prop · H503171 · 2018-03-19 00:00:00 — som kan tillåtas enligt någon av de möjligheter till nationellt grundade undantag som finns i artikel 9.2 a–j synes inte förenligt med intresset av att skydda den personliga integriteten. När det gäller behandling som sker med stöd av någon av de rättsliga grunderna fullgörande av rättslig förpliktelse och utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning framgår det dessutom av artikel 6.2 och 6.3 att medlemsstaterna får ha särskilda bestämmelser om bl.a. Prop. 2017/18:171 vilken typ av uppgifter som ska behandlas. anser att det därför är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen som kräver nationell lagstiftning. Regeringen instämmer i Socialdataskydds- utredningens bedömning. Det är möjligt att behålla sökbegränsningar och andra skyddsåtgärder som avser känsliga personuppgifter och att tillåta behandling av bara vissa kategorier av känsliga personuppgifter. 6.6.2Undantag vid fullgörande av skyldigheter och rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd I artikel 9.2 b i dataskyddsförordningen anges att känsliga personupp- gifter får behandlas om behandlingen är nödvändig för att den person- uppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldig- heter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grund- läggande rättigheter och intressen fastställs. Områdena social trygghet respektive socialt skydd är nya i förhållande till artikel 8.2 b i dataskyddsdirektivet, och det framgår inte av artikeln eller av skälen i dataskyddsförordningen vad områdena är avsedda att omfatta. Begreppet social trygghet antyder att socialförsäkringen är tänkt att vara en del av området. gör bedömningen att avsikten sannolikt är att reglera behandling som är nödvändig för att arbetsgivare och arbetsgivar- eller arbetstagarorganisationer ska kunna erbjuda eller förmedla pen- sioner och försäkringar med anknytning till den registrerades anställning eller yrkesliv, såsom tjänstepensioner och olika typer av gruppförsäk- ringar. Denna bedömning görs mot bakgrund av det sammanhang där begreppen social trygghet och socialt skydd förekommer – att artikeln i övrigt avser skyldigheter och rättigheter inom arbetsrätten (SOU 2017:39 s. 169 f.). har inte anledning att göra en annan bedömning än den gör. I propositionen Ny dataskyddslag föreslår regeringen i 3 kap. 2 § att känsliga personuppgifter får behandlas med stöd av artikel 9.2 b i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den person- uppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldig- heter och utöva sina särskilda rättigheter inom arbetsrätten och inom om- rådena social trygghet och socialt skydd. Personuppgifter som behandlas får lämnas ut till tredje part endast om det inom arbetsrätten eller inom områdena social trygghet och socialt skydd finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryck- ligen har samtyckt till utlämnandet (prop. 2017/18:105 s. 77 f.). 2017/18:171 6.6.3 Undantag för viktiga allmänna intressen Regeringens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är förenliga med artikel i EU:s data- skyddsförordning och kan och bör behållas. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att det inte är förenligt med dataskyddsförord- ningen att förutsätta att proportionalitetsbedömningar har gjorts. Det är inte heller förenligt med dataskyddsförordningen att förutsätta att be- handlingen är nödvändig av hänsyn till ett allmänt intresse och att kraven i artikel 9 för undantag till förbudet att behandla känsliga personuppgifter är uppfyllda. Vissa av undantagen, exempelvis en behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse i artikel , kräver stöd i unionsrätten eller medlemsstaternas nationella rätt. Unionsrätten eller medlemsstaternas nationella rätt ska då stå i proportion till det efter- strävade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åt- gärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I det fortsatta lagstiftningsarbetet måste de analyser som krävs enligt artikel 9 göras, och det måste säkerställas att den nationella regleringen som föreslås innehåller bestämmelser om lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. anser att det är önskvärt med förtydliganden vad gäller olika registerförfattningarnas förenlighet med kraven på proportionalitet i artikel 6.3 andra stycket sista meningen och kraven i skäl 41 i data- skyddsförordningen. En behandling av känsliga personuppgifter måste ha en rättslig grund i artikel 6 i dataskyddsförordningen. Om medlemsstater reglerar detta i nationell rätt med stöd av artikel 6.1 c eller e måste en sådan reglering uppfylla kraven i artikel 6.2 och 6.3 i dataskyddsförord- ningen. Av särskild vikt är då kravet på proportionalitet men även skäl 41 måste beaktas. () anser att även om vilar på ett grundläggande krav på proportionalitet är det olyckligt att utred- ningen inte presenterar någon närmare bedömning av om de bestämmel- ser i särskilda registerförfattningar som tillåter behandling av känsliga personuppgifter med hänsyn till viktiga allmänna intressen faktiskt står i proportion till det eftersträvade syftet. Om detta antagande skulle visa sig vara felaktigt, kan det få stor inverkan för och andra aktörer som behandlar känsliga personuppgifter med stöd av undantaget i artikel avseende viktiga allmänna intressen. Swedish Medtech anser att det inte är tillräckligt klargjort att behand- lingen av känsliga personuppgifter med stöd av artikel 8.4 i dataskydds- direktivet är förenlig med artikel i dataskyddsförordningen. vidare mycket svårt att förutse vad ett sådant antagande kan komma att Prop. 2017/18:171 innebära för . Skälen för regeringens bedömning I artikel i dataskyddsförordningen anges att känsliga personupp- gifter får behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Motsvarande bestämmelse finns i artikel 8.4 i dataskyddsdirektivet, varav framgår att medlemsstaterna får besluta om undantag från förbudet att behandla känsliga personuppgifter under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse. En reglering av ett undantag med stöd av artikel i dataskyddsför- ordningen kan ske i registerförfattningar, vilket ger möjlighet att göra lämpliga avvägningar på varje område. I propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 10.4) bedömer regeringen att det behövs en generell reglering avseende myndigheters behandling vad gäller viktigt allmänt intresse. I förslaget till 3 kap. 3 § dataskyddslag får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i EU:s dataskydds- förordning 1.om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2.om behandlingen är nödvändig för handläggningen av ett ärende, 3.i enstaka fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid tillämpningen ska andra än myndigheter jämställas med myndig- heter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i deras verksamhet. I syfte att begränsa de integritetsrisker som den generella bestäm- melsen kommer att medföra föreslås, som en ytterligare skyddsåtgärd, i 3 kap. 3 § dataskyddslagen också ett förbud att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Viktigt allmänt intresse och proportionerlig i förhållande till syftet Det finns inget som tyder på att begreppet (viktigt) allmänt intresse ska uppfattas mer restriktivt enligt dataskyddsförordningen än enligt data- skyddsdirektivet. Detta innebär att när behandling av känsliga person- uppgifter tillåtits i en registerförfattning med stöd av artikel 8.4 i data- skyddsdirektivet har det redan bedömts att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och därmed också nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskydds- direktivet. anser att det utan vidare prövning bör anses att den i registerförfattningen reglerade behandlingen kan stödjas på artikel 6.1 e i dataskyddsförordningen och, under förutsättning av pro- portionalitet och bestämmelser om skyddsåtgärder i enlighet med artikel , innefatta känsliga personuppgifter i samma utsträckning som . Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel i dataskyddsför- ordningen stå i proportion till det eftersträvade syftet. Något uttryckligt krav på proportionalitet finns inte i dataskyddsdirektivet. Det framgår dock inte av dataskyddsförordningen hur proportionalitetsbedömningen ska gå till. Datainspektionen anser att det inte är förenligt med dataskyddsförord- ningen att förutsätta att proportionalitetsbedömningar har gjorts. Regeringen anser att behandling av känsliga personuppgifter som tillåtits i en registerförfattning med stöd av artikel 8.4 i dataskydds- direktivet (dvs. under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse) alltjämt utgör ett tillåtet undantag från förbudet att behandla känsliga personuppgifter. Mot bakgrund av att de ovan återgivna bedömningarna om legalitetsprincipen och Europa- konventionen även bör tillmätas betydelse i samband med bedömning om undantaget i artikel vad gäller viktigt allmänt intresse och pro- portionalitetsbedömning, anser regeringen att det får förutsättas att för- fattningar som tillåter behandling av känsliga personuppgifter uppfyller dataskyddsförordningens krav. Förenlig med det väsentliga innehållet i rätten till dataskydd Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel i dataskydds- förordningen vara förenlig med det väsentliga innehållet i rätten till dataskydd. Något uttryckligt motsvarande krav finns inte i dataskydds- direktivet. Det framgår inte av dataskyddsförordningen vad kravet inne- bär. Utgångspunkten vid införandet av registerförfattningar har generellt varit att i författningarna bara göra de undantag i förhållande till den generella dataskyddsregleringen i personuppgiftslagen, och därmed ock- så dataskyddsdirektivet, som ansetts nödvändiga på det aktuella området. Vid införandet av registerförfattningar har också åtagandena enligt dataskyddskonvention behövt iakttas. Det är därför Social- dataskyddsutredningens bedömning att registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i data- skyddsdirektivet utan vidare prövning uppfyller det nya uttryckliga kravet på att vara förenliga med det väsentliga innehållet i rätten till data- skydd. Regeringen instämmer i bedöm- ning. Ett undantag med stöd av artikel i dataskyddsförordningen förut- sätter en reglering i nationell rätt. Regleringen ska omfatta bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Någon exemplifiering av ut- formningen av sådana åtgärder, som säkerställer den registrerades grund- Prop. 2017/18:171 läggande rättigheter och intressen, finns inte i dataskyddsförordningen. Regeringen bedömer att det kan vara fråga om olika former av skydds- åtgärder, jfr artikel 8.4 i dataskyddsdirektivet i vilket det krävs ”lämpliga skyddsåtgärder” för att göra undantag från förbudet att behandla känsliga personuppgifter. En nyhet i dataskyddsförordningen är dock att det krävs att det finns bestämmelser om sådana åtgärder i medlemsstatens nationella rätt. Registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet innehåller regelmässigt olika uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder enligt dataskyddsdirektivet. Det kan vara fråga om be- stämmelser om sökbegränsningar, restriktioner för elektronisk åtkomst, behörighetstilldelning och loggkontroll, restriktioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen osv. Mot den bakgrunden instämmer regeringen i Socialdataskyddsutred- ningens bedömning att det får anses vara så att registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet även uppfyller kravet i dataskyddsförordningen på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestämmelser som tillåter behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse finns också i författningar som i huvudsak innehåller reglering av en viss verksamhet men som i anslut- ning till den regleringen också anger vad som gäller i fråga om viss behandling av personuppgifter. När det gäller sådana författningar är det inte lika självklart att det regelmässigt finns uttryckliga bestämmelser om skyddsåtgärder. En bedömning av om sådana bestämmelser finns måste göras i dessa fall. 6.6.4Undantag för hälso- och sjukvård samt social omsorg Regeringens förslag: Registerförfattningar kompletteras med en be- stämmelse som påminner om att behandling av personuppgifter som anges i artikel 9.1 i EU:s dataskyddsförordning (känsliga personupp- gifter) får ske under förutsättning att kravet på tystnadsplikt i artikel 9.3 i förordningen är uppfyllt. Regeringens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter inom hälso- och sjuk- vård samt inom social omsorg är förenliga med EU:s dataskydds- förordning kan och bör behållas. bedömning: Överensstämmer i allt väsentligt med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Datainspektionen anser att det skyndsamt bör utredas huruvida den be- handling av personuppgifter som sker inom hälso- och sjukvård och social omsorg är förenlig med artikel 9.2 h och 9.3 i dataskyddsförord- ningen, eller om det behöver införas en lagstadgad tystnadsplikt för de personuppgiftsbiträden som inte omfattas av en sådan. delar Datainspektionens uppfattning och anser att det är av största vikt att frågan skyndsamt utreds och eventuella Kommuner och Landsting och förordar att det i patientdatalagen införs en lagstadgad tystnadsplikt för juridiska och fysiska personer som behandlar personuppgifter för vårdgivares räkning. Ett alternativ är att införa en lagstadgad tystnadsplikt för aktörer som till- handahåller e-tjänster inom hela den offentliga sektorn och som inne- fattar känsliga personuppgifter. har uppfattat att utredningen föreslår att en be- stämmelse om tystnadsplikt för den som behandlar känsliga personupp- gifter förs in i lagen om behandling av personuppgifter inom social- Enligt dataskyddsförordningen får känsliga personuppgifter endast behandlas av eller under ansvar av en tjänsteperson som omfattas Det finns ingen konsekvensbeskrivning i utredningen av vad formuleringen under ansvar av innebär. Det behövs ett förtydligande för att klargöra ansvarsförhållandet mellan myndighet och under- leverantör när en sådan behandlar känsliga personuppgifter för myndig- läns landsting befarar att underbiträden och leverantörer inom e-hälsa inte lagligen kommer att få behandla personuppgifter utan att en lagstadgad tystnadsplikt gäller för deras behandling. skyndsamt utredas om formuleringen i artikel 9.3 i dataskyddsförord- ningen innebär att det är tillräckligt att den personuppgiftsansvarige om- fattas av en lagreglerad tystnadsplikt eller om kravet även gäller person- uppgiftsbiträden som utför personuppgiftsbehandling för den personupp- Om en sådan analys skulle visa att kravet även gäller sådana personuppgiftsbiträden, måste det införas en lagstadgad tystnadsplikt för dessa biträden i berörda registerförfattningar eller på annat lämpligt sätt. Exempelvis skulle det då kunna införas en lagstadgad tystnadsplikt för juridiska och fysiska personer som behandlar person- uppgifter för vårdgivarens räkning i patientdatalagen. att privata bolag anlitas för exempelvis drift och underhåll av nationella Dessutom är det många privata aktörer som levererar it- tjänster direkt åt vårdgivarna. På så vis kan dessa privata bolag och aktörer komma att behandla stora mängder av personuppgifter i egenskap läns landsting anser att det är oklart om det är möjligt att överlåta hanteringen av känsliga personuppgifter till personuppgifts- biträden som inte omfattas av den straffrättsgrundande tystnadsplikten i offentlighets- och sekretesslagen. Det är oklart om texten ”under ansvar” innebär att det är tillräckligt att den personuppgiftsansvarige omfattas av tystnadsplikten i offentlighets- och sekretesslagen och att personuppgifts- biträden har en avtalsreglerad tystnadsplikt. En annan tolkning är att det också krävs att personuppgiftsbiträden omfattas av en reglerad tystnads- Det senare skulle få stora konsekvenser för eftersom uppdrag i stor omfattning utförs av privata företag. Om den senare Prop. 2017/18:171 tolkningen gäller krävs det att en lagreglerad tystnadsplikt införs även för privata verksamma personuppgiftsbiträden. Swedish Medtech ser en problematik i att bestämmelsen i artikel 9.3 blivit felaktigt implementerad. Dataskyddsdirektivet liksom dataskydds- förordningen kräver att den som behandlar känsliga personuppgifter omfattas av lagstadgad tystnadsplikt. Det råder en oklarhet om tillverkare av medicinteknik eller dess personal har någon i lag ålagd tystnadsplikt. Om leverantörer av medicinteknik inte anses omfattas av tystnadsplikt kan detta utgöra hinder för incidentrapportering kopplat till medicin- tekniska produkter när den nya lagen träder i kraft. Det är viktigt att möjliggöra för anställda som tillhandahåller medicinsk programvara till vården, att behandla personuppgifter även om de inte är direkt verk- samma i sjukvården. anger att tillverkare av medicintekniska produkter förlitar sig på 18 § personuppgiftslagen för behandling av känsliga personuppgifter i samband med incidentrapportering avseende medicintekniska produkter. Då motsvarande bestämmelse i artikel 9.2 h i dataskyddsförordningen förutsätter att uppgifterna behandlas av någon som omfattas av lagstadgad tystnadsplikt, och då enskilda företag som tillverkar medicintekniska produkter inte omfattas av någon sådan tystnadsplikt, innebär det en risk för hinder för incidentrapportering kopplat till medicintekniska produkter när dataskyddsförordningen ska börja tillämpas. anser att en del av författningsförslagen innebär onödiga upprepningar av artikel 9.3. Skälen för regeringens förslag och bedömning Behandling av känsliga personuppgifter får enligt artikel 9.2 h i data- skyddsförordningen ske om den är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhanda- hållande av hälso- och sjukvård, behandling, social omsorg eller förvalt- ning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälsoområdet. Motsvarande bestämmelse finns i artikel 8.3 i dataskyddsdirektivet. Där anges att känsliga person- uppgifter får behandlas när behandlingen är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller be- handling eller administration av hälso- eller sjukvård. Innebörden av kravet på att behandlingen ska vara nödvändig är dock enligt regeringens bedömning densamma i artikel 9 som i artikel 6, se propositionen Ny dataskyddslag (prop. 2017/18:105 s. 75 f.). De verksamheter som avses Några ytterligare verksamhetstyper – förebyggande yrkesmedicin, be- dömningen av en arbetstagares arbetskapacitet, social omsorg och förvaltning av social omsorg och av deras system – har lagts till i undan- taget för hälso- och sjukvård m.m. i dataskyddsförordningen, i jämförelse 2017/18:171 med regleringen i dataskyddsdirektivet. Detta är en utvidgning jämfört Vad som avses med social omsorg framgår inte av dataskyddsförord- I propositionen Ny dataskyddslag (prop. 2017/18:105 s. 93) gör regeringen bedömningen att begreppet social omsorg omfattar uppgifter som utförs inom , men att det dock i avsaknad av praxis är svårt att närmare avgränsa innebörden av begreppen. anser att social omsorg innefattar sådan verksamhet som avses i 2 § lagen (2001:454) om behandling av person- I detta sammanhang anser regeringen att det bör uppmärksammas att det finns skillnader mellan medlemsstaterna i frågan om huruvida vissa insatser t.ex. för äldre personer eller personer med funktionsnedsättning hör till insatser inom eller till vård inom hälso- och sjukvården. I vissa fall kan insatserna och vården till sitt innehåll överlappa varandra eller i vart fall vara svåra att särskilja. Begreppet social omsorg kan i förhållande till hur begreppet omsorg använts i uppfattas som snävare än vad som torde vara avsikten jämfört med dataskyddsförordningen. Den närmare EU-rättsliga inne- börden av begreppet får dock överlämnas till praxis att utveckla. Begreppet vård eller behandling har ersatts med begreppet tillhanda- hållande av hälso- och sjukvård. Skälen i dataskyddsförordningen ger inte någon ledning i frågan om huruvida någon ändring i sak är avsedd. Begreppet tillhandahållande av hälso- och sjukvård anses innefatta det som avses med vård eller behandling enligt dataskyddsdirektivet. Begreppet administration av hälso- och sjukvård har ersatts med förvaltning av hälso- och sjukvårdstjänster och deras system. I skäl 53 i dataskyddsförordningen finns det en uppräkning av vad som ska anses innefattas i detta begrepp: ”[…] behandling som utförs av förvaltningen och centrala nationella hälsovårdsmyndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvalt- ningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårds- systemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gräns- överskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med övervakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål som baseras på unionsrätten eller på medlems- staternas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet.” Mot bakgrund av den ganska omfattande uppräkningen synes i vart fall det som innefattades i begreppet administration av hälso- och sjukvård