prop · H503171 · 2018-03-19 00:00:00 — Regleringen är således förenlig med dataskyddsförordningen. Som anges i avsnitt 6.6.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Regeringen instämmer i den bedömning gör att den nationella regleringen blir tydligare om kravet framgår också av berörda registerförfattningar. Personalen vid och E- hälsomyndigheten omfattas av bestämmelser om tystnadsplikt enligt bl.a. 25 kap. 1 § respektive 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400). Bestämmelsen om rättelse och skadestånd Regeringens förslag: Bestämmelsen i 20 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upp- hävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 20 § lagen om be- handling av personuppgifter i ärenden om licens för läkemedel hänvisar till personuppgiftslagensbestämmelser om rättelse och skadestånd. Be- stämmelsen bör upphävas (se avsnitt 6.8.1 och 6.11.1). 7.3.5Information som ska lämnas självmant Regeringens förslag: Bestämmelserna i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kompletteras med en upplysning om att information även ska lämnas enligt EU:s data- skyddsförordning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort. Därmed tas det bort att informa- tionen ska innehålla upplysningar om vem som är personuppgifts- ansvarig, ändamålen med behandlingen, rätten att ta del av uppgifterna enligt 26 § personuppgiftslagen, rätten till rättelse av oriktiga eller missvisande uppgifter och till skadestånd vid behandling av personuppgifter i strid med denna lag samt vad som gäller i fråga om gallring. Hänvisningen till bestämmelsen om skadestånd i lagen om behand- ling av personuppgifter i ärenden om licens för läkemedel ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Regeringens bedömning: Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. förslag: Överensstämmer med regeringens. Utredningen föreslår en annan utformning av författnings- bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag och bedömning: I 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel regleras vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen är en precisering av de bestämmelser om information som finns i personuppgiftslagen. I övrigt gäller personupp- giftslagens bestämmelser om information i 23–27 §§ vid behandling som 2017/18:171 sker enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Regeringen har i avsnitt 6.8.1 redogjort för dataskyddsförordningens reglering av den personuppgiftsansvariges skyldighet att lämna informa- tion till den registrerade. Informationsskyldigheten enligt dataskyddsför- ordningen omfattar flera av de upplysningar som den personuppgifts- ansvarige ska ta med i informationen enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i lagen om behandling av personuppgifter i ärenden om licens för läkemedel omfattar dock även upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförordningen, nämligen upp- lysning om den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd samt vad som gäller i fråga om sök- begränsningar. Enligt dataskyddsförordningen ska informationen vidare omfatta vissa upplysningar som inte framgår av lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelserna i lagen om behandling av personuppgifter i ärenden om licens för läkemedel som innebär att mer information ska lämnas än vad som krävs enligt dataskyddsförordningens reglering kan, i enlighet med bedömningen i avsnitt 6.8.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Det kan inte anses innebära några särskilda svårigheter för den person- uppgiftsansvarige att uppfylla de nya kraven på information till den registrerade som föreskrivs i dataskyddsförordningen. Det saknas därför, som anges i avsnitt 6.8.2, skäl att överväga en begränsning av den regi- strerades rätt till information. Den personuppgiftsansvarige bör lämna såväl den information som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel bör på sätt som anges i avsnitt 6.8.1 komplettera och hänvisa till dataskyddsförordningens reglering. Hänvisningen till bestämmelsen om skadestånd i lagen om behandling av personuppgifter i ärenden om licens för läkemedel, som regeringen i avsnitt 7.3.4 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och data- skyddslagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Även det som anges i 21 § första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige också ska lämna viss ytterligare information ut- över vad som framgår av dataskyddsförordningen. Lagen (2001:454) om behandling av Regeringens förslag: I lagen om behandling av personuppgifter inom införs en bestämmelse om att lagen inte ska tillämpas vid behandling av personuppgifter som avses i den ursprungliga lydelsen av artikel 2.2 d i EU:s dataskyddsförordning. förslag: Överensstämmer delvis med Utredningen föreslår att lagen inte tillämpas vid behandling av personuppgifter som utförs av behöriga myndigheter för syften som anges i 1 kap. 2 § brottsdatalagen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Datainspektionen framför att inom finns det delar av verksamheten som utgör verkställighet av påföljder inom rättsväsendet. Den personuppgiftsbehandling som utförs för dessa ändamål omfattas inte av dataskyddsförordningen utan i stället av ett direktiv, som i har föreslagits implementeras genom en brottsdatalag. anser att det behöver tydliggöras hur den föreslagna brottsdatalagens bestämmelser förhåller sig till regleringen i lagen om behandling av personuppgifter inom samt till t.ex. bestäm- melser om dokumentation och gallring i socialtjänstlagen. det är möjligt är det önskvärt att socialnämnderna kan ha en samman- hållen reglering för all verksamhet. Skälen för regeringens förslag: Viss verksamhet som anges i 2 § lagen om behandling av personuppgifter inom innebär verkställighet av påföljder. Som exempel kan nämnas att en domstol överlämnar någon som har dömts för brott till vård enligt lagen (1988:870) om vård av missbrukare i vissa fall. ungdomstjänst utgör påföljder som verkställs inom . Detsamma gäller den verksamhet som bedrivs av Statens institutions- styrelse i fråga om verkställighet av sluten ungdomsvård. I de fall det är fråga om behandling av personuppgifter inom social- tjänsten som utförs av behöriga myndigheter för syften som anges i artikel 2.2 d i dataskyddsförordningen kommer inte dataskyddsförord- ningen att vara tillämplig, se avsnitten 5.1 och 6.3. I lagrådsremissen föreslogs att lagen om behandling av personuppgifter inom inte tillämpas vid behandling av personuppgifter som utförs av behöriga myndigheter för syften som anges i brottsdatalagen. Lagrådet framför att eftersom någon lagrådsremiss med förslag till brottsdatalag ännu inte föreligger kan Lagrådet inte ta ställning till för- Regeringen anser att förslaget till ändring i lagen om behandling av personuppgifter inom i stället lämpligen kan utformas på ett sätt som anknyter till det materiella tillämpningsområdet för data- Av artikel 2.2 d i dataskyddsförordningen följer att förordningen inte ska tillämpas på behandling av personuppgifter som 2017/18:171 behöriga myndigheter utför i syfte att bl.a. förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Regeringen föreslår därför att det i 1 kap. 3 § lagen om behandling av personuppgifter inom införs en bestämmelse om att lagen inte tillämpas vid behandling av personuppgifter som avses i artikel 2.2 d i dataskyddsförordning. Liksom i övergångsbestämmelserna i förslaget till dataskyddslag, se propositionen Ny dataskyddslag (prop. 2017/18:105), bör det framgå att det är artikel 2.2 d i den ursprungliga lydelsen som avses, dvs. en statisk hänvisning. I annat fall kan en fram- tida ändring av artikel 2.2 d få till följd att viss behandling personupp- giftsbehandling, , inte kommer att omfattas av någon författning alls. Behandling av personuppgifter som avses i artikel 2.2 d i dataskydds- förordningen kommer därmed inte att omfattas av lagen om behandling av personuppgifter inom utan av den kommande brotts- datalag som föreslås träda i kraft . I verksamheter som bedriver socialtjänst bedöms regleringen i den föreslagna brottsdatalagen främst komma att aktualiseras vid behandling av personuppgifter som rör verkställigheten av påföljder. Det kan t.ex. handla om olika beslut om tvångsvård och om tvångsåtgärder som vidtas därvid. När det gäller behandling av personuppgifter för syften omfattas sådan personuppgiftsbehandling inte av den föreslagna brotts- datalagen. Personuppgiftsbehandlingen regleras i stället av dataskydds- förordningens reglering och av de kompletterande bestämmelserna som finns i dataskyddslagen och den sektorsspecifika lagen om behandling av personuppgifter inom . Den omständigheten att t.ex. tvångsvård avser såväl verkställigheten av påföljder som socialtjänst medför att det kan förekomma fall där det finn vissa svårigheter att av- göra vilken rättslig reglering som ska tillämpas. För det fall fråga uppkommer om vilken lag som är tillämplig kan vägledning hämtas i lagrådsremissen (och den kommande propositionen) Brottsdatalag och delbetänkandet SOU 2017:29. Har behandlingen flera syften kan de olika regelverken vara tillämpliga parallellt. 7.4.2Förhållandet till annan reglering Regeringens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter inom ska innehålla en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också anges att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om behandling av personuppgifter inom eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 4 § lagen om be- Prop. 2017/18:171 handling av personuppgifter inom , om förhållandet till annan lagstiftning, bör utformas på det sätt som framgår av övervägan- dena i avsnitt 6.3. Regeringens förslag: Bestämmelsen i 7 § första stycket 2 lagen om behandling av personuppgifter inom , som tillåter be- handling av känsliga personuppgifter, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i EU:s dataskydds- förordning. Lagen om behandling av personuppgifter inom kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. förslag: Överensstämmer i allt väsentligt med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen om påminnelse om kravet på tystnadsplikt. Utredningen föreslår att det i nuvarande 7 a § förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse med artikel 9. Det är inte förenligt med dataskyddsförordningen att förutsätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. utgångspunkten att alla verksamheter som har tillåtits att behandla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. har uppfattat att utredningen föreslår att en be- stämmelse om tystnadsplikt för den som behandlar känsliga person- uppgifter förs in i lagen om behandling av personuppgifter inom social- Enligt dataskyddsförordningen får känsliga personuppgifter endast behandlas av eller under ansvar av en tjänsteperson som omfattas Det finns ingen konsekvensbeskrivning i utredningen av vad formuleringen under ansvar av innebär. Det behöv ett förtydligande för att klargöra ansvarsförhållandet mellan myndighet och underleveran- tör när en sådan behandlar känsliga personuppgifter för myndighetens Skälen för regeringens förslag: Som anges i avsnitt 6.6.4 är bedöm- ningen att undantaget avseende hälso- och sjukvård samt social omsorg i artikel 9.2 h i dataskyddsförordningen innefattar sådan verksamhet som avses i 2 § lagen om behandling av personuppgifter inom . 2017/18:171 Bestämmelsen som tillåter behandling av känsliga personuppgifter inom tillämpningsområdet för lagen om behandling av personuppgifter inom bedöms därmed förenlig med dataskyddsförordningen och kan och bör behållas. Som också anges i avsnitt 6.6.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i lagen om behandling av personuppgifter inom . Tystnads- plikt gäller redan inom enligt 26 kap. offentlighets- och sekretesslagen (2009:400), 15 kap. socialtjänstlagen (2001:453) och 29 § lagen (1993:387) om stöd och service till vissa funktionshindrade. Begränsningarna av vilka känsliga personuppgifter som får behandlas enligt 7 § andra stycket och 7 a § lagen om behandling av personupp- gifter inom får anses utgöra skyddsåtgärder enligt data- skyddsförordningen. Sådana bestämmelser är tillåtna med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller behandling som grun- dar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i dataskyddsförordningen. Sökbegränsningarna behöver därmed, i enlighet med vad som anges i avsnitt 6.9.2, inte ändras med anledning av dataskyddsförordningen. Dataskyddsförordningen innehåller nya kategorier av känsliga person- uppgifter – genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. anser att bestämmelsen som tillåter be- handling av känsliga personuppgifter i lagen om behandling av person- uppgifter inom i enlighet med utredningens bedömning även bör omfatta de nya kategorierna av känsliga personuppgifter. Som anges i avsnitt 6.6.6 anser också regeringen att bestämmelser i särskilda registerförfattningar på område som tillåter be- handling av alla kategorier av känsliga personuppgifter enligt nuvarande definition bör avse också de nya kategorier av känsliga personuppgifter som tillkommer med dataskyddsförordningen. De nya kategorierna av känsliga personuppgifter får endast behandlas under de förutsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförordningen. Det bör tillmätas betydelse att de nytillkomna kategorierna också bör omfattas av begränsningarna av behandling av känsliga personuppgifter i 7 § andra stycket, dvs. att uppgifterna får endast behandlas om dessa har lämnats i ett ärende eller är nödvändiga för verksamheten. Vidare att dessa inte får tas in i en sammanställning av personuppgifter enligt 7 a § lagen om behandling av personuppgifter inom . I 7 § första stycket 2 lagen om behandling av personuppgifter inom bör därför hänvisas till samtliga kategorier av uppgifter som anges i artikel 9.1 i dataskyddsförordningen. Till skillnad från anser regeringen inte att det i nuvarande 7 a § behöver förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2. Bestämmelsen om rättelse och skadestånd Regeringens förslag: Bestämmelsen i 9 § lagen om behandling av personuppgifter inom som hänvisar till personuppgifts- lagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Enligt 9 § lagen om behandling av personuppgifter inom ska personuppgiftslagens bestäm- melser om rättelse och skadestånd gälla vid behandling av personupp- gifter enligt lagen om behandling av personuppgifter inom . Bestämmelsen bör upphävas (se avsnitt 6.8.1 och 6.11.1). 7.4.5Bestämmelsen om överklagande upphävs Regeringens förslag: Bestämmelsen om överklagande i 10 § lagen om behandling av personuppgifter inom upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Beslut inom om rättelse och om avslag på ansökan om information enligt 26 § person- uppgiftslagen får enligt 10 § första stycket lagen om behandling av personuppgifter inom överklagas hos allmän förvaltnings- domstol. Andra beslut enligt lagen om behandling av personuppgifter inom får däremot inte överklagas. Av 10 § andra stycket framgår att prövningstillstånd krävs vid överklagande till kammarrätten. I avsnitt 6.12 har regeringen gjort bedömningen att det inte finns skäl att reglera möjligheten att överklaga i registerförfattningar på annat sätt än i enlighet med vad som följer av den förslagna dataskyddslagen. Det har inte framkommit några särskilda skäl som motiverar att möjligheten att överklaga beslut inom ska vara mer omfattande än vad som gäller i övriga verksamheter. Regeringen gör därför bedömningen att bestämmelserna om överklagande i den föreslagna dataskyddslagen bör gälla även inom tillämpningsområdet för lagen om behandling av personuppgifter inom . Bestämmelsen i 10 § lagen om behandling av personuppgifter inom bör därför upphävas. 2017/18:171 7.5 Bestämmelsen om tillämpningsområdet behålls Regeringens förslag: Definitionen av socialförsäkringen administra- tion placeras i 114 kap. 2 § första stycket socialförsäkringsbalken. Regeringens bedömning: Inga förändringar krävs av bestämmelsen om tillämpningsområdet i 114 kap. 2 § socialförsäkringsbalken. bedömning: Överensstämmer med regeringens bedömning. Utredningen föreslår en annan placering av definitionen av socialförsäkringens administration. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. anser att bestämmelsen inte behövs eftersom personuppgiftsbehandling regleras direkt av dataskyddsförordningen. Skälen för regeringens bedömning: Bestämmelsen bör inte ändras vad avser bestämmelsens tillämpningsområde av de skäl som anges i avsnitt 6.2. Med anledning av Lagrådets synpunkter föreslår regeringen att bestämmelsen med definitionen av socialförsäkringens administration placeras sist i 114 kap. 2 § första stycket, se avsnitt 7.5.4. 7.5.2Rätten att invända mot behandling av personuppgifter Regeringens bedömning: Bestämmelsen i 114 kap. 3 § socialförsäk- ringsbalken bör även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. ställer sig principiellt tveksam till inskränk- ningar av de rättigheter som gäller enligt dataskyddsförordningen eftersom sådana inskränkningar riskerar att urholka det skydd för integriteten som förordningen är avsedd att ge. Sådana inskränkningar ska inte göras generellt utan först efter noggranna överväganden i varje enskilt fall. 114 kap. 3 § socialförsäkringsbalken innebär en begränsning av rätten att invända mot behandling. anser att bestämmelsen bör kunna upphävas, eftersom behovet av dessa inskränk- ningar inte väger tyngre än de registrerades intresse av att rättigheterna inte inskränks. Skälen för regeringens bedömning: Enligt 114 kap. 3 § socialförsäk- ringsbalken får sådan behandling av personuppgifter som är tillåten enligt det kapitlet utföras även om den registrerade motsätter sig behand- lingen. Den registrerade har enligt dataskyddsförordningen rätt att invända mot behandling av personuppgifter, under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning (se vidare avsnitt 6.8.1). Den behandling som omfattas av tillämpningsområdet för 114 kap. socialförsäkringsbalken är till största delen sådan behandling. Bestämmelsen i 114 kap. 3 § socialför- säkringsbalken utgör en begränsning av rätten att göra invändningar mot behandling av personuppgifter i artikel 21 i dataskyddsförordningen. En sådan bestämmelse förutsätter, i enlighet med vad som framgår av avsnitt 6.8.2, att de villkor som anges i artikel 23 i dataskyddsförordningen är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkt e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet”. Regeringen anser att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskyddsförord- ningen. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i dataskyddsförordningen är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. och , som administrerar socialförsäkring och pensioner, behandlar personuppgifter helt eller delvis automatiserat. Elektroniska ärendehanteringssystem ut- gör en integrerad del av myndigheternas handläggning av ärenden, och systemen har tagits fram i syfte att främja såväl effektivitet som rätts- säkerhet som integritetsaspekter beaktats. Rätten till förmåner enligt socialförsäkringsbalken är i och för sig inte beroende av myndig- heternas möjlighet att behandla personuppgifter automatiserat, men en möjlighet för den registrerade att invända mot den normala hanteringen skulle påtagligt försvåra arbetet för myndigheterna. En delvis hantering skulle minska effektiviteten, öka kostnaderna och riskera en negativ påverkan på objektivitet och likabehandling.