prop · H503171 · 2018-03-19 00:00:00 — I artikel 12 b i dataskyddsdirektivet anges endast att med- lemsstaterna ska säkerställa att varje registrerad har rätt att i före- kommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga. Enligt artikel 12 c i dataskydds- direktivet ska varje registrerad vidare ha rätt att få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b, om inte detta visar sig vara omöjligt eller innebär en oproportionerligt stor an- strängning. Dataskyddsdirektivets bestämmelser har kommit till uttryck i 28 § personuppgiftslagen som anger att personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen, på begäran av den registrerade ska rättas, blockeras eller utplånas. Registerförfattningar innehåller sällan några särskilt utformade bestäm- melser om rättelse utan hänvisar i stället till personuppgiftslagens bestämmelser. När registerförfattningarna hänvisar till personuppgifts- lagens bestämmelser om rättelse avses även åtgärderna blockering och utplåning. Skälet till att det i registerförfattningar ofta finns en hänvis- ning till personuppgiftslagens bestämmelser om rättelse är att bestäm- melserna annars inte skulle vara tillämpliga, eftersom 28 § personupp- giftslagen enligt sin ordalydelse endast gäller personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av personuppgiftslagen. För att bestämmelserna ska vara tillämpliga även när personuppgifter behandlats i strid med registerförfattningar, krävs därför att de anges gälla på motsvarande sätt vid behandling av personuppgifter enligt den aktuella författningen. Bestämmelser i registerförfattningar med hänvisningar till personupp- giftslagens bestämmelser om rättelse kan inte behållas när person- uppgiftslagen upphävs. Eftersom dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling är direkt tillämpliga och inte specifikt begränsade till behandling i strid med dataskyddsför- ordningen, behövs det ingen hänvisning till dessa bestämmelser. Bestäm- melser i registerförfattningar med hänvisningar till personuppgiftslagens bestämmelser om rättelse bör således upphävas och inte ersättas av hänvisningar till dataskyddsförordningen. Rätten att göra invändningar Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (behandling är nödvändig för att utföra uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges respektive myndighetsutövning) eller f (intresseavvägning), inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller Prop. 2017/18:171 försvar av rättsliga anspråk. En betydande skillnad mellan dataskyddsförordningen och dataskydds- direktivet är möjligheten att i nationell rätt reglera undantag från rätten att motsätta sig behandlingen. Enligt dataskyddsdirektivet gäller rätten att motsätta sig behandling utom när den nationella lagstiftningen före- skriver något annat. Några särskilda villkor för att införa sådana begräns- ningar i nationell rätt ställs inte upp. Medlemsstaterna har, såsom vi tolkat dataskyddsdirektivet i , därför enkelt kunnat reglera bort rättigheten i nationell rätt. Enligt artikel 23.1 dataskyddsförordningen ska det vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personupp- giftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstift- ningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och ut- gör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett antal olika mål som anges i punkterna a–j. Medlemsstaterna kan således inte längre genom generella bestämmel- ser begränsa rätten att invända mot behandling. Eventuella nationella be- gränsningar måste i stället utgå från avvägningar i fråga om nödvändig- het och proportionalitet samt grunda sig på något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering I artikel 22 i dataskyddsförordningen finns det bestämmelser om auto- matiserat beslutsfattande, inbegripet profilering. Enligt artikel 22.1 i dataskyddsförordningen ska den registrerade ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på lik- nande sätt i betydande grad påverkar honom eller henne. Profilering definieras i artikel 4.4 i dataskyddsförordningen som ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, person- liga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflytt- ningar”. Enligt skäl 71 i dataskyddsförordningen kan det röra sig om t.ex. ”ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan behandling omfattar ’profilering’ i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situa- tion, hälsa, personliga preferenser eller intressen, pålitlighet eller beteen- de, vistelseort eller förflyttningar, i den mån dessa har rättsverkan 2017/18:171 rörande honom eller henne eller på liknande sätt i betydande grad på- verkar honom eller henne”. I dataskyddsdirektivet finns motsvarande bestämmelser om automati- serade beslut, där kallade databehandlade beslut. Av artikel 15.1 i data- skyddsdirektivet framgår att medlemsstaterna ska ge varje person rätten att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk be- handling av uppgifter som är avsedda att bedöma vissa personliga egen- skaper hos honom, exempelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. Det framgår inte tydligt om det finns en skillnad i tillämpningsområdet och artikel 15.1 i Artikel 15.1 i dataskyddsdirektivet omfattar enbart beslut som grundas på profilering medan formuleringen ”beslut som enbart grundas på automatiserad behandling, inbegripet profilering,” i artikel 22.1 i dataskyddsförordningen kan tolkas som att artikeln omfattar även andra beslut än sådana som grundas enbart på profilering. Även skäl 71 i dataskyddsförordningen är otydligt i fråga om vad som I den uppräkning av rättigheter som kan begränsas enligt artikel 23 i dataskyddsförordningen som finns i skäl 73 nämns däremot endast detta på att det bara är beslut grundade enbart på profilering som avses i artikel 22.1 i dataskyddsförordningen. Även kommissionens förslag till dataskyddsförordning (artikel 20) gällde endast åtgärder på grundval av profilering och frågans hantering därefter antyder inte att någon förändring i förhållande till dataskyddsdirektivet är avsedd. skyddsutredningen utgår därför från att artikel 22.1 i dataskyddsförord- ningen omfattar bara sådana beslut som grundas enbart på automatiserad behandling som inkluderar profilering. Enligt artikel 22.2 ska artikel 22.1 inte tillämpas om beslutet: a) är nöd- vändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige, b) tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen eller c) grundar sig på den registrerades uttryckliga samtycke. I de fall det är tillåtet att fatta automatiserade beslut med anledning av ett avtal eller med stöd av samtycke, ska den personuppgiftsansvarige enligt artikel 22.3 i dataskyddsförordningen genomföra lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och rättsliga intressen, åtminstone rätten till personlig kontakt med den personupp- giftsansvarige för att kunna uttrycka sin åsikt och bestrida beslutet. Beslut får enligt artikel 22.4 i dataskyddsförordningen grunda sig på känsliga personuppgifter endast om behandlingen sker med stöd av artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har Lämpliga skyddsåtgärder bör enligt skäl 71 i dataskyddsförordningen inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det sådan bedömning och att Vidare anges i skäl 71 ytterligare åtgärder för att skydda den registrerade: ”I syfte att sörja för rättvis och öppen behandling med avseende på den registrerade, med beaktande av omständigheterna och det sammanhang i vilket personuppgifterna behandlas, bör den personuppgiftsansvarige använda adekvata matematiska eller statistiska förfaranden för profi- lering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktigheter i personuppgifter korrigeras och att risken för fel minimeras samt säkra personuppgifterna på sådant sätt att man beaktar potentiella risker för den registrerades intressen och rättigheter samt förhindra bl.a. diskriminerande effekter för fysiska personer, på grund av ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse, medlemskap i fackföreningar, genetisk status eller hälsostatus eller sexuell läggning, eller behandling som leder till åtgärder som får sådana effekter.” Att ett beslut enligt dataskyddsförordningen kan fattas automatiserat med stöd av samtycke från den registrerade är en nyhet i förhållande till dataskyddsdirektivet. Begränsningen i fråga om känsliga personuppgifter är också ny i förhållande till dataskyddsdirektivet. Dataskyddsdirektivets bestämmelser har kommit till uttryck i 29 § personuppgiftslagen, där det anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut har enligt paragrafens andra stycke rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. bedömer att i den mån det inom verksamhetsområde förekommer beslut som grundas enbart på automatiserad behandling och inkluderar profilering, krävs det att något av de undantag som anges i artikel 22.2 i dataskydds- förordningen är tillämpligt. Utredningen anser att det dock är vanligare att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut omfattas enligt tolkning inte av artikel 22 i dataskyddsförordningen och dataskydds- förordningen ställer inte heller i övrigt några krav på att sådant besluts- fattande regleras särskilt. Det krävs då endast att behandlingen av person- uppgifter som sådan är tillåten enligt gällande dataskyddslagstiftning. Swedish Medtech anser att det råder oklarhet i om artikel 22.1 i data- skyddsförordningen enbart är grundat på profilering och tolkar att artikel 22.1 omfattar all sorts automatiserad beslutsfattning, däri inbegripet, dvs. inklusive, profilering. läns landsting, Kommuner och Landsting och anser att det med stöd av artikel 23 i dataskydds- förordningen behöver införas en bestämmelse i patientdatalagen som gör det möjligt för vårdgivare att fatta automatiserade beslut, inbegripet profilering, för individnära vård och behandling. Inom intensivvården på sjukhus används övervakningssystem i form av medicintekniska produkter som monitorerar en patients blodtryck, hjärta, blodvärden m.m. används det visserligen inte några helautomatiska system som både övervakar vitalparametrar och som baserat på tröskel- 2017/18:171 värden automatiskt injicerar läkemedel. Det utesluter dock inte tillkom- sten av sådana lösningar . gör bedömningen att artikel 22.1 enbart omfattar beslut baserade på profilering och att annan automatiserad beslutsfattning är tillåten. Swedish Medtech tolkar att artikel 22.1 omfattar all sorts automatiserad beslutsfattning, inbegripet profilering, dvs. inklusive beslut baserade på profilering. Vad som anförts talar dock för att avsikten med artikel 22 i dataskyddsförordningen är att endast omfatta automatiserade beslut som innefattar profilering. Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna fråga. För den personuppgiftsbehandling som förekommer i olika verksam- heter bör den behandling som är laglig kunna fortsätta. Ändringar i förutsättningar för att ytterligare behandla personuppgifter får övervägas i annan ordning. Detta lagstiftningsärende får därför avgränsas till att hantera de anpassningar i författningar inom verksamhetsområde som bedöms behövas med anledning av dataskyddsförordning. Frågor som rör tolkningen av eller tillämpningen av dataskyddsförordningens direkt tillämpliga bestämmelser görs inte annat än i samband med resonemang kring behovet och lämplighet av kompletterande bestämmelser. I fråga om det som remissinstanserna läns landsting, Kommuner och Landsting och framför att det med stöd av artikel 23 i dataskyddsförordningen behöver införas en bestämmelse i patientdatalagen, anser regeringen att detta inte kan föreslås inom ramen för detta lagstiftningsärende. Det saknas beredningsunderlag för att bedöma behovet och konsekvenserna av en sådan ändring i patientdata- lagen. Vidare kan det vara så att även andra frågor skulle behöva utredas vad gäller automatiserade beslut, inbegripet profilering, för individnära vård och behandling. 6.8.2Begränsningar av den registrerades rättigheter Regeringens bedömning: Bestämmelser i registerförfattningar om begränsningar av andra rättigheter för registrerade än rätten att göra invändningar kan och bör behållas. Bestämmelser i registerförfatt- ningar om begränsningar av den registrerades rätt att göra invänd- ningar enligt artikel 21 i EU:s dataskyddsförordning kan och bör behållas om de efter en prövning i varje enskilt fall bedöms tillåtna enligt artikel 23.1. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att det inte är förenligt med dataskyddsförord- ningen att förutsätta att sådana bedömningar som krävs enligt artikel 23 har gjorts i tidigare lagstiftningsarbeten. Utredningen utgår från att sådana begränsningar av registrerades rättigheter som finns i befintliga registerförfattningar uppfyller de krav som ställs på begränsningar av registrerades rättigheter i artikel 23 i dataskyddsförordningen eftersom dataskyddsdirektivet ställde liknande krav på begränsning av regi- Prop. 2017/18:171 strerades rättigheter. Datainspektionen anser att den tidigare avvägningen måste identifieras och analyseras tillsammans med de befintliga om- ständigheterna för att en bedömning enligt artikel 23 i dataskyddsförord- ningen ska kunna göras. anser att utredningens bedömning vad gäller begränsning av enskildas rätt att invända mot behandling av person- uppgifter i är rimlig. Det finns ett starkt allmänt intresse av att ha en effektiv handläggning hos , och en enskilds möjlighet att invända mot behandling av personuppgifter skulle motverka det intresset. Det allmännas intresse av att handläggningen sker effektivt bör väga tyngre när det gäller verksamhet. Begränsningen av den enskildes rättigheter får därmed anses vara nödvändig och pro- portionerlig i detta fall. Skälen för regeringens bedömning Enligt artikel 23.1 i dataskyddsförordningen ska det vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personupp- giftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstift- ningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett antal olika mål som anges i punkterna a–j. En begränsning enligt artikel 23.1 i dataskyddsförordningen måste dock uppfylla vissa krav. Enligt artikel 23.2 i dataskyddsförordningen ska en lagstiftningsåtgärd som begränsar rättigheter och skyldigheter som följer av dataskyddsförordningen innehålla specifika bestämmelser åtminstone, när så är relevant, avseende ändamålen med behandlingen eller kategorierna av behandling, kategorierna av personuppgifter, om- fattningen av de införda begränsningarna, skyddsåtgärder för att för- hindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgifts- ansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av be- handling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. En liknande bestämmelse om möjlighet till begränsning av omfatt- ningen av skyldigheter och rättigheter finns i artikel 13 i dataskydds- direktivet. I den bestämmelsen anges i och för sig inte något om att be- gränsningen ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna eller att åtgärden ska vara proportionell i ett demokratiskt samhälle. Det får dock förutsättas att begränsningar av den personuppgiftsansvariges skyldigheter inte heller enligt dataskydds- 2017/18:171 direktivet får göras i strid med grundläggande rättigheter och friheter eller vara oproportionella. nämns också i skäl 1 i dataskyddsdirektivet. Av dataskyddskonvention följer vidare att lagstadgade be- gränsningar måste vara en nödvändig åtgärd i ett demokratiskt samhälle. En större skillnad mellan dataskyddsförordningen och dataskydds- direktivet är att uppräkningen av de intressen som en begränsning måste syfta till att säkerställa har utökats i dataskyddsförordningen. Dessutom har vissa av de befintliga intressena formulerats om. Artikel 13.1 e i dataskyddsdirektivet omfattar endast viktiga ekonomiska eller finansiella intressen, medan artikel 23.1 e i dataskyddsförordningen även tar upp andra viktiga mål av generellt allmänt intresse. Uppräkningen i den punkten är inte heller längre uttömmande utan även andra mål kan omfattas. har ordalydelsen i 23.1 e ändrats från att en begräns- ning ska vara nödvändig med hänsyn till ett viktigt (ekonomiskt eller finansiellt) intresse till ett viktigt mål av generellt allmänt intresse. I avsaknad av ytterligare tolkningsdata går det inte att dra några säkra slutsatser om huruvida detta innebär att det krävs något annat än vad som följer av begreppet allmänt intresse som används i t.ex. artikel 6.1 e i dataskyddsförordningen. bedömer att ut- rymmet för begränsningar enligt artikel 23.1 e i dataskyddsförordningen i vart fall är större än enligt motsvarande reglering i dataskyddsdirektivet, eftersom bestämmelsen inte längre enbart omfattar ekonomiska och finansiella intressen. Regeringen instämmer i denna bedömning. I artikel i dataskyddsförordningen har, i förhållande till data- skyddsdirektivet när det gäller överträdelser av etiska regler, för- hindrande och utredning av överträdelser lagts till medan undersökning tagits bort. Begreppen utredning och undersökning torde ha samma inne- börd. Tillägget av förhindrande av överträdelser innebär en utökning i förhållande till dataskyddsdirektivet. När det gäller tillsyns-, inspektions- eller regleringsfunktioner som nämns i artikel 23.1 h i dataskyddsförordningen har dataskyddsdirek- tivets formulering att bestämmelsen gäller även om funktionen är av övergående karaktär bytts ut mot formuleringen även i enstaka fall. bedömer, i avsaknad av klargörande skäl, att någon ändring i sak inte är avsedd. Formuleringen i artikel 23.1 i i dataskyddsförordningen är densamma som i dataskyddsdirektivet. Regeringen instämmer i denna bedömning. Möjligheterna att begränsa den registrerades rättigheter, när det gäller de intressen som är aktuella inom verksamhets- område, är desamma för vissa av punkterna medan de för andra punkter är något utökade jämfört med vad som gäller enligt dataskyddsdirektivet. Kravet i dataskyddsförordningen på att lagstiftningsåtgärder med be- gränsningar ska, när det är relevant, innehålla specifika bestämmelser i vissa uppräknade avseenden saknar motsvarighet i dataskyddsdirektivet. Allmänna utgångspunkter för undantag Som framgått får den registrerade vissa nya rättigheter med dataskydds- förordningen. De nya rättigheterna för registrerade förhindrar inte den behandling som får ske enligt registerförfattningarna. nya administrativa krav på de personuppgiftsansvariga. Dessa nya krav kan normalt sett inte anses så betungande att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av generellt allmänt intresse. Det bör därför inte finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än trots att nya rättigheter följer av dataskyddsförordningen. När det gäller dataskyddsförord- ningens reglering av information, tillgång, rättelse, radering och be- gränsning av behandling har det inte framkommit att det skulle innebära några beaktansvärda svårigheter för personuppgiftsansvariga att uppfylla de nyheter som dataskyddsförordningen innebär. Dataskyddsförord- ningens reglering bör därför som utgångspunkt gälla. Om däremot ett nytt krav kan anses alldeles särskilt betungande för en specifik verksamhet, bör en begränsning av de nya rättigheterna övervägas. Det förekommer bestämmelser i registerförfattningar som begränsar de rättigheter som registrerade har enligt dataskyddsdirektivet och personuppgiftslagen. Det kan gälla t.ex. en begränsning av rätten till registerutdrag eller en bestämmelse om att behandling som är tillåten enligt författningen får utföras även om den registrerade motsätter sig den, dvs. en begränsning av rätten att göra invändningar. De krav på själva begränsningen – syftet med begränsningen, nödvän- dig och proportionell åtgärd och respekt för andemeningen i de grund- läggande rättigheterna – som gäller enligt dataskyddsförordningen är som framgått i vart fall inte snävare än enligt dataskyddsdirektivet.