligen genetiska eller biometriska uppgifter eller uppgifter om hälsa. Detta skulle kunna tyda på att det inte är tillåtet att behålla ytterligare villkor för övriga kategorier av känsliga personuppgifter. En sådan tolkning synes dock enligt Social- dataskyddsutredningen inte vara rimlig. huvudregel om förbud mot behandling av känsliga personuppgifter har tillkommit eftersom dessa uppgifter anses vara särskilt skyddsvärda. det då endast ska vara möjligt att ha en nationell reglering som antingen helt förbjuder behandling av sådana uppgifter eller tillåter all behandling