prop · H503171 · 2018-03-19 00:00:00 — 2017/18:171 gifterna samlades in. I enlighet med vad anges i avsnitt 6.5.3 kan registerförfattningar i förtydligande syfte även fortsättningsvis innehålla bestämmelser som innebär att behandling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet. 7.7.5Information som ska lämnas självmant Regeringens förslag: Bestämmelserna i 20 § lagen om receptregister kompletteras med en upplysning om att information även ska lämnas enligt EU:s dataskyddsförordning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort. Därmed tas det bort att informationen ska innehålla upplysningar om vem som är personupp- giftsansvarig, ändamålen med registret, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rätten till rättelse av oriktiga eller missvisande uppgifter enligt 24 § och rätten till skadestånd enligt 24 § personuppgiftslagen samt bevarande av uppgifter. Hänvisningen till bestämmelsen om skadestånd i lagen om recept- register ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Regeringens bedömning: Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Därmed behålls att information ska innehålla vilka uppgifter registret får innehålla, de tystnadsplikts- och säkerhetsbestämmelser som gäller för registret, de begränsningar i fråga om sökbegrepp som gäller för registret samt att registreringen inte är frivillig med undantag för ändamål enligt 6 § första stycket 2 och 8. förslag: Överensstämmer med regeringens. Utredningen föreslår en annan utformning av författnings- bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag och bedömning: I 20 § lagen om receptregister finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. sen utgör en precisering av personuppgiftslagens bestämmelser om Informationsskyldigheten i dataskyddsförordningen omfattar flera av de upplysningar som informationen enligt lagen om receptregister ska I 20 § lagen om receptregister anges dock även vissa upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförordningen, nämligen upplysning om de tystnadsplikt- och säkerhetsbestämmelser som gäller för registret, rätten till skadestånd samt de begränsningar som gäller i fråga om sökbegrepp. 2017/18:171 Det finns också vissa upplysningar som omfattas endast av antingen artikel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilka uppgifter registret får innehålla och att registreringen, med undantag för vissa ändamål, inte är frivillig. Enligt dataskyddsförordningen ska informa- tionen dessutom omfatta vissa upplysningar som inte framgår av lagen om receptregister. Bestämmelserna i lagen om receptregister som innebär att mer infor- mation än vad som krävs enligt dataskyddsförordningens reglering ska lämnas kan i enlighet med bedömningen i avsnitt 6.8.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Därmed behålls att information ska innehålla upplysningar om vilka uppgifter registret får innehålla, de tystnadsplikts- och säkerhetsbestämmelser som gäller för registret, de begränsningar i fråga om sökbegrepp som gäller för registret samt att registreringen inte är frivillig med undantag för ändamål enligt 6 § första stycket 2 och 8. Det kan inte anses innebära några särskilda svårigheter för den person- uppgiftsansvarige att uppfylla de nya kraven på information till den registrerade som föreskrivs i dataskyddsförordningen. Det finns därför enligt regeringens bedömning i avsnitt 6.8.2 inte skäl att överväga en begränsning av den registrerades rätt till information. Den personuppgiftsansvarige bör lämna såväl den information som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om receptregister. Bestämmelsen i 20 § lagen om recept- register bör därför komplettera och hänvisa till reglerna om information i dataskyddsförordningen. Hänvisningen till bestämmelsen om skadestånd i lagen om receptregi- ster, som i avsnitt 7.7.6 föreslås upphävas, bör ersättas med en hänvis- ning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom data- skyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Därmed tas bort att informationen ska innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålen med registret, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rätten till rättelse av oriktiga eller missvisande uppgifter enligt 24 § och rätten till skadestånd enligt 24 § personuppgiftslagen samt bevarande av uppgifter. Även det som anges i 20 § första stycket om att den som är person- uppgiftsansvarig ska se till att den registrerade får information om be- handlingen av personuppgifter kan tas bort, eftersom detta följer av data- skyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår av dataskyddsförordningen. Bestämmelsen om rättelse och skadestånd Regeringens förslag: Bestämmelsen i 24 § lagen om receptregister som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 24 § lagen om receptregister hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Bestämmelsen bör upphävas (se avsnitt 6.8.1 och 6.11.1). 7.8Lagen (2005:258) om läkemedelsförteckning 7.8.1Förhållandet till annan reglering Regeringens förslag: Bestämmelsen i 2 § lagen om läkemedelsför- teckning ska innehålla en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också upplysas om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om läkemedelsförteckning eller föreskrifter som har meddelats i anslutning till den lagen. huvudsakligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av över- vägandena i avsnitt 6.3. Regeringens förslag: Lagen om läkemedelsförteckning kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i EU:s dataskyddsförordning på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. förslag: Överensstämmer med Utredningen föreslår en annan utformning av författnings- Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. 2017/18:171 Skälen för regeringens förslag: Bestämmelsen i 4 § lagen om läkemedelsförteckning får anses omfatta personuppgifter som rör hälsa, dvs. känsliga personuppgifter, eftersom det oftast är sjuka personer som ordineras och förvärvar förskrivna läkemedel. För att känsliga personuppgifter ska få behandlas i läkemedelsförteck- ningen krävs det att förandet av förteckningen omfattas av undantaget i artikel 9.2 h i dataskyddsförordningen eller något annat undantag. Vad som omfattas av undantaget från förbudet att behandla känsliga person- uppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen framgår av avsnitt 6.6.4. Förandet av läkemedelsförteckningen ryms enligt regeringens mening inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regleringen är således förenlig med dataskyddsförordningen. Eftersom känsliga personuppgifter får behandlas inom tillämpningsom- rådet för lagen om läkemedelsförteckning under samma förutsättningar som andra personuppgifter, påverkar det inte regleringen i lagen att det, som anges i avsnitt 6.6.6, har tillkommit nya kategorier av känsliga personuppgifter. Som anges i avsnitt 6.6.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i lagen om läkemedelsförteckning. Personalen vid omfattas av bestämmelser om tystnadsplikt i bl.a. 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400). 7.8.3Bestämmelsen om återkallelse av samtycke upphävs Regeringens förslag: Bestämmelsen om återkallelse av samtycke i 8 § lagen om läkemedelsförteckning ska upphävas. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Den registrerade har enligt 8 § lagen om läkemedelsförteckning rätt att när som helst återkalla ett lämnat samtycke. Bestämmelsen överensstämmer med vad som anges i 12 § första stycket personuppgiftslagen. Skälet till att detta anges uttryckligen i lagen om läkemedelsförteckning är att personuppgiftslagens bestäm- melse till sin ordalydelse endast gäller behandling av personuppgifter enligt den lagen. För att bestämmelsen ska vara tillämplig även för per- sonuppgifter som behandlats enligt lagen om läkemedelsförteckning, krävs därför att det anges i den lagen. Rätten att återkalla ett lämnat samtycke följer av artikel 7.3 i data- skyddsförordningen. Eftersom den bestämmelsen är direkt tillämplig, be- höver bestämmelsen inte längre återges i lagen om läkemedelsförteck- ning för att den ska gälla inom lagens tillämpningsområde. Bestämmel- sen i 8 § lagen om läkemedelsförteckning bör därför upphävas och inte ersättas av en hänvisning till dataskyddsförordningen. Information som ska lämnas självmant Regeringens förslag: Bestämmelserna i 10 § lagen om läkemedels- förteckning kompletteras med en upplysning om att information även ska lämnas enligt EU:s dataskyddsförordning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort. Därmed tas det bort att informationen ska innehålla upplysningar om vem som är personupp- giftsansvarig, ändamålet med förteckningen, rätten till rättelse av oriktiga eller missvisande uppgifter samt vad som gäller i fråga om bevarande och gallring. Regeringens bedömning: Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Därmed behålls information om vilken typ av uppgifter som ingår i förteckningen, de tystnadsplikts- och säkerhetsbestämmelser som gäller för förteckningen, rätten att ta del av uppgifter enligt 11 § (rätt att när som helst och så fort som möjligt få viss information), rätten till skadestånd vid behandling av personuppgifter i strid med denna lag, vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling samt att registreringen inte är frivillig. förslag: Överensstämmer i allt väsentligt med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen vad gäller bl.a. information om rätten till skadestånd. Remissinstanserna: anser att förslaget i 10 § 1 stycket 5 är en upprepning av rättigheter enskilda redan har i och med data- skyddsförordningen artikel 13.2 f. Sökbegränsningen måste ju tekniskt implementeras, varför den enligt föreningen blir ett automatiskt besluts- fattande, och för direktåtkomst gäller samma resonemang. Skälen för regeringens förslag och bedömning: I 10 § lagen om läkemedelsförteckning finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen preciserar bestämmelserna om information i personupp- giftslagen. I övrigt gäller personuppgiftslagens bestämmelser i 23–27 §§ även vid behandling av personuppgifter i läkemedelsförteckningen. Dataskyddsförordningens bestämmelser om den personuppgiftsan- svariges skyldighet att lämna information till den registrerade har redo- gjorts för i avsnitt 6.8.1. Informationsskyldigheten enligt dataskyddsför- ordningen innefattar flera av de upplysningar som anges i 10 § lagen om läkemedelsregister. Bestämmelsen i lagen om läkemedelsförteckning innebär dock krav på att lämna vissa upplysningar som inte omfattas av skyldigheten i data- skyddsförordningen. Det rör sig om upplysning om de tystnadsplikts- och säkerhetsbestämmelser som gäller för förteckningen, rätten att ta del av uppgifter enligt 11 § (rätt att när som helst och så fort som möjligt få viss information, se vidare avsnitt 7.8.5), rätten till skadestånd vid be- handling av personuppgifter i strid med lagen, vad som gäller i fråga om 2017/18:171 sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling som kan behållas. Det finns också vissa upplysningar som bara omfattas av antingen artikel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilken typ av uppgifter som ingår i förteckningen och att registreringen inte är frivillig som kan behållas. Enligt dataskyddsförordningens reglering ska den personuppgiftsan- svarige även lämna viss information som inte anges i lagen om läke- medelsförteckning. De bestämmelser i lagen om läkemedelsförteckning som innebär att den personuppgiftsansvarige ska lämna ytterligare information än vad som anges i dataskyddsförordningen kan, i enlighet med regeringens be- dömning i avsnitt 6.8.1 och enligt ovan i detta avsnitt kan därmed be- hållas. Att uppfylla dataskyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den personuppgifts- ansvarige. Det finns därför enligt regeringens bedömning i avsnitt 6.8.2 inte skäl att överväga en begränsning av den registrerades rätt till infor- mation. Den personuppgiftsansvarige bör därför lämna både den information som följer av dataskyddsförordningen och lagen om läkemedelsförteck- ning. Bestämmelsen i 10 § lagen om läkemedelsförteckning bör därför, på det sätt som anges i avsnitt 6.8.1, komplettera och hänvisa till reglerna om information i dataskyddsförordningen. Vad gäller den information som ska lämnas om rätten till skadestånd anser regeringen att bestämmelsen bör utformas på samma sätt som övriga bestämmelser av detta slag som föreslås i denna proposition, t.ex. den föreslagna 20 § första stycket 3 lagen om receptregister. De krav som innebär att informationen ska innehålla sådana upplys- ningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Därmed tas bort att informationen ska innehålla upplysningar om vem som är personuppgiftsansvarig, ändamålet med förteckningen, rätten till rättelse av oriktiga eller missvisande uppgifter samt vad som gäller i fråga om bevarande och gallring. Även det som anges i 10 § om att den personuppgiftsansvarige ska se till att den registrerade får information om läkemedelsförteckningen kan tas bort eftersom detta följer av dataskyddsförordningen och den före- slagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår dataskyddsförordningen. Regeringen delar inte Dataskydd.nets bedömning att sökbegränsningar och direktåtkomst blir automatiskt beslutsfattande genom teknisk im- plementering, och att den föreslagna 10 § första stycket 5 därför skulle ingå i den personuppgiftsansvariges informationsskyldighet enligt artikel 13.2 dataskyddsförordningen. Information som ska lämnas på begäran Regeringens förslag: Hänvisningen till personuppgiftslagens bestäm- melse om information som ska lämnas på begäran av den registrerade i 11 § lagen om läkemedelsförteckning ska ersättas av en hänvisning till motsvarande bestämmelse i EU:s dataskyddsförordning. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Den registrerade har enligt 11 § lagen om läkemedelsförteckning rätt att när som helst och så fort som möjligt få sådan information som avses i 26 § personuppgiftslagen. I förarbetena (prop. 2004/05:70 s. 36 f.) anförs att det är inte lämpligt att begränsa den personuppgiftsansvariges uppgiftsskyldighet så att den registrerade endast har rätt att få ett registerutdrag en gång per kalenderår (som anges i personuppgiftslagen). Dataskyddsförordningen innehåller inte någon bestämmelse om att registerutdrag endast ska lämnas en gång . Däremot anges i skäl 63 i dataskyddsförordningen att den registrerade ska ha rätt till tillgång till personuppgifter som har samlats in om denne med rimliga intervall. Frågan är om dataskyddsförordningens reglering är tillräcklig för att tillgodose det behov av tillgång till uppgifter som den registrerade bedömts ha. Det är i och för sig rimligt att anta att bedömningen av vad som är ett rimligt intervall enligt lagen om läkemedelsförteckning, mot bakgrund av uttalandena i förarbetena, skulle resultera i att registerutdrag lämnas ut oftare än enligt andra författningar. För att inte riskera att den registrerades rätt till tillgång försämras gör dock Socialdataskyddsutred- ningen den bedömningen att bestämmelsen i 11 § bör vara kvar. Regeringen instämmer i bedömningen. Bestämmelsen i 11 § innebär en utvidgning av den registrerades rätt till tillgång enligt dataskyddsförordningen. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen (avsnitt 6.1). Bestämmelsen kan därför inte anses strida mot dataskyddsförord- ningen. Bestämmelsen behöver dock omarbetas, eftersom personuppgiftslagen kommer att upphöra att gälla. Med undantag för hur ofta registerutdrag ska lämnas bör dataskyddsförordningens reglering av tillgång till infor- mation i artikel 15 gälla vid tillämpningen av lagen om läkemedelsför- teckning. Detta eftersom det inte heller när det gäller dessa bestämmelser har framkommit några särskilda svårigheter för den personuppgiftsan- svarige att uppfylla de nya kraven som anges där. I stället för att hänvisa till personuppgiftslagens bestämmelse om registerutdrag bör 11 § lagen om läkemedelsförteckning därför hänvisa till artikel 15 i dataskyddsför- ordningen. Hänvisningen bör vara dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom artikel 15 är direkt tillämp- lig. 2017/18:171 7.8.6 Bestämmelsen om rättelse och skadestånd Regeringens förslag: Bestämmelsen i 13 § lagen om läkemedelsför- teckning som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: I 13 § lagen om läkemedelsförteck- ning finns en hänvisning till personuppgiftslagens bestämmelser om rättelse och skadestånd. Bestämmelsen bör upphävas (avsnitt 6.8.1 och 6.11.1). 7.9Lagen (1998:543) om hälsodataregister 7.9.1Förhållandet till annan reglering Regeringens förslag: Bestämmelsen i 2 § lagen om hälsodataregister ska innehålla en upplysning om att författningen kompletterar EU:s dataskyddsförordning. Det ska också anges att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om hälsodataregister eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av över- vägandena i avsnitt 6.3. 7.9.2Bestämmelsen om rättelse och skadestånd upphävs Regeringens förslag: Bestämmelserna i 11 § lagen om hälsodataregi- ster som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: I 11 § lagen om hälsodataregister Prop. 2017/18:171 finns en hänvisning till personuppgiftslagens bestämmelser om rättelse Bestämmelsen bör upphävas (avsnitt 6.8.1 och 6.11.1). 7.10Lagen (2012:453) om register över nationella vaccinationsprogram 7.10.1Förhållandet till annan reglering Regeringens förslag: Bestämmelsen i 3 § lagen om register över nationella vaccinationsprogram ska innehålla en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om register över nationella vaccinationsprogram eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 3 § lagen om register över nationella vaccinationsprogram om förhållandet till annan lagstift- ning bör utformas på det sätt som framgår av övervägandena i avsnitt 6.3. 7.10.2Ändrad hänvisning i fråga om finalitetsprincipen Regeringens förslag: Hänvisningen till personuppgiftslagens bestäm- melse om finalitetsprincipen i 6 § andra stycket andra meningen lagen om register över nationella vaccinationsprogram tas bort. I stället in- förs en bestämmelse där det anges att personuppgifter som behandlas får behandlas även för andra ändamål, under förutsättning att uppgift- erna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag: Överensstämmer huvudsak- ligen med regeringens. Utredningen föreslår en annan formulering av be- Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Övriga synpunkter, se Skälen för regeringens förslag: I 6 § andra stycket lagen om register över nationella vaccinationsprogram anges också att 9 § första stycket d och andra stycket personuppgiftslagen (finalitetsprincipen) gäller. visningen syftar till att klargöra att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in. 2017/18:171 vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Eftersom personuppgiftslagen kommer att upphävas, måste hänvisningen till bestämmelsen om finalitetsprincipen i den lagen ändras. Det bör ske i enlighet med vad som redovisas i avsnitt 6.5.3. 7.10.3Bestämmelsen om rättelse och skadestånd upphävs Regeringens förslag: Bestämmelsen i 12 § lagen om register över nationella vaccinationsprogram, som hänvisar till personuppgifts- lagens bestämmelser om rättelse och skadestånd, upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Enligt 12 § lagen om register över nationella vaccinationsprogram ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt lagen om register över nationella vaccinationsprogram eller föreskrifter som har meddelats i anslutning till lagen. Bestämmelsen bör upphävas (avsnitt 6.8.1 och 6.11.1). 7.10.4Information som ska lämnas självmant