prop · H503171 · 2018-03-19 00:00:00 — pliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. Arbetsuppgifter av allmänt intresse härrör från uppdrag och åligganden som framgår av olika verksamhets- orienterade författningar eller regeringsbeslut. Är den rättsliga grunden inte fastställd i annan författning, är den dessutom i vart fall fastställd genom registerförfattningens ändamålsbestämmelser. bedömer därför att kravet på att grunden ska vara fastställd genomgående Syftet med en behandling av personuppgifter med anledning av en rättslig förpliktelse kan enligt utredningens bedömning framgå av en registerförfattning eller av exempelvis den författning som reglerar själva För arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning får det förutsättas att tidigare bedömningar av lagligt stöd för behandling av personuppgifter även innefattat ett ställningstagande till att syftet med behandlingen för det aktuella ändamålet också är nödvändigt för ändamålet. Även kravet på att den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas får anses vara uppfyllt genom tidigare ställningstaganden. Samtycke utgör enligt både dataskyddsdirektivet och dataskyddsförord- ningen en rättslig grund för behandling av personuppgifter. Utredningen har funnit att bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan behållas. Utredningens utgångspunkt är att i den mån det är möjligt behålla de möjligheter att behandla personuppgifter som myndigheter och vissa enskilda aktörer har . Det krävs därför att det är tydligt att de uppräknade ändamålen i registerförfattningarna inte är uttömmande när så har gällt tidigare. Utredningen behåller därför i sina förslag bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i författningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen. Känsliga personuppgifter och uppgifter om lagöverträdelser Nya kategorier av känsliga personuppgifter Det har i dataskyddsförordningen tillkommit några nya kategorier av känsliga personuppgifter – genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Att nya kategorier lagts till de befintliga innebär att det kommer att vara fler uppgifter som kategoriseras som känsliga och som därmed omfattas av artikel 9 i dataskyddsförordningen. Eftersom huvudregeln enligt artikel 9.1 är att det är förbjudet att behandla känsliga personuppgifter, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandling av sådana uppgifter ska vara tillåten. Bestämmelser i särskilda registerförfattningar som tillåter att alla kate- gorier av känsliga personuppgifter enligt nuvarande definition får behandlas bör avse alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av känsliga person- uppgifter enligt nuvarande definition bör däremot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga person- uppgifter. Utredningen har dock i två fall, när det gäller patientdatalagen och läkemedelsförordningen, föreslagit förtydliganden som innebär att viss behandling av de nytillkomna kategorierna av känsliga personuppgifter ska vara tillåten även i fortsättningen. Detta eftersom det bedömts nödvän- digt för en ändamålsenlig behandling av personuppgifter i de aktuella verk- samheterna. Tillåten behandling av känsliga personuppgifter Utredningen bedömer att bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av ett viktigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet är förenliga med artikel i dataskyddsförordningen. I ett fall, när det gäller läkemedelsförord- ningen, har dock regleringen inte bedömts leva upp till det nya kravet på att det ska finnas bestämmelser om lämpliga skyddsåtgärder i den nationella lagstiftningen. Utredningen har därför föreslagit en begränsning som innebär att behandling av de där aktuella personuppgifterna endast får ske för angivna ändamål. Viss behandling av känsliga personuppgifter – enligt lagen om blod- säkerhet, lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler, lagen om skydd mot internationella hot mot människors hälsa samt lagen om register över nationella vaccinationsprogram – som tidigare tillåtits med stöd av ett viktigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet har utredningen bedömt vara tillåten med stöd av det s.k. folkhälsoundantaget i artikel 9.2 i i dataskyddsförordningen. Även bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter inom hälso- och sjukvården samt inom social omsorg, såsom socialtjänst, är förenliga med dataskyddsförordningen. Sådana bestämmelser bör dock kompletteras med en bestämmelse som påminner om det nya kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Nuvarande bestämmelser i registerförfattningarna om uppgifter om lag- överträdelser omfattar, utöver vad som gäller enligt dataskyddsförord- ningen, även uppgifter om friande brottmålsdomar och administrativa frihetsberövanden och innebär oftast restriktioner för behandlingen. dessa uppgifter, som omfattas av motsvarande bestämmelse i dataskydds- direktivet, inte omfattas av dataskyddsförordningens reglering gör det möjligt att ta bort sådana restriktioner. Det är dock enligt utredningens mening svårt att se varför myndigheter och enskilda skulle få behandla sådana kategorier av personuppgifter i större utsträckning än de har bedömts ha behov av bara därför att dataskyddsförordningen gör det Med stöd av möjligheten att införa nationella bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bör även de begränsningar för uppgifter om lagöverträdelser som inte omfattas av artikel 10 i dataskyddsförordningen behållas. Bestämmelser om att personnummer får registreras, t.ex. i en databas, eller att (bara) personnummer får användas som sökbegrepp vid vissa sökningar kan enligt utredningens mening inte i sig anses ställa upp några särskilda villkor för behandlingen av personnummer enligt artikel 87 i dataskyddsförordningen. Det behöver därför inte iakttas några sådana lämpliga skyddsåtgärder som krävs enligt samma artikel. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor, är de bestämmelser som redan finns i registerförfattningarna att anse som lämpliga skyddsåtgärder. Dataskyddsförordningens bestämmelser om överföring till tredjeland är direkt tillämpliga och medför inte något behov av nationella bestämmelser som tillåter överföring av personuppgifter till tredjeland. En nationell bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har dock en klargörande verkan och får anses vara en sådan mer specifik, eller särskild, bestämmelse som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Bestämmelserna i registerförfatt- ningarna som anger när överföring av personuppgifter till tredjeland är tillåten har bedömts förenliga med dataskyddsförordningen och behöver därför inte ändras. Nya rättigheter och skyldigheter Det är utredningens övergripande bedömning att de nya rättigheter för registrerade och de nya skyldigheter för personuppgiftsansvariga som dataskyddsförordningen medför normalt sett inte kan anses så betungande för de personuppgiftsansvariga att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av generellt allmänt intresse. Utredningens utgångspunkt är därför att det inte bör finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än trots att nya rättigheter följer av dataskyddsförordningen. Rätt att göra invändningar Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på allmänt intresse, myndighetsutövning eller en intresseavvägning. Flera registerförfattningar innehåller bestämmelser som begränsar rätten att göra invändningar. Utredningen har i fråga om sådana bestämmelser gjort en prövning av om begränsningen är tillåten enligt den undantags- möjlighet som anges i artikel 23.1 i dataskyddsförordningen i förhållande till varje enskild registerförfattning. Prövningarna har lett till slutsatsen att det även fortsättningsvis är tillåtet att begränsa rätten att göra invändningar på det sätt som skett. Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska innehålla fler upplysningar än vad som följer av dataskyddsförordningen kan och bör behållas om skyldigheten avser myndigheter eller den ursprungliga behandlingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen bör tas bort. Bestämmelserna bör kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling är direkt tillämpliga. Bestämmelser i register- författningar med hänvisningar till bestämmelserna i personuppgiftslagen om rättelse bör således upphävas och inte ersättas av hänvisningar till dataskyddsförordningen. Utredningen bedömer att artikel 22.1 i dataskyddsförordningen omfattar enbart beslut som grundas på automatiserad behandling och inkluderar profilering. I den mån det inom verksamhets- område förekommer sådana beslut, krävs att något av de undantag som anges i artikel 22.2 i dataskyddsförordningen är tillämpligt. Vanligare är dock att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut omfattas enligt utredningens tolkning inte av artikel 22 i dataskyddsförordningen, och dataskyddsförordningen ställer inte heller i övrigt några krav på att sådant beslutsfattande ska regleras särskilt. Bestämmelser om säkerhetsåtgärder/skyddsåtgärder som finns i register- författningar är enligt utredningens bedömning sådana mer specifika, eller särskilda, bestämmelser som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Myndigheter kan vidare genom nationell lag åläggas krav på säkerhets- åtgärder utan hinder av dataskyddsförordningen. Vid viss behandling av känsliga personuppgifter krävs det dessutom att skyddsåtgärder regleras i nationell rätt. Så är fallet även vid behandling av uppgifter om lagöver- trädelser som inte utförs under kontroll av en myndighet. Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande kan behållas under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning eller därför att bestämmelserna endast avser myndigheters behandling av personuppgifter. Formuleringar i registerförfattningarna om bevarande av personuppgifter för historiska, statistiska eller vetenskapliga ändamål bör dock ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med formuleringen i dataskyddsförordningen. Enligt utredningens bedömning innebär omformuleringen inte någon skillnad i sak. Av förslag till dataskyddslag framgår att tillsynsmyndighetens befogenheter enligt dataskyddsförordningen ska gälla även vid tillsyn över efterlevnaden av bestämmelserna i data- skyddslagen och andra författningar som kompletterar data- Det behövs därför inte några särskilda be- stämmelser om tillsyn i de registerförfattningar som omfattas av Bestämmelserna i dataskyddsförordningen om skadestånd är direkt til- lämpliga även på sådan behandling av personuppgifter som omfattas av en registerförfattnings tillämpningsområde, under förutsättning att det rör sig om sådan behandling som också omfattas av dataskyddsförordningen. Bestämmelser i registerförfattningar med hänvisningar till bestämmel- serna om skadestånd i personuppgiftslagen bör därför upphävas och inte ersättas av hänvisningar till dataskyddsförordningen. I artikel 83 i dataskyddsförordningen finns en uttömmande uppräkning av när det är möjligt att utfärda sanktionsavgifter. Eftersom endast över- trädelser av nationell lagstiftning som antagits på grundval av kapitel IX omnämns i artikeln, kan sanktionsavgifter påföras endast vid överträdelser av sådana nationella bestämmelser. Vid överträdelser av bestämmelser i de registerförfattningar som omfattas av utredningens översyn, som innebär en överträdelse av dataskydds- förordningens bestämmelser, är det dock enligt utredningens bedömning möjligt att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförordningen. Utredningen bedömer att det inte finns något behov av bestämmelser om administrativa sanktionsavgifter i registerförfattningarna. har föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande av personuppgiftsansvariga myndig- heters beslut. Den bestämmelsen kommer att vara tillämplig även inom registerförfattningarnas tillämpningsområde, på samma sätt som personuppgiftslagens bestämmelser är det . Något skäl att reglera överklagandemöjligheten på annat sätt än vad föreslagit har inte framkommit. Bestämmelser om överklagande i registerförfattningar som enbart avser beslut om behandling av personuppgifter bör därför upphävas. I de fall registerförfattningen även innehåller överklagandebestämmelser avseende andra beslut än sådana som berör behandling av personuppgifter bör det dock införas en upplysning om att det finns bestämmelser om överklagande i den föreslagna dataskyddslagen. För ett utlämnande av behandlade personuppgifter gäller enligt utredningens bedömning i princip samma förutsättningar enligt data- skyddsförordningen och dataskyddsdirektivet. Utlämnandet måste ske med stöd av ett primärt eller sekundärt ändamål eller vara förenligt med finalitetsprincipen alternativt omfattas av ett tillåtet undantag från den principen. De bestämmelser om uppgiftsskyldighet som finns inom verksamhetsområde är därmed lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. skyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Utredningen har tänkt på barnens rättigheter enligt när förslagen skrivits. Det behövs inte några nya bestämmelser för att uppfylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter. Författningar som bör upphävas Utredningen har kommit fram till att två av de författningar som ingått i översynen, förordningen om vårdnadsbidragsregister och förordningen med bemyndigande för Datainspektionen att meddela säkerhetsföre- skrifter för socialförsäkringsregister, är obsoleta, överspelade. De författ- ningarna bör därför inte anpassas till dataskyddsförordningen utan i stället upphävas. Författningsändringar till följd av dataskyddsförordningen bör träda i kraft , medan författningsändringar till följd av den föreslagna brottsdatalagen bör träda i kraft . Utredningen föreslår att övergångsbestämmelser införs avseende bestämmelser om överklagande och skadestånd. Utredningens förslag leder inte till att möjligheten att behandla personuppgifter förändras, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Skyddsåtgärden innebär ett förstärkt skydd av den personliga integriteten. I övrigt medför förslagen inga konsekvenser. Däremot får förstås den direkt tillämpliga dataskyddsförordningen konsekvenser, vilka är generella för alla verksamheter i och beskrivs översiktligt. Lagförslag till betänkandet Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning (SOU 2017:66) lag om ändring i socialförsäkringsbalken Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 33 § ska upphöra att gälla, dels att rubriken närmast före 114 kap. 33 § ska utgå, dels att 114 kap. 1, 6, 10, 11, 12, 13, 15, 16, 27, 29, 30, 31 och 36 §§ och rubriken närmast före 114 kap. 6 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 6 a §, och närmast före 6 a § en ny rubrik av följande lydelse. I detta kapitel finns allmänna bestämmelser i 2–5 §§. Vidare finns bestämmelser om – personuppgiftslagen och per- – förhållandet till annan data- sonuppgiftsansvar i 6 §, skyddsreglering i 6 §, – personuppgiftsansvar i 6 a §, –ändamål för behandling av personuppgifter i 7–10 §§, –behandling av känsliga personuppgifter m.m. i 11–13 §§, –behandling av personuppgifter i socialförsäkringsdatabasen i 14– 16 §§, –tilldelning av behörighet i 17 §, –direktåtkomst i 18–23 §§, –utlämnande på medium för automatisk behandling i 24–26 a §§, –sökbegrepp i 27 och 28 §§, – överföring av personuppgifter till tredje land i 29 till tredjeland i 29 §, – information i 30 §, – gallring i 31 §, – avgifter i 32 §, – rättelse och skadestånd i 33 §, – kontrollverksamhet i 34 §, – tystnadsplikt i 35 §, och 1 Senaste lydelse 2012:935. gäller vid behandling av person- administration, om inte annat följer 2016/679 av om av detta kapitel eller föreskrifter skydd för fysiska personer med som meddelas med stöd av kapitlet eller av personuppgiftslagen. personuppgifter och om det fria flödet av sådana uppgifter och om avses i detta kapitel Försäkrings- direktiv /46/EG (allmän dataskyddsförordning). En myndighet inom socialförsäk- Lagen (2018:xx) med kom- ringens administration är person- pletterande bestämmelser till EU:s uppgiftsansvarig för den behand- ling av personuppgifter som den behandling av personuppgifter en- ligt detta kapitel, om inte annat följer av detta kapitel eller före- skrifter som har meddelats med stöd av kapitlet. nistration avses i detta kapitel En myndighet inom social- personuppgiftsansvarig för den be- I fråga om behandling av Att personuppgifter som be- personuppgifter för annat ändamål handlas för ändamål som anges i än vad som anges i 7–9 §§ gäller 7 § även får behandlas för andra ändamål framgår av artikel 5.1 b i (1998:204). förordning (EU) 2016/679. avses i 13 § personuppgiftslagen personuppgifter som anges i arti- kel 9.1 i och uppgifter) får behandlas om upp- förordning (EU) 2016/679 gifterna lämnats till en myndighet behandlas om uppgifterna lämnats till en myndighet inom social- ärende eller är nödvändiga för får vidare behandlas för något av av ett ärende. de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är vidare behandlas för något av de nödvändigt med hänsyn till ända- ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ända- För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4. som innefattar brott, domar i uppgiftslagen (1998:204) får be- brottmål, straffprocessuella tvångs- handlas om uppgifterna lämnats till medel eller administrativa frihets- en myndighet inom social- berövanden (uppgifter om lagöver- ärende eller är nödvändiga för uppgifterna lämnats till en myn- administration i ett ärende eller är något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ något av de ändamål som anges i om det är nödvändigt med hänsyn 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn För något av de ändamål som För något av de ändamål som anges i 7 § första första stycket 2, 3, 5 och 6 får sådana uppgifter om och 6 får uppgifter om lagöver- lagöverträdelser m.m. som avses i trädelser behandlas som enligt 15 § får behandlas i socialförsäk- handlas som enligt 15 § får be- Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4. I 15 § finns särskilda melser om behandling i social- melser om behandling i social- känsliga personuppgifter som avses lagöverträdelser m.m. som avses i i 11 § första stycket och sådana uppgifter om lagöverträdelser som (1998:204). avses i 12 § första stycket. För de ändamål som anges i 7–10 §§ får, med beaktande av de begränsningar som följer av 7 och 14 §§, identifierings- och adress- uppgifter behandlas i socialförsäkringsdatabasen. uppgifter om lagöverträdelser m.m. som avses i 11 § första stycket eller sådana uppgifter om lagöver- uppgiftslagen (1998:204) får ut- trädelser som avses i 12 § första över vad som anges i 16 § be- stycket får, utöver vad som anges i 16 §, behandlas i socialförsäkrings- basen bara om det särskilt anges i databasen bara om det särskilt lag eller förordning. anges i lag eller förordning. behandling gäller de begränsningar som följer av 11 och 12 §§. begränsningar som följer av 11 och ringen eller den myndighet som myndighet som regeringen bestäm- föreskrifter om ytterligare begräns- ningar för vilka uppgifter som får ytterligare begränsningar för vilka uppgifter som får behandlas i Uppgifter i en handling som Uppgifter i en handling som kommit in i ett ärende får be- kommit in i ett ärende får be- basen även om de utgör känsliga basen även om de utgör sådana personuppgifter eller uppgifter om känsliga personuppgifter som avses lagöverträdelser m.m. som avses i i 11 § första stycket eller sådana uppgifter om lagöverträdelser som (1998:204). Sådana uppgifter i en avses i 12 § första stycket. handling som upprättats i ett uppgifter i en handling som ärende får behandlas i socialför- upprättats i ett ärende får säkringsdatabasen, om uppgifterna basen, om uppgifterna är nöd- vändiga för ärendets handläggning. uppgifter om lagöverträdelser m.m. som avses i 11 § första stycket eller sådana uppgifter om lagöverträ- uppgiftslagen (1998:204) delser som avses i 12 § första stycket får inte användas som sökbegrepp vid sökning i social- Vid sökning som omfattar innehållet i fler än en handling i social- försäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt för vilka sökbegrepp som får till tredje land på grund av åtagan-