prop · H503171 · 2018-03-19 00:00:00 — Utlämnande genom direktåtkomst och utlämnande på medium för auto- matiserad behandling utgör olika former av behandling av personupp- gifter och regleras ofta i registerförfattningar. I dataskyddsförordningen, dataskyddsdirektivet och personuppgiftslagen finns det inga särskilda bestämmelser som direkt rör dessa former av behandling/utlämnande utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behandlingen uppfyller tillämpliga grundläggande krav i artikel 5 i dataskyddsförordningen och har lagligt stöd enligt artikel 6 i dataskyddsförordningen. Det krävs också att åtgärder enligt artiklarna 24.1 och 32 i dataskydds- förordningen är vidtagna. Om utlämnandet avser känsliga personupp- gifter eller uppgifter om lagöverträdelser, krävs i tillämpliga fall stöd enligt artikel 9 respektive artikel 10 i dataskyddsförordningen. Mot- svarande gäller enligt dataskyddsdirektivet. Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det således ske på vilket sätt som helst så länge föreskrivna skyddsåtgärder vidtas. Artiklarna 24.1 och 32 i dataskyddsförordningen om åtgärder, som har sin motsvarighet i artikel 16 och 17 i dataskyddsdirektivet, kommer att vara direkt tillämpliga. Varken dataskyddsförordningen, dataskyddsdirektivet eller personupp- giftslagen innehåller några bestämmelser som särskilt tar sikte på sökning. Sökning och sammanställning av personuppgifter är dock en form av behandling av personuppgifter som omfattas av dataskydds- regleringen. Det innebär bl.a. att en sökning måste vara förenlig med angivna ändamål för att vara tillåten. I många registerförfattningar finns sökbegränsningar som framför allt tar sikte på användningen av känsliga personuppgifter och uppgifter om lagöverträdelser som sökbegrepp. Anledningen är att användningen av dessa uppgifter som sökbegrepp kan leda till att det går att skapa mycket integritetskänsliga sammanställningar med personer som har vissa egenskaper. Sökbegränsningarna inskränker också allmänhetens möjlig- heter att ta del av sammanställningen (2 kap. 3 § tredje stycket tryck- frihetsförordningen). Att förbjuda användning av t.ex. känsliga person- uppgifter och uppgifter om lagöverträdelser som sökbegrepp utgör en form av åtgärd eller skyddsåtgärd i dataskyddsförordningens mening. Kryptering och pseudonymisering är åtgärder som tillgodoser principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen eftersom sådana åtgärder innebär att den personuppgiftsansvarige inte behandlar fler direkt identifierande personuppgifter än vad som är nödvändigt för ändamålet med behandlingen. Krav på kryptering och pseudonymisering uppfyller också villkoren i principen om integritet och konfidentialitet i artikel 5.1 f i dataskyddsförordningen som anger att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna med användning av lämpliga tekniska och organisatoriska åtgärder. Kryptering och pseudonymisering utgör sådana åtgärder som nämns i 2017/18:171 artikel 32 i dataskyddsförordningen och som ska vidtas i den mån det är lämpligt. Det förekommer bestämmelser i registerförfattningar om att en viss åtgärd, t.ex. direktåtkomst eller utlämnande på medium för automatiserad behandling, med personuppgifter som behandlas med stöd av annan rättslig grund än samtycke bara får utföras med den registrerades samtycke. En sådan bestämmelse kan anses utgöra en integritetshöjande åtgärd, dvs. ett slags skyddsåtgärd (Ds 2016:44 s. 224 f.). Eftersom registerförfattningarna inom verksamhetsområde gäller utöver personuppgiftslagen, måste samtycket uppfylla det som anges i definitionen av samtycke i 3 § personuppgiftslagen, som genomför definitionen av samtycke i artikel 2 h i dataskyddsdirektivet. Enligt definitionen i artikel 4.11 i dataskyddsförordningen ska sam- tycket vara frivilligt, specifikt, informerat och utgöra en otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar den aktuella be- handlingen av personuppgifter som rör honom eller henne. Definitionen av samtycke i artikel 4.11 i dataskyddsförordningen motsvarar i allt väsentligt den som finns i artikel 2 h i dataskyddsdirektivet. Eftersom själva definitionen av vad som utgör ett giltigt samtycke inte har ändrats i sak i dataskyddsförordningen, bedömer Socialdataskydds- utredningen att någon ytterligare analys av lämpligheten av att uppställa ett krav på samtycke för att en viss åtgärd, såsom direktåtkomst eller annat elektroniskt utlämnande, ska få utföras inte behöver göras i de fall sådana bestämmelser finns i befintliga registerförfattningar. Dataskydds- förordningens definition av samtycke föranleder således inte i sig att denna typ av integritetshöjande åtgärder behöver ändras. Regeringen instämmer i utredningens bedömning. Det kan inte uteslutas att kraven på samtycke i vissa situationer har skärpts något i förhållande till vad som anses gälla . När registerförfattningarna, sedan dataskyddsförordningen börjat tillämpas, kommer att komplettera dataskyddsförordningen i stället för att gälla utöver personuppgiftslagen, kommer regleringen av samtycke som finns i dataskyddsförordningen att gälla även för de samtycken i registerför- fattningarna som utgör integritetshöjande åtgärder. Datainspektionen delar uppfattningen att den registrerades inställning till en behandling är en viktig skyddsåtgärd. Att en behandling får ske med den enskildes medgivande är integritetshöjande och används vidare än samtycke i övrigt. Enligt bestämmelserna om sammanhållen journal- föring kan vårdpersonal tillfråga patienten om denne godtar att vård- givaren tar del av andra vårdgivares uppgifter om patienten. Det är en ojämlik situation där patienten är i beroendeställning. Enligt Datainspek- tionen hindrar det emellertid inte att samtycket används som integritets- höjande åtgärd eftersom begränsningen enligt skäl 43 att använda samtycke i ojämlika situationer avser samtycke som utgör giltig rättslig grund för behandling av personuppgifter. Eftersom vårdgivare har andra rättsliga grunder som stöd för sin behandling av patientuppgifter inom hälso- och sjukvården kan ett integritetshöjande samtycke användas oavsett att relationen är ojämlik. Det kan emellertid vara svårt för såväl den registrerade som den personuppgiftsansvarige att skilja på samtycke som utgör rättslig grund för behandling av personuppgifter och integritetshöjande samtycke. Datainspektionen anser därför att lag- stiftaren bör överväga om inte ett annat ord bör införas för det integritets- höjande samtycket såsom exempelvis godkännande. Oavsett vilket ord som används är det viktigt att det tydliggörs vilken form av samtycke som lagstiftaren avser. Det finns dock inte något krav enligt dataskyddsförordningen på att sådana samtycken som i registerförfattningar har föreskrivits såsom en integritetshöjande åtgärd och inte som en rättslig grund för att över huvud taget få behandla personuppgifter ska omfattas av de eventuellt skärpta kraven på samtycke. har övervägt att använda ett annat ord, exempelvis godkännande för ett sådant samtycke som utgör en form av skyddsåtgärd. Utredningen ser dock flera nackdelar med att införa ett nytt begrepp. Ordet samtycke är inarbetat och används för att uttrycka integritetshöjande åtgärder i flera register- författningar. Regeringen anser att ett införande av ett annat ord än samtycke inte skulle underlätta för dem som ska tillämpa sådana författningar. Vidare anser regeringen att det i vissa fall skulle kunna uppfattas såsom en försvagning av vikten av den enskildes inställning. Inom hälso- och sjukvården används ordet samtycke i t.ex. 4 kap. patientlagen (2014:821) och i 16 kap. 4 § hälso- och sjukvårdslagen (2017:30). Såsom Socialdata- skyddsutredningen framfört skulle det, om samtycke ersattes med något annat ord, bli otydligt om bestämmelsen om återkallelse av samtycke i artikel 7.3 i dataskyddsförordningen gäller. I lagen om biobanker i hälso- och sjukvården m.m. finns hänvisningar till andra bestämmelser om samtycke, varför en ändring av ordet samtycke inte bedöms vara lämplig i den författningen. De bestämmelser om åtgärder eller skyddsåtgärder som finns i register- författningar är enligt regeringens bedömning sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskydds- förordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen (se avsnitt 6.1). Vid behandling av känsliga personuppgifter som grundar sig på artikel (viktigt allmänt intresse), i (allmänt intresse på folkhälsoområdet) och j (arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål) i dataskyddsförordningen krävs det åtgärder eller skyddsåtgärder enligt nationell rätt. Så är fallet även vid behandling av uppgifter om lagöverträdelser som inte utförs under kontroll av en myndighet. Bestämmelserna om sökbegränsningar eller andra skyddsåtgärder i registerförfattningar kan således vara inte bara tillåtna utan också nödvändiga såsom skyddsåtgärder vid behandling av känsliga personuppgifter och uppgifter om lagöverträdelser eller vid 2017/18:171 begränsning av den registrerades rättigheter enligt artikel 23 i data- skyddsförordningen. Sammanfattningsvis anser regeringen att bestämmelser i register- författningar som innehåller skyddsåtgärder inte behöver ändras med anledning av dataskyddsförordningen. I fråga om enskildas behandling gäller det under förutsättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c och e (se avsnitt 4.1) eller om behandlingen av upp- gifterna grundar sig på artikel , i eller j eller artikel 10 i dataskydds- förordningen. Regeringens bedömning: Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande behöver inte ändras i sak. Detta gäller under förutsätt- ning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i EU:s dataskydds- Formuleringar i registerförfattningarna om bevarande av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål bör ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. bedömning: Överensstämmer med Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. har inga synpunkter i fråga om betänkandets bedömning eftersom det inte föreslås några materiella förändringar i bestämmelser om gallring eller bevarande. En ståndpunkt som under lång tid återkommit till är en för registerförfattningarna enhetlig begrepps- apparat som överensstämmer med förslag lämnade i betänkandet Myndighetsdatalag (SOU 2015:39). Där framhålls att begrepp som be- varande och gallring ska tolkas offentligt- och arkivrättsligt, medan be- grepp som behandling och utplåning ska tolkas dataskyddsrättsligt. Skälen för regeringens bedömning Arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål I dataskyddsförordningen finns ett antal artiklar som särskilt rör person- uppgiftsbehandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt artikel 5.1 b i dataskyddsförordningen gäller t.ex. att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenliga med de ursprungliga ända- målen (ändamålsbegränsning). I artikel 5.1 e i dataskyddsförordningen föreskrivs att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförord- ningen, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsmini- mering). Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. Enligt artikel 9.2 j i dataskyddsförordningen får sådana uppgifter be- handlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grund- val av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål ska omfattas av lämpliga skydds- åtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymi- sering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål, får det enligt artikel 89.2 och 3 i dataskyddsförordningen före- skrivas om undantag från vissa av den registrerades rättigheter. Det rör sig om rätten till tillgång (artikel 15), rätten till registerutdrag, rättelse (artikel 16), rätten till begränsning av behandling (artikel 18) och rätten till invändning mot behandling (artikel 21). Undantag får göras i den ut- sträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårt att uppfylla de särskilda ändamålen och sådana undan- tag krävs för att uppnå dessa ändamål. Om personuppgifter behandlas för arkivändamål av allmänt intresse, får undantag även göras från kravet på att den personuppgiftsansvarige ska underrätta mottagare av personupp- gifter om eventuella rättelser, raderingar eller begränsningar av behand- ling som skett (artikel 19) och rätten till dataportabilitet (artikel 20). Skillnader i förhållande till regleringen i dataskyddsdirektivet och personuppgiftslagen Regleringen i dataskyddsförordningen av gallring och bevarande skiljer sig något från motsvarande reglering i dataskyddsdirektivet. Dataskydds- direktivets reglering är inte lika utförlig och innehåller inget särskilt undantag för behandling av känsliga personuppgifter. Formuleringarna i dataskyddsförordningen och dataskyddsdirektivet är inte heller desamma. Enligt artikel 6.1 e i dataskyddsdirektivet ska medlemsstaterna föreskriva att personuppgifter förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare be- handlades. Medlemsstaterna ska enligt artikeln också vidta lämpliga skyddsåtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Dataskyddsdirektivets bestämmelse har kommit till uttryck i 9 § första stycket i samt tredje och fjärde styckena personuppgiftslagen. Där framgår att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål , men inte längre än vad som behövs för dessa ändamål. För att uppfylla dataskyddsdirektivets krav på skyddsåtgärder anges att personuppgifter som behandlas för dessa ändamål bara får användas för att vidta åtgärder i fråga om den registrerade om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen (prop. 1996/97:44 s. 63). Enligt 8 § andra stycket personuppgiftslagen hindrar bestämmelserna i personuppgiftslagen inte att en myndighet arkiverar och bevarar all- männa handlingar eller att arkivmaterial tas om hand av en arkivmyn- dighet. Det inkluderar även eventuella känsliga personuppgifter. Bestäm- melserna i 9 § första stycket i samt tredje och fjärde stycket personupp- giftslagen gäller därför inte vid en myndighets arkivering av allmänna handlingar utan har främst betydelse för enskilda arkiv. Gallring av allmänna handlingar styrs i stället av bestämmelser i arkivlagen (1990:782) samt i registerförfattningar, vars bestämmelser gäller före arkivlagen och arkivförordningen (1991:446). Detta framgår av 10 § arkivlagen och 14 § arkivförordningen. Regleringen kompletteras av myndighetsföreskrifter och myndighetsbeslut om gallring eller be- varande. Regleringen i den föreslagna dataskyddslagen Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 14.1.3) att känsliga personuppgifter och personupp- gifter som rör lagöverträdelser får behandlas om behandlingen är nöd- vändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Arkivlagen och andra föreskrifter om arkiv omfattar inte bara myndig- heter utan även t.ex. kommunala bolag och vissa andra utpekade enskilda organ. För dessa skulle det i enstaka fall kunna uppstå en normkonflikt mellan arkivlagstiftningen och regleringen i artikel 10 i dataskydds- förordningen avseende behandlingen av personuppgifter som rör lagöver- Prop. 2017/18:171 trädelser. Dataskyddslagen bör därför även innehålla en bestämmelse som, på motsvarande sätt som avseende känsliga personuppgifter, tillåter behandling av personuppgifter som rör lagöverträdelser, om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. I förslaget till dataskyddslag (3 kap. 6 §) anges att känsliga person- uppgifter får behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Av förslaget till 3 kap. 8 § andra stycket dataskyddslagen följer att även andra än myndigheter får behandla personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning, (dvs. om lagöverträdelser), om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Enligt förslaget till 4 kap. 1 § dataskyddslag ska personuppgifter som behandlas enbart för arkivändamål av allmänt intresse få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Denna begräns- ning hindrar inte myndigheter från att använda personuppgifter som finns i allmänna handlingar. I propositionen Ny dataskyddslag (avsnitt 14.2) redovisas förslag om bl.a. att känsliga personuppgifter får behandlas för statistiska ändamål, om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära (se även 3 kap. 7 § förslag till dataskyddslag). Överväganden när det gäller registerförfattningar Huvudregeln enligt artikel 5.1 e i dataskyddsförordningen är att person- uppgifter inte får lagras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Huvudregeln har inte ändrats i förhållande till dataskyddsdirektivet, se artikel 6.1 e. Bestämmelser i registerförfattningar som innebär att personuppgifter ska eller får bevaras alternativt gallras eller när de är nödvändiga för de ändamål för vilka de behandlas, är enligt regeringens bedömning sådana nationella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen när behandlingen grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en arbetsuppgift av allmänt intresse eller som ett led i myn- dighetsutövning (artikel 6.1 e). Om registerförfattningar innehåller bemyndiganden som ger regeringen eller den myndighet som regeringen bestämmer rätt att med- dela föreskrifter om att uppgifter får bevaras för och för ett visst ändamål, berörs inte dessa av dataskyddsförordningen, eftersom de inte i sig föreskriver bevarande. Ett sådant bemyndigande får endast användas på ett sådant sätt som är tillåtet enligt dataskyddsförordningen. Särskilda regler gäller enligt dataskyddsförordningen om personupp- gifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Om personuppgifter behandlas enbart för ovan angivna ändamål, får de lagras under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter. artikel 89.1 i dataskyddsförordningen anges att skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas (att personupp- gifterna är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas). Vidare framgår av samma artikel att personuppgifter ska avidentifieras i den mån det är möjligt. dataskyddsdirektivet ska medlemsstaterna vidta lämpliga skyddsåtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Kravet på skyddsåtgärder är således inte nytt och principerna om uppgiftsminimering respektive avidentifiering finns även i dataskyddsdirektivet. ningar innehåller bestämmelser om behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål, får det mot bakgrund av detta enligt regeringens mening, i likhet med Socialdataskydds- utredningens bedömning, förutsättas att tillräckliga skyddsåtgärder redan framgår av registerförfattningarna eller de föreskrifter som medger be- Av artikel 9.2 j i dataskyddsförordningen framgår att känsliga person- uppgifter får behandlas för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestämmelsen är ny i förhållande till data- skyddsdirektivet och innebär att behandling av känsliga personuppgifter för nämnda ändamål förutsätter stöd i nationell rätt och bestämmelser om