prop · H503171 · 2018-03-19 00:00:00 — Detta rättsliga stöd ska enligt artikel 9.2 i innehålla lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter, särskilt tystnadsplikt. Enligt regeringens bedömning är förutsättningarna för att behandling ska få ske enligt artikel 9.2 i uppfyllda om de känsliga personuppgifterna är sekretessreglerade i verksamheten. Om sekretessreglering saknas kan det däremot inte tas för givet att dataskyddsförordningens krav på lämpliga och specifika skyddsåtgärder för att skydda den registrerades rättigheter och friheter är uppfyllda. Vad lämpliga och specifika skyddsåtgärder kan bestå i framgår av avsnitt 6.9.2. Oavsett hur kravet på att behandlingen ska ske på grundval av nationell rätt ska tolkas, bedömer regeringen att det inte är oförenligt med dataskyddsförordningen att reglera ett undantag som grundar sig på artikel 9.2 i i dataskyddsförordningen i nationell lagstiftning (se SOU 2017:66 s. 249). Bestämmelser i registerförfattningar som tillåter be- handling av känsliga personuppgifter med stöd av folkhälsoundantaget får enligt regeringens mening anses, om inte nödvändiga så ändå tillåtna som nationella preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen, under förutsättning att den behandling av personuppgifter som regleras i registerförfattningen sker med stöd av artikel 6.1 c eller e i dataskyddsförordningen (se avsnitt 6.1 och 6.2). Mot bakgrund av det ovan anförda bedömer regeringen att införandet av ett generellt folkhälsoundantag eller ytterligare bestämmelser i regi- sterförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 9.2 i i dataskyddsförordningen inte krävs. Fler uppgifter blir känsliga personuppgifter Regeringens bedömning: Bestämmelser i särskilda registerförfatt- ningar som tillåter att alla kategorier av känsliga personuppgifter enligt nuvarande definition behandlas bör även avse nya kategorier av känsliga personuppgifter enligt den utvidgade definitionen i EU:s dataskyddsförordning. De nya känsliga personuppgifterna får endast behandlas under de förutsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av känsliga personuppgifter enligt nuvarande definition bör däremot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter. Bara om det är nödvändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten bör någon eller några av de nya kategorierna få behandlas. Bestämmelser i särskilda registerförfattningar om s.k. skyddsåtgär- der med restriktioner för behandling av känsliga personuppgifter enligt nuvarande definition bör som utgångspunkt utvidgas till att avse också de nya kategorierna av känsliga personuppgifter. Bara om det är nödvändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten att skyddsåtgärderna inte omfattar någon av de nya kategorierna av uppgifter bör den kategorin undantas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse med artikel 9. Det är inte förenligt med dataskyddsförordningen att förutsätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. I betänkandet är utgångspunkten att alla verksamheter som har tillåtits att behandla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. Ett exempel är att det föreslås att behandling av samtliga kategorier av känsliga personuppgifter ska få behandlas enligt socialförsäkringsbalken utan någon analys av om dessa uppgifter har varit nödvändiga att behandla i verksamheten eller om ett sådant behov kan tänkas uppstå. I det fortsatta lagstiftningsarbetet måste det säkerställas att varje bestämmelse som ska utgöra ett undantag från förbudet i artikel 9.1 överensstämmer med de krav som framgår av artikel 9.2 och avseende hälso- och sjukvård och social omsorg även artikel 9.3. Skälen för regeringens bedömning Dataskyddsförordningen innebär att fler kategorier av uppgifter än enligt dataskyddsdirektivet blir att betrakta som känsliga personuppgifter, som det enligt huvudregeln är förbjudet att behandla. Genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning har tillkommit som nya kategorier i dataskyddsförordningen. Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet ”sexualliv” och införandet av det begreppet i förordningen innebär således inte någon egentlig utvidg- ning från svenskt perspektiv (se t.ex. propositionen Behandling av personuppgifter inom , prop. 2000/01:126 s. 31 och propositionen Ett starkare skydd mot diskriminering, prop. 2007/08:95 s. 125–129). Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. Flera av de uppgifter som ryms inom de nya kategorierna är att betrakta som känsliga personuppgifter, eftersom de ryms inom någon av de nuvarande kategorierna. Kategorierna av känsliga person- uppgifter kommer därmed i viss mån att överlappa varandra. Tillägget av nya kategorier medför dock en begränsning av möjligheterna att be- handla personuppgifter i jämförelse med vad som gäller enligt data- skyddsdirektivet för sådana uppgifter som inte redan omfattas av någon av de befintliga kategorierna av känsliga personuppgifter. De personupp- gifter som ryms inom de nya kategorierna kommer, liksom övriga kate- gorier av känsliga personuppgifter, endast att få behandlas under de för- utsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförord- ningen. Bestämmelser som tillåter behandling av känsliga personuppgifter Är enligt registerförfattningen behandling av samtliga kategorier av känsliga personuppgifter tillåten, enligt nuvarande definition, bör enligt mening behandling också av de nya kate- gorierna tillåtas utan vidare utredning av behovet. Har det vid införandet av registerförfattningen gjorts bedömningen att alla slags personuppgifter får behandlas om det är nödvändigt med hänsyn till ändamålen, bör nämligen den bedömningen godtas. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse med artikel 9. Det är inte förenligt med dataskyddsförordningen att förut- sätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. I betänkandet är utgångspunkten att alla verksamheter som har tillåtits att be- handla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. Regeringen anser att det finns anledning att i detta sammanhang beakta att de olika registerförfattningarna inom verksam- hetsområde skiljer sig åt i sin utformning. preciseras det vilka uppgifter som får behandlas, inklusive känsliga personuppgifter. Detta gäller lagen (1996:1156) om receptregister, lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (särskilt vad gäller ), lagen (2005:258) om läkemedelsförteckning, lagen (2006:496) om blodsäkerhet, lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler och lagen (2012:453) om register över nationella vaccinationsprogram. Detsamma kan sägas om lagen (1998:543) om hälsodataregister för vilken preciseringen av vilka personuppgifter som får behandlas i de olika hälsodataregistren följer av förordningar meddelade med stöd av lagen. Vidare kan det preciseras i lag vilken kategori av känsliga person- uppgifter som får behandlas, se lagen (2006:1570) om skydd mot internationella hot mot människors hälsa. I lagen (2006:351) om genetisk integritet finns vad som får ses som en precisering av vissa uppgifter som ska dokumenteras i journal, dvs. tillåtligheten av behandlingen bedöms följa av patientdatalagen. I alkohollagen (2010:111) och lagen (2012:526) om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga organ regleras behandling av personuppgifter som enligt regeringens bedömning inte inkluderar känsliga personuppgifter. Regeringen anser inte att det i dessa fall krävs några ytterligare analyser om vad utvidgningen av nya kategorier skulle kunna medföra. Vidare finns det lagar som tillåter behandling av alla slags personupp- gifter. Sådana bestämmelser finns när det gäller (lagen [2001:454] om behandling av personuppgifter inom ), hälso- och sjukvården (patientdatalagen [2008:355]), socialförsäkringens administration (114 kap. socialförsäkringsbalken), öppenvårdsapotekens detaljhandel med läkemedel (apoteksdatalagen [2009:367]) och ärenden om licens för läkemedel (lagen [2016:526] om behandling av person- uppgifter i ärenden om licens för läkemedel). Lagarna innehåller inte uppräkningar av olika kategorier av känsliga personuppgifter utan anger att personuppgifter får behandlas under vissa förutsättningar, eller vad gäller socialförsäkringsbalken och lagen om behandling av personupp- gifter inom att hela gruppen känsliga personuppgifter får behandlas under vissa förutsättningar. I avsnitt 6.6.3 redogör regeringen för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter för viktiga allmänna intressen i artikel i data- skyddsförordningen och i avsnitt 6.6.4 redogör regeringen för vad som omfattas av undantaget från förbudet att behandla känsliga person- uppgifter vid hälso- och sjukvård och social omsorg i artikel 9.2 h i data- skyddsförordningen. Regeringen bedömer att behandlingen av känsliga personuppgifter enligt socialförsäkringsbalken och de fyra ovannämnda lagarna ryms inom artikel respektive 9.2 h. Dataskyddsförord- ningen kräver inte uttryckligen preciseringar i nationell rätt av vilka kategorier av känsliga personuppgifter som får behandlas i en viss verk- samhet. Det kan konstateras att de aktuella lagarna innehåller skydds- åtgärder. Främst kan nämnas preciserade ändamålsbestämmelser men också t.ex. bestämmelser om tilldelning av behörighet och sökbegräns- ningar. Det finns också mer allmänna skyddsåtgärder i svensk rätt som t.ex. bestämmelser om sekretess och tystnadsplikt för de aktuella områdena. Tystnadsplikt är ett särskilt krav enligt artikel 9.2 h och artikel 9.3 i dataskyddsförordningen. Även kravet på tystnadsplikt behandlas i 2017/18:171 avsnitt 6.6.4 där regeringen bl.a. konstaterar att det finns bestämmelser om sekretess och tystnadsplikt för personer som är verksamma inom hälso- och sjukvård och författningsreglerad social omsorg i t.ex. 25 kap. OSL och 6 kap. patientsäkerhetslagen respektive 26 kap. OSL och 15 kap. socialtjänstlagen. Regeringen anser därför att de bestämmelser som tillåter behandling av alla kategorier av känsliga personuppgifter i socialförsäkringsbalken, lagen om behandling av personuppgifter inom , patientdata- lagen, apoteksdatalagen och lagen om behandling av personuppgifter i ärenden om licens för läkemedel, även kan avse nya kategorier av känsliga personuppgifter enligt den utvidgade definitionen i dataskydds- förordningen. Det följer direkt av dataskyddsförordningen att de nya kategorierna av känsliga personuppgifter endast får behandlas under de förutsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförordningen. Regeringen anser att de nya utvidgade kategorierna av känsliga person- uppgifter bör få behandlas om de är nödvändiga för att kunna fullgöra den verksamhet som bedrivs och inom de ändamål som finns för att be- handla personuppgifter. Detta gäller under förutsättning att behandlingen av uppgifterna uppfyller de grundläggande principerna i artikel 5 i data- skyddsförordningen. Bestämmelser om skyddsåtgärder för känsliga personuppgifter De skyddsåtgärder som förekommer i registerförfattningarna är ibland begränsade till att avse behandling av känsliga personuppgifter eller vissa av de nuvarande kategorierna av känsliga personuppgifter, t.ex. i fråga om sökbegränsningar. Enligt regeringens bedömning bör utgångspunkten vara att även de nya kategorierna av känsliga personuppgifter ska omfattas av dessa skyddsåtgärder. Bara om det är nödvändigt för en ändamålsenlig behandling av person- uppgifter i den aktuella verksamheten att befintliga skyddsåtgärder inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. En bedömning av om det är nödvändigt behöver göras i för- hållande till den verksamhet som är aktuell. Hänvisa till definitionen i dataskyddsförordningen För att definiera vilka kategorier av personuppgifter som är att anse som känsliga personuppgifter, bör en hänvisning göras till artikel 9.1 i data- skyddsförordningen. En sådan hänvisning bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom termino- login som används i den nationella reglering som kompletterar data- skyddsförordningen lämpligen bör följa den begreppsutveckling som sker inom unionen, även vid en eventuell ändring av uttryckliga definitioner i dataskyddsförordningen. Regeringens bedömning: Bestämmelser i registerförfattningar som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör behållas. Myndigheters möjligheter att behandla sådana uppgifter påverkas inte av EU:s dataskyddsförordning. Bestämmelser i registerförfattningar som begränsar möjligheten att behandla uppgifter om lagöverträdelser enligt nuvarande definition kan och bör behållas. Omfattar bestämmelsen enskildas behandling, måste det dock först konstateras att behandlingen grundar sig på artikel 6.1 c eller e i dataskyddsförordningen. I annat fall är det endast tillåtet att begränsa behandling av sådana uppgifter om lagöverträdel- ser som omfattas av den nya definitionen i artikel 10 i dataskydds- förordningen. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen ser positivt på förslaget att sådana begränsningar som funnits för behandling av uppgifter om lagöverträdelser ska be- hållas, men aktuella begränsningar måste ha stöd i dataskyddsförord- ningen. Detta gäller även för begränsningar av myndigheters behandling. Skälen för regeringens bedömning Allmänt om dataskyddsförordningen och den tidigare regleringen i dataskyddsdirektivet Enligt artikel 10 i dataskyddsförordningen får behandling av personupp- gifter som rör fällande domar i brottmål och överträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Bestämmelsen i dataskyddsförordningen skiljer sig något från artikel 8.5 i dataskyddsdirektivet. Enligt dataskyddsdirektivet får behandling av uppgifter om lagöverträdelser som innefattar brott, brottmålsdomar eller säkerhetsåtgärder utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella be- stämmelser som innehåller lämpliga och specifika skyddsåtgärder. Data- skyddsdirektivets reglering omfattar således även uppgifter om friande brottmålsdomar. I fråga om register över fällande domar i brottmål är regleringen densamma. Därutöver anges i dataskyddsdirektivet att medlemsstaterna får föreskriva att uppgifter som rör administrativa sank- tioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet. I dataskyddsförordningen saknas denna skrivning. 2017/18:171 Bestämmelsen i dataskyddsdirektivet har kommit till uttryck i 21 § personuppgiftslagen. Där anges att det är förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. Ändringen från brottmålsdomar till fällande domar i brottmål innebär en begränsning av bestämmelsens tillämpningsområde till att omfatta en- bart fällande brottmålsdomar. Det utökar möjligheterna för andra än myndigheter att behandla uppgifter om brottmålsdomar, men påverkar inte myndigheternas möjligheter. Vad gäller ändringen från lagöverträdelser till överträdelser gör bedömningen att någon förändring i sak inte har varit avsedd genom det justerade ordvalet (SOU 2017:39 s. 193). Social- dataskyddsutredningen gör samma bedömning. Dataskyddsförordningens bestämmelse medför således inte någon förändring av möjligheterna att behandla personuppgifter om lagöverträdelser i förhållande till vad som gällt enligt dataskyddsdirektivet. Regeringen föreslår i propositionen Ny dataskyddslag, (prop. 2017/18:105 avsnitt 11) att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter. Även andra än myndigheter får behandla sådana personuppgifter, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrif- ter om arkiv (3 kap. 8 §). Regeringen eller den myndighet som regeringen bestämmer föreslås får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning. Den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor (3 kap. 9 § dataskyddslagen). Den del av artikel 10 som rör behandling av uppgifter under kontroll av myndighet är direkt tillämplig. Det är emellertid inte tydligt vad be- greppet under kontroll av myndighet innebär för svenskt vidkommande. Begreppet skulle kunna tolkas som att behandlingen ska ske av ett organ som anförtrotts uppgifter som ankommer på den offentliga sektorn. Regeringen bedömer att bestämmelsen i artikel 10 i vart fall bör innebära att det är tillåtet att behandla uppgifter som rör lagöverträdelser om den personuppgiftsansvarige är en myndighet. Det är angeläget att tydliggöra detta, eftersom det innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla sådana uppgifter. Förordningens skäl 8 ger uttryck för att medlemsstaterna får införliva delar av förordningen i nationell rätt, om det krävs för att göra de nationella bestämmelserna begripliga för de personer de tillämpas på. Det finns således ett visst utrymme att förtydliga innebörden av artikel 10 i svensk rätt. Som föreslår bör det därför ut- tryckligen framgå av dataskyddslagen att personuppgifter som rör lag- överträdelser får behandlas av myndigheter (prop. 2017/18:105 s. 99). Enligt artikel 10 i dataskyddsförordningen får behandling ske utan kontroll av myndighet då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder fast- ställs. Regleringen i artikel 10 syftar således till att säkerställa att det i unionsrätten eller den nationella rätten finns lämpliga skyddsåtgärder för de registrerades rättigheter och friheter, när behandling utförs av andra än myndigheter. Enligt regeringens mening är det inte lämpligt att i dataskyddslagen ange vilka skyddsåtgärder som bör finnas vid behandling av uppgifter om lagöverträdelser. I stället bör detta övervägas i särskild ordning där behovet kan analyseras särskilt från fall till fall. Regeringen föreslår därför i likhet med att regeringen eller den myndighet regeringen bestämmer ska ges befogen- het att meddela föreskrifter som tillåter andra än myndigheter att be- handla personuppgifter som rör lagöverträdelser. Regeringen har för avsikt att, som utredningen föreslår, vidaredelegera denna normgivnings- kompetens till tillsynsmyndigheten. Eftersom dataskyddslagen föreslås vara subsidiär i förhållande till andra lagar och förordningar, kommer det även i fortsättningen att finnas utrymme för särreglering som tillåter behandling av personuppgifter som rör lagöverträdelser. Det bör dock noteras att det inte krävs en uttrycklig undantagsreglering för att behand- ling av uppgifter som rör lagöverträdelser ska vara tillåten (prop. 2017/18:105 s. 99 f.). Personuppgifter om lagöverträdelser får således behandlas av en myndig- het under förutsättning att det finns lagligt stöd för behandlingen enligt artikel 6.1 i dataskyddsförordningen. Det krävs inga särskilda ställnings- taganden för myndigheters behandling av personuppgifter som avser lag- överträdelser utöver de ställningstaganden som allmänt ska göras i fråga om laglig grund för behandling av personuppgifter vad gäller myndig- heter. Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder utan kontroll av en myndighet kan enligt artikel 10 i dataskyddsförordningen tillåtas i den nationella rätten om lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett krav på lämpliga och specifika skyddsåtgärder finns också i artikel 8.5 i dataskyddsdirektivet. Kraven på skyddsåtgärder får enligt regeringens bedömning anses innebära detsamma i dataskyddsförordningen och data- skyddsdirektivet. För att andra personuppgiftsansvariga än myndigheter fortsättningsvis ska få behandla sådana uppgifter som anges i artikel 10 gäller således samma förutsättningar som . Någon ny analys av tillämpliga skyddsåtgärder krävs därför inte. Bestämmelser som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör därför behållas. Datainspektionen ser positivt på förslaget att sådana begränsningar som funnits för behandling av uppgifter om lagöverträdelser ska be- hållas, men att aktuella begränsningar måste ha stöd i dataskyddsförord- ningen. Detta gäller även för begränsningar av myndigheters behandling. Registerförfattningar innehåller inte så sällan, såsom lämpliga och specifika skyddsåtgärder i de fall enskildas behandling omfattas, be- stämmelser som begränsar möjligheterna att behandla sådana uppgifter 2017/18:171 om lagöverträdelser som avses i 21 § personuppgiftslagen. Det kan t.ex. röra sig om sökbegränsningar. Dessa begränsningar omfattar även upp- gifter om friande domar i brottmål och administrativa frihetsberövanden. Trots att det för myndigheters behandling inte finns något motsvarande krav på skyddsåtgärder omfattas även dessa av begränsningarna i de fall registerförfattningen tillämpas på såväl myndigheters som enskildas behandling. För sådana behandlingar anser regeringen att det är fråga om specifika bestämmelser som det enligt artikel 6.2 och 6.3 i dataskydds- förordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en uppgift av allmänt intresse eller som led i den personuppgiftsansvariges myndig- hetsutövning (artikel 6.1 e). Regeringen instämmer i bedömning att det är svårt att se varför myndigheter och enskilda skulle få behandla sådana kategorier av personuppgifter som de inte har bedömts ha behov av att behandla bara därför att dataskyddsförordningen gör det möjligt.