prop · H503171 · 2018-03-19 00:00:00 — Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning Regeringens proposition 2017/18:171 verksamhetsområde - en anpassning till EU:s Regeringen överlämnar denna proposition till . Propositionen innehåller förslag som syftar till att anpassa lagar inom verksamhetsområde till EU:s nya dataskydds- förordning. Förslagen innebär att lagarna om personuppgiftsbehandling i de berörda verksamheterna ska utgöra kompletteringar till dataskydds- förordningen och den nya generella dataskyddslagen. Hänvisningar till personuppgiftslagen (1998:204) tas bort och ersätts i vissa fall av hän- visningar till dataskyddsförordningen och dataskyddslagen. Vidare före- slås t.ex. att bestämmelser om rättelse och skadestånd ska tas bort efter- som sådant i stället kommer att regleras av dataskyddsförordningen och dataskyddslagen. Lagändringarna föreslås träda i kraft . 2017/18:171 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i socialförsäkringsbalken ....... Förslag till lag om ändring i lagen (1996:1156) om Förslag till lag om ändring i lagen (1998:543) om Förslag till lag om ändring i lagen (2001:454) om behandling av personuppgifter inom Förslag till lag om ändring i lagen (2002:297) om biobanker i hälso - och sjukvården m.m Förslag till lag om ändring i lagen (2005:258) om Förslag till lag om ändring i lagen (2006:351) om Förslag till lag om ändring i lagen (2006:496) om Förslag till lag om ändring i lagen (2006:1570) om skydd mot internationella hot mot människors hälsa Förslag till lag om ändring i lagen (2008:286) om kvalitets - och säkerhetsnormer vid hantering av mänskliga vävnader och celler Förslag till lag om ändring i patientdatalagen Förslag till lag om ändring i apoteksdatalagen Förslag till lag om ändring i lagen (2010:111) om Förslag till lag om ändring i alkohollagen Förslag till lag om ändring i lagen (2012:263) om kvalitets - och säkerhetsnormer vid hantering av Förslag till lag om ändring i lagen (2012:453) om register över nationella vaccinationsprogram Förslag till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens Ärendet ............................................................och dess beredning Något om ....................................................................gällande rätt Utgångspunkter för lagstiftningsärendet ........................................ 5.2Behandling av personuppgifter som är laglig bör kunna fortsätta men författningsstöd för annan behandling bör inte införas ......................................... 5.3Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen bör behållas om det blir Myndigheter och verksamheter som inte har 6.1Nationella bestämmelser anpassar tillämpningen av bestämmelserna i dataskyddsförordningen...................... 6.3Registerförfattningarnas förhållande till annan Principer för personuppgiftsbehandling .......................... Rättslig grund för behandling av personuppgifter ........... Laglig behandling av personuppgifter vid rättslig förpliktelse, allmänt intresse och Samtycke som rättslig grund .......................... 6.6.1Förbud mot att behandla känsliga personuppgifter och möjligheterna till 6.6.2Undantag vid fullgörande av skyldigheter och rättigheter inom arbetsrätten och på områdena social trygghet och socialt Undantag för viktiga allmänna intressen ........ 6.6.4Undantag för hälso- och sjukvård samt Undantag för folkhälsoområdet .................... 6.6.6Fler uppgifter blir känsliga Uppgifter om lagöverträdelser....................................... Den registrerades rättigheter.......................................... Utökade rättigheter för registrerade.............. 6.8.2Begränsningar av den registrerades Den generella regleringen av åtgärder som begränsar behandlingen av Bestämmelser om skyddsåtgärder i Gallring och bevarande .................................................. Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig ............................ 7 Särskilda överväganden och förslag som rör lagar inom Patientdatalagen (2008:355)........................................... Samtycke som grund för behandlingen ......... Ändrad hänvisning i fråga om Personuppgifter som får behandlas i fråga om uppgifter om lagöverträdelser.................. Nationella och regionala kvalitetsregister ..... Rättigheter för den enskilde........................... Bestämmelsen om överklagande upphävs ..... Apoteksdatalagen (2009:367)......................................... Förhållandet till annan reglering.................... Den enskildes inställning till behandling Ändrad hänvisning i fråga om Bestämmelsen om rättelse och skadestånd Information som ska lämnas självmant ......... Lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel.................................. Förhållandet till annan reglering.................... Ändrad hänvisning i fråga om Bestämmelsen om rättelse och skadestånd Information som ska lämnas självmant ......... Lagen (2001:454) om behandling av personuppgifter Förhållandet till annan reglering.................... 7.4.4Bestämmelsen om rättelse och skadestånd Bestämmelsen om överklagande upphävs .... Rätten att invända mot behandling av Förhållandet till annan reglering................... placeras i en egen paragraf ........................... Ändrad hänvisning i fråga om Känsliga personuppgifter och uppgifter Överföring av personuppgifter till Bestämmelsen om gallring får ändrad Information som ska lämnas på begäran....... 7.5.11Bestämmelsen om rättelse och skadestånd Bestämmelsen om överklagande upphävs .... 7.6Lagen (2010:111) om införande av Lagen (1996:1156) om receptregister............................ Förhållandet till annan reglering................... Den enskildes inställning till behandling Ändrad hänvisning i fråga om Information som ska lämnas självmant ........ 7.7.6Bestämmelsen om rättelse och skadestånd Lagen (2005:258) om läkemedelsförteckning ............... Förhållandet till annan reglering................... Bestämmelsen om återkallelse av Information som ska lämnas självmant ........ Information som ska lämnas på begäran....... Bestämmelsen om rättelse och skadestånd Lagen (1998:543) om hälsodataregister ........................ Förhållandet till annan reglering................... 7.9.2Bestämmelsen om rättelse och skadestånd 7.10Lagen (2012:453) om register över nationella Förhållandet till annan reglering.................... 7.10.2Ändrad hänvisning i fråga om 7.10.3Bestämmelsen om rättelse och skadestånd Information som ska lämnas självmant ......... 7.11Lagen (2002:297) om biobanker i hälso- och Hänvisning till personuppgiftslagen i bestämmelsen om utlämnande av Bestämmelsen om rättelse och skadestånd Hänvisning till personuppgiftslagen i bestämmelsen om tillsyn ändras.................... Bestämmelsen om överklagande upphävs ..... Lagen (2006:351) om genetisk integritet m.m. .............. Lagen (2006:496) om blodsäkerhet................................ Bestämmelsen om rättelse och skadestånd 7.14Lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler............. 7.14.2Bestämmelsen om rättelse och skadestånd 7.15Lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ................................... 7.15.2Bestämmelsen om rättelse och skadestånd 7.16Lagen (2006:1570) om skydd mot internationella hot mot människors hälsa ..................................................... Hänvisningar till personuppgiftslagen i en Alkohollagen (2010:1622) ............................................. Bestämmelsen om rättelse och skadestånd 8 Ikraftträdande- och övergångsbestämmelser................................. 10.1Förslaget till lag om ändring i 10.2Förslaget till lag om ändring i lagen (1996:1156) om 10.3Förslaget till lag om ändring i lagen (1998:543) om 10.4Förslaget till lag om ändring i lagen (2001:454) om behandling av personuppgifter inom ....... 10.5Förslaget till lag om ändring i lagen (2002:297) om biobanker i hälso- och sjukvården m.m......................... 10.6Förslaget till lag om ändring i lagen (2005:258) om 10.7Förslaget till lag om ändring i lagen (2006:351) om genetisk integritet m.m. ................................................. 10.8Förslaget till lag om ändring i lagen (2006:496) om 10.9Förslaget till lag om ändring i lagen (2006:1570) om skydd mot internationella hot mot människors hälsa..... 244 10.10Förslaget till lag om ändring i lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler ...................................... 10.11Förslaget till lag om ändring i patientdatalagen (2008:355) ..................................................................... 10.12Förslaget till lag om ändring i apoteksdatalagen (2009:367) ..................................................................... 10.13Förslaget till lag om ändring i lagen (2010:111) om införande av socialförsäkringsbalken ............................ 10.14Förslaget till lag om ändring i alkohollagen (2010:1622) ................................................................... 10.15Förslaget till lag om ändring i lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av 10.16Förslaget till lag om ändring i lagen (2012:453) om register över nationella vaccinationsprogram................ 10.17Förslaget till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens FÖRORDNING (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) ........ 2017/18:171 Bilaga 2 Sammanfattning av betänkandet Dataskydd inom anpassning till EU:s dataskyddsförordning (SOU Lagförslag till betänkandet Dataskydd inom anpassning till EU:s dataskyddsförordning (SOU 2017:66) ............................................................... Förteckning över remissinstanser av betänkandet SOU 2017:66 Dataskydd inom verksamhetsområde – en anpassning till EU:s Utdrag ur protokoll vid regeringssammanträde ....... Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i socialförsäkringsbalken, 2.lag om ändring i lagen (1996:1156) om receptregister, 3.lag om ändring i lagen (1998:543) om hälsodataregister, 4.lag om ändring i lagen (2001:454) om behandling av person- uppgifter inom , 5.lag om ändring i lagen (2002:297) om biobanker i hälso- och 6.lag om ändring i lagen (2005:258) om läkemedelsförteckning, 7.lag om ändring i lagen (2006:351) om genetisk integritet m.m., 8.lag om ändring i lagen (2006:496) om blodsäkerhet, 9.lag om ändring i lagen (2006:1570) om skydd mot internationella hot mot människors hälsa, 10.lag om ändring i lagen (2008:286) om kvalitets- och säkerhets- normer vid hantering av mänskliga vävnader och celler, 11.lag om ändring i patientdatalagen (2008:355), 12.lag om ändring i apoteksdatalagen (2009:367), 13.lag om ändring i lagen (2010:111) om införande av socialförsäk- 14.lag om ändring i alkohollagen (2010:1622), 15.lag om ändring i lagen (2012:263) om kvalitets- och säkerhets- normer vid hantering av mänskliga organ, 16.lag om ändring i lagen (2012:453) om register över nationella vaccinationsprogram, 17.lag om ändring i lagen (2016:526) om behandling av person- uppgifter i ärenden om licens för läkemedel. 2017/18:171 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i socialförsäkringsbalken Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 33 och 36 §§ ska upphöra att gälla, dels att rubrikerna närmast före 114 kap. 33 och 36 §§ ska utgå, dels att 114 kap. 1, 2, 6, 10–13, 15, 16, 27, 29–31 §§ och rubrikerna närmast före 114 kap. 6 och 29 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 114 kap. 6 a §, och närmast före 114 kap. 6 a § en ny rubrik av följande lydelse. I detta kapitel finns allmänna bestämmelser i 2–5 §§. Vidare finns bestämmelser om – förhållandet till annan regle- ring i 6 §, – personuppgiftslagen och per- – personuppgiftsansvar i 6 a §, sonuppgiftsansvar i 6 §, –ändamål för behandling av personuppgifter i 7–10 §§, –behandling av känsliga personuppgifter m.m. i 11–13 §§, –behandling av personuppgifter i socialförsäkringsdatabasen i 14– 16 §§, –tilldelning av behörighet i 17 §, –direktåtkomst i 18–23 §§, –utlämnande på medium för automatisk behandling i 24–26 a §§, –sökbegrepp i 27 och 28 §§, till tredje land i 29 till tredjeland i 29 – information i 30 §, – gallring i 31 §, – avgifter i 32 §, – rättelse och skadestånd i 33 §, – kontrollverksamhet i 34 §, – kontrollverksamhet i 34 §, och – tystnadsplikt i 35 §, och – tystnadsplikt i 35 §. – överklagande i 36 §. 1 Senaste lydelse 2012:935. Detta kapitel tillämpas vid be- Detta kapitel tillämpas vid be- handling av personuppgifter i verksamhet som gäller förmåner enligt denna balk, samt andra för- enligt denna balk, samt andra för- måner och ersättningar som enligt måner och ersättningar som enligt lag eller förordning eller särskilt lag eller förordning eller särskilt beslut av regeringen handläggs av beslut av regeringen handläggs av Kapitlet gäller endast om behandlingen är helt eller delvis automati- serad eller om uppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 7–16, 27, 28 och 31 §§ gäller i tillämpliga delar även uppgifter om avlidna personer. Förhållandet till annan reglering Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom socialförsäkringens administration, om inte annat följer av detta kapitel eller före- skrifter som meddelas med stöd av kapitlet eller av personuppgifts- lagen. Med socialförsäkringens administration avses i detta kapitel och Pensions- myndigheten. En myndighet inom socialförsäk- ringens administration är person- uppgiftsansvarig för den behand- ling av personuppgifter som den utför. förordning (EU) 2016/679 av den om skydd för fysiska behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 95/46/EG Vid behandling av personupp- gifter enligt detta kapitel gäller lagen (2018:000) med komp- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet. En myndighet inom socialförsäk- ringens administration är person- uppgiftsansvarig för den behand- ling av personuppgifter som den utför. I fråga om behandling av per- sonuppgifter för annat ändamål än vad som anges i 7–9 §§ gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Personuppgifter som behandlas enligt 7–9 §§ får behandlas även för andra ändamål, under förut- sättning att uppgifterna inte be- handlas på ett sätt som är ofören- ligt med det ändamål för vilket uppgifterna samlades in. Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) (känsliga personupp- gifter) får behandlas om uppgift- erna lämnats till en myndighet inom socialförsäkringens admini- stration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. Känsliga personuppgifter får vidare behandlas för något av de ändamål som anges i 7 § första Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsför- ordning (känsliga personuppgifter) får behandlas om uppgifterna läm- nats till en myndighet inom social- försäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Käns- liga personuppgifter får vidare be- handlas för något av de ändamål som anges i 7 § första stycket 1 Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkring- ens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lagöver- trädelser får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet.För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får uppgifter om lagöverträ- delser behandlas som enligt 15 § får behandlas i socialförsäkrings- databasen. stycket 1 samt 8 och 9 §§ om det samt 8 och 9 §§ om det är nöd- är nödvändigt med hänsyn till vändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ända- mål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har behand- lats för något av de ändamål som anges i 7 § första stycket 2–4. Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) får behand- las om uppgifterna lämnats till en myndighet inom socialförsäkring- ens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lagöver- trädelser m.m. som avses i 21 § personuppgiftslagen får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lag- överträdelser m.m. som avses i 21 § personuppgiftslagen behand- las som enligt 15 § får behandlas i socialförsäkringsdatabasen. Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4. I 15 § finns särskilda bestäm- melser om behandling i socialför- säkringsdatabasen av känsliga per- sonuppgifter och uppgifter om lag- överträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). I 15 § finns särskilda bestäm- melser om behandling i socialför- säkringsdatabasen av känsliga per- sonuppgifter och uppgifter som avses i 12 § första stycket. För de ändamål som anges i 7–10 §§ får, med beaktande av de be- gränsningar som följer av 7 och 14 §§, identifierings- och adressuppgifter behandlas i socialförsäkringsdatabasen. uppgifter som avses i 12 § första m.m. som avses i 21 § personupp- stycket får, utöver vad som anges i (1998:204) får 16 §, behandlas i socialförsäk- vad som anges i 16 § behandlas i ringsdatabasen bara om det särskilt anges i lag eller förordning. om det särskilt anges i lag eller sådan behandling gäller de be- gränsningar som följer av 11 och gäller de begränsningar som följer Regeringen eller den myn- av 11 och 12 §§. dighet som regeringen bestämmer den myndighet som regeringen be- meddelar föreskrifter om ytterlig- stämmer meddelar föreskrifter om are begränsningar för vilka upp- ytterligare begränsningar för vilka gifter som får behandlas i social- uppgifter som får behandlas i Uppgifter i en handling som kommit in i ett ärende får behand- las i socialförsäkringsdatabasen även om de utgör känsliga person- uppgifter eller uppgifter om lag- överträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ären- de får behandlas i socialförsäk- ringsdatabasen, om uppgifterna är nödvändiga för ärendets handlägg- ning. Uppgifter i en handling som kommit in i ett ärende får behand- las i socialförsäkringsdatabasen även om de utgör känsliga person- uppgifter eller uppgifter som avses i 12 § första stycket. Sådana upp- gifter i en handling som upprättats i ett ärende får behandlas i social- försäkringsdatabasen, om uppgift- erna är nödvändiga för ärendets handläggning. Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen (1998:204) får inte användas som sökbegrepp vid sökning i socialförsäkringsdata- basen Vid sökning som omfattar innehållet i fler än en handling i socialför- säkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt för vilka sökbegrepp som får användas. Personuppgifter får föras över till tredje land på grund av åtagan- till tredjeland på grund av åtagan- den i avtal om social trygghet som den i avtal om social trygghet som ingått med andra stater får ingått med andra stater. ske utan hinder av 33 § person- uppgiftslagen (1998:204). Personuppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende behöver inte tas med i information enligt 26 § personuppgiftslagen (1998:204) om den registrerade tagit del av handlingens innehåll. Av informa- tionen ska det dock framgå vilka sådana handlingar som behandlas. Om den registrerade begär infor- mation om uppgifter i en sådan handling och anger vilken hand- ling som avses, ska dock informa- tionen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess. I sistnämnda fall ska begränsningen i 26 § personupp- giftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Personuppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende behöver inte tas med i sådan information som avses i artikel 15 i EU:s data- skyddsförordning om den regi- strerade tagit del av handlingens innehåll. Av informationen ska det dock framgå vilka sådana hand- lingar som behandlas. Om den registrerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekre- tess. Personuppgifter som behandlas automatiserat ska gallras när de är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndighet som regeringen bestämmer med- delar föreskrifter om att uppgifter får bevaras för historiska, statisti- ska eller vetenskapliga ändamål. Personuppgifter som behandlas automatiserat ska gallras när de är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndighet som regeringen bestämmer med- delar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Denna lag träder i kraft . 2017/18:171 2.2 Förslag till lag om ändring i lagen (1996:1156) Härigenom föreskrivs i fråga om lagen (1996:1156) om receptregister1 dels att 24 § ska upphöra att gälla, dels att rubriken närmast före 24 § ska utgå, dels att 3, 7 och 20 §§ och rubrikerna närmast före 3 och 7 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 8 a §, och närmast före 8 a § en ny rubrik av följande lydelse. Förhållandet till annan reglering Personuppgiftslagen (1998:204) gäller för behandling av person- uppgifter i receptregistret, om inte annat följer av denna lag eller föreskrifter som meddelas i anslut- ning till denna lag.