prop · H503171 · 2018-03-19 00:00:00 — Eftersom uppräkningen av verksamheter inte har inskränkts utan utvid- gats i förhållande till dataskyddsdirektivets reglering, är tidigare bedöm- ningar av vilka verksamheter det är tillåtet att göra undantag för fort- I förarbeten till läkemedelslagstiftningen har det ansetts rimligt att inte ge bestämmelsen i 18 § första stycket personupp- giftslagen, som innehåller samma uppräkning som i dataskyddsdirektivet, en alltför snäv räckvidd varvid det har angetts att även aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas (prop. 2005/06:70 s. 44). Formuleringen i dataskyddsdirektivet om att behandlingen ska vara nödvändig med hänsyn till de i artikeln uppräknade verksamheterna har i artikel 9.2 h i dataskyddsförordningen ersatts med att behandlingen ska vara nödvändig av skäl som hör samman med dessa verksamheter. Av skäl 53 i dataskyddsförordningen framgår att avsikten är att harmonisera villkoren för behandling av uppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen utförs för vissa hälso- relaterade syften. Den ändrade formuleringen tydliggör att behandlingen måste ske för ändamål som hör samman med någon av dessa verksam- heter. Regeringen framför i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 75) bl.a. att det, som också på- pekar, inte är helt klart vilken innebörd hänvisningarna till och kraven på unionsrätten och den nationella rätten har eller vilken betydelse det har att de utformats på olika sätt. Enligt regeringens mening är det dock upp- enbart att det vid behandling av känsliga personuppgifter i de situationer som beskrivs i nämnda bestämmelser krävs ett annat stöd i rättsord- ningen, utöver det som dataskyddsförordningen ger. De särskilda krav som i respektive punkt ställs på det rättsliga stödet för behandlingen måste nämligen vara uppfyllda för att undantagen i artikel 9.2 ska vara tillämpliga. Dessa krav går utöver de som ställs på rättslig grund enligt artikel 6 i dataskyddsförordningen. Tröskeln för att den personuppgifts- ansvarige ska få behandla känsliga personuppgifter är således högre än den som gäller för behandling av andra personuppgifter i samma situa- tion. Detta innebär dock inte att undantagen i sig måste genomföras i svensk rätt för att vara tillämpliga. Den aktuella verksamheten ska utföras på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverk- samma på hälsoområdet. Denna förutsättning är enligt regeringens be- dömning i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 94) uppfylld så snart verksamheten bedrivs i enlighet med verksamhetslag- stiftningen på de aktuella områdena, t.ex. hälso- och sjukvårdslagen, socialtjänstlagen och andra relevanta författningar. Det är i dessa författ- ningar som den personuppgiftsansvarige finner den rättsliga grunden för att överhuvudtaget få behandla personuppgifter utan den registrerades samtycke. En ytterligare förutsättning för att behandling av känsliga personupp- gifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten med stöd av undantaget i artikel 9.2 h i dataskyddsförordningen är att uppgifterna enligt artikel 9.3 i dataskyddsförordningen behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt. Datainspektionen anser att det skyndsamt bör utredas huruvida den behandling av personuppgifter som sker inom hälso-och sjukvård och social omsorg är förenlig med artikel 9.2 h och 9.3 i dataskydds- 2017/18:171 förordningen, eller om det behöver införas en lagstadgad tystnadsplikt för de personuppgiftsbiträden som inte omfattas av en sådan. I en hemställan ifrågasätter Datainspektionen det rimliga i att avvakta avgöranden från Europeiska unionens domstol för att få en uttolkning av Att det finns en i nationell rätt reglerad tystnadsplikt som uppfyller kravet i artikel 9.3 måste vara en fråga för lagstiftaren. Formuleringen i artikel 9.3 att uppgifterna ska behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt skulle kunna tolkas så att det är tillräckligt att den personuppgiftsansvarige omfattas av en lagreglerad tystnadsplikt. Gränsen för personuppgiftsansvaret och ansvaret för sekretess skiljer sig emellertid åt, vilket bl.a. framgår av JO:s beslut från , dnr 3032–2011. beslutet att utlämnande av journaluppgifter till ett personuppgiftsbiträde eller personal hos biträdet ska prövas på vanligt sätt enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL. JO:s bedömning i ärendet var att vårdgivaren i det fallet inte hade rättsligt stöd för att lämna ut sekretessbelagda uppgifter om patienter då mottagaren endast omfattades av en avtalsreglerad tystnadsplikt. Efter JO:s beslut uppstod en debatt om myndigheters möjlighet att anlita personuppgiftsbiträde om det innebär att sekretessbelagda uppgifter lämnas ut. Frågan har utretts av Pensions- myndigheten i regeringsuppdraget Molntjänster i staten En ny generation av outsourcing, avsnitt 11.5 och bilaga 1 Juridisk analys av myndigheters informationshantering i molnet. rapporten, på samma sätt som JO, att offentlighets- och sekretesslagens bestämmelser kan hindra myndigheter från att lämna ut vissa typer av sekretessbelagda uppgifter till privata it-leverantörer eftersom det saknas straffrättsligt sanktionerade tystnadsplikter för anställda hos sådana Det handlar t.ex. om uppgifter av särskilt integritetskänsligt slag som rör enskilda och som inte bedöms kunna lämnas ut ens om leverantören och dess anställda ingår en avtalsrättslig tystnadspliktsför- Bland förslag till regeringen finns förslaget att regeringen låter utreda närmare om det är lämpligt och ändamålsenligt att införa en lagreglerad och straffsanktionerad tystnads- plikt för privata leverantörer av it-tjänster (dnr Ju2017/06035/L6). framför bl.a. följande. Inera hanterar känsliga personupp- gifter, patientuppgifter, i stor omfattning som personuppgiftsbiträde. fråga är om Inera också får behandla personuppgifter på samma grunder som yrkesutövare inom hälso- och sjukvården. Inera är ingen vårdgivare. Inera är ett kommunalt bolag som ägs av samt landets även av alla kommuner. Landsting och kommuner kommer att ha ett rättsligt bestämmande in- flytande över Ineras verksamhet, varför Inera ska betraktas som myndig- het i OSL:s mening (jfr 2 kap. 3 § OSL). Det innebär att Inera åberopar det led i artikel 9.3 som berör tystnadsplikt för annan person som be- handlar känsliga personuppgifter för bl.a. hälso- och sjukvårdsändamål. första hand kan sekretess råda i Ineras verksamhet enligt 40 kap. 5 OSL, men också 21 kap. 1 § OSL kan bli tillämplig. sig så att Inera anlitar ett flertal privata bolag för drift och underhåll av de nationella e-tjänster som bolaget förvaltar. Inom vårdområdet är det vidare många privata aktörer som levererar it-tjänster direkt åt vårdgivare och på så sätt behandlar stora mängder personuppgifter i egenskap av Med anledning av kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen för att få behandla personuppgifter inom vårdområdet, hyser Inera allvarliga farhågor att bolagets under- biträden samt leverantörer inom eHälsa inte får lagligen behandla person- uppgifterna utan att en lagstadgad tystnadsplikt gäller för deras behand- ling. Inera förordar att det i patientdatalagen införs en lagstadgad tyst- nadsplikt för juridiska och fysiska personer som behandlar personupp- gifter för vårdgivares räkning. Ett alternativ är att införa en lagstadgad tystnadsplikt för aktörer som tillhandahåller sådana e-tjänster inom hela den offentliga sektorn som innefattar känsliga personuppgifter. Kravet på reglerad tystnadsplikt enligt artikel 9.3 omfattar inte personuppgiftsbiträden Regeringen anser att tolkningen av artikel 9 i dataskyddsförordningen primärt måste göras utifrån dess ordalydelse. Av artikel 9.2 h följer att det är fråga om behandling som är nödvändig av skäl som hör samman med vissa verksamheter inom hälso- och sjukvård och social omsorg. Verksamheten ska vila på grundval av unionsrätten eller medlems- staternas nationella rätt eller enligt avtal med yrkesverksamma på hälso- området. Vidare finns krav på att villkor och skyddsåtgärder som avses i artikel 9.3 är uppfyllda. I artikel 9.3 i dataskyddsförordningen stadgas att personuppgifter som avses i artikel 9.1 får behandlas för de ändamål som avses i artikel 9.2 h, när uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. I skäl 53 i dataskyddsförordningen anges bl.a. följande: ”Särskilda kategorier av personuppgifter som förtjänar ett mer omfattande skydd bör endast behandlas i hälsorelaterade syften om detta krävs för att uppnå dessa syften och gagnar fysiska personer och samhället i stort… …Denna förordning bör därför innehålla harmoniserade villkor för be- handling av särskilda kategorier av personuppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för vissa hälsorelaterade syften av personer som enligt lag är underkastade yrkesmässig tystnadsplikt.” I engelska språkversionen av skäl 53 anges bl.a. följande: “Special categories of personal data which merit higher protection should be processed for health-related purposes only where necessary to achieve those purposes for the benefit of natural persons and society as a whole… …Therefore, this Regulation should provide for harmonised conditions for the processing of special categories of personal data concerning health, in respect of specific needs, in particular where the processing of such data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy…”. I den engelska språkversionen lyder artikel 9.2 h: “processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working capacity of the employee, 2017/18:171 diagnosis, the provision of health or social care or treatment or the management of health or social care systems and services on the basis of Union or law or pursuant to contract with a health professional and subject to the conditions and safeguards referred to in paragraph 3”. I den engelska språkversionen lyder artikel 9.3: “Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) of paragraph 2 when those data are processed by or under the responsibility of a professional subject to the obligation of professional secrecy under Union or law or rules established by national competent bodies or by another person also subject to an obligation of secrecy under Union or law or rules established by national competent bodies.”. Regeringen anser att det bör uppmärksammas att artikel 9.3 hänvisar till behandlingen för de ändamål som anges i 9.2 h. Dataskyddsförord- ningen förklarar inte vad som avses med en yrkesutövare eller en annan person i den svenska språkversionen eller med ”professional subject” eller ”another person” som det uttrycks i den engelska språkversionen. Ledning för tolkningen av begreppet bör göras utifrån dess språkliga innebörd och dess kontext. I den svenska språkversionen lyder artikel 8.3 i dataskyddsdirektivet: ”Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande I den engelska språkversionen lyder artikel 8.3: “Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject under national law or rules established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy”. har bedömt följande vad gäller att tyst- Syftet med artikel 9.3 i dataskyddsförordningen får antas vara att de personer i bl.a. hälso- och sjukvårdsverksamhet som – dvs. behandlar – känsliga personuppgifter ska ha tystnadsplikt enligt t.ex. nationell rätt, eller i vart fall arbeta under någon som har sådan tystnads- Den fysiska personen behöver inte själv vara personuppgifts- Däremot måste den personuppgiftsansvarige se till att en per- son som omfattas av tystnadsplikt är den som antingen själv behandlar uppgifterna eller åtminstone ansvarar för behandlingen (SOU 2017:66 s. 247). Regeringen instämmer huvudsakligen med Socialdataskyddsutred- Det är den personuppgiftsansvarige som ansvarar för att behandling sker i enlighet med dataskyddsförordningen, exempel- vis att behandling av känsliga personuppgifter för de ändamål som avses i artikel 9.2 h bara sker av eller under ansvar av en yrkesutövare som omfattas av sådan tystnadsplikt som avses i artikel 9.3. Detta gäller oavsett om behandlingen sker hos den personuppgiftsansvarige själv eller hos ett personuppgiftsbiträde. Regeringen bedömer emellertid att kravet i artikel 9.3 om att tystnads- plikten ska vara reglerad i unionsrätten eller nationell rätt inte omfattar personuppgiftsbiträden, så länge den personuppgiftsansvarige omfattas av en sådan reglerad tystnadsplikt. Ett personuppgiftsbiträde behandlar endast personuppgifter för den personuppgiftsansvariges räkning och under dennes ansvar. Vid sådan behandling gäller i och för sig de krav som uppställs i artikel 28 och 29 i dataskyddsförordningen. Enligt artikel 28.3 b följer exempelvis att personuppgiftsbiträdets hantering av person- uppgifter ska regleras i ett avtal som särskilt ska föreskriva att person- uppgiftsbiträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt (jfr engelska språkversionens lydelse av artikel 28.3 b ”statutory obligation of confidentiality”). Om avsikten var att kravet på reglerad yrkesmässig tystnadsplikt enligt artikel 9.3 också skulle gälla generellt för personuppgiftsbiträden torde detta vara en nyhet i dataskyddsförordningen som i så fall borde ha reglerats tydligare (jfr skäl 53). Om ett personuppgiftsbiträde överträder regle- ringen i dataskyddsförordningen genom att fastställa ändamålen med och medlen för behandlingen, ska personuppgiftsbiträdet dock anses vara personuppgiftsansvarig med avseende på den behandlingen (artikel 28.10). Ett personuppgiftsbiträde kan vidare i egenskap av rollen som biträde under vissa förutsättningar bli ersättningsskyldig vid behandling i strid med förordningen enligt artikel 82. I likhet med såväl som Dataskyddsutred- ningen kan regeringen konstatera att bestämmelser om tystnadsplikt för personer verksamma inom hälso- och sjukvården redan finns i t.ex. 25 kap. OSL och patientsäkerhetslagen. För författningsreglerad social omsorg gäller sekretess enligt 26 kap. OSL och tystnadsplikt enligt 15 kap. socialtjänstlagen (2001:453) och 29 § lagen (1993:387) om stöd och service till vissa funktionshindrade. Det finns således redan tystnads- plikt enligt författning. Sammanfattande bedömning i fråga om tystnadsplikt för personuppgiftsbiträden Regeringen bedömer att kravet på en reglerad yrkesmässig tystnadsplikt i artikel 9.3 i dataskyddsförordningen inte omfattar personuppgifts- biträden. Av dataskyddsförordningen följer dock att personuppgifts- biträdets hantering av personuppgifter ska regleras i ett avtal som särskilt ska föreskriva att personuppgiftsbiträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig (lagstadgad) tystnadsplikt. Datainspektionen har i sin hemställan dels uppmärksammat att det i nationell lagstiftning finns skillnader i gränsen för personuppgiftsansvar och ansvaret för tystnadsplikt, dels att det finns en inhemsk debatt om myndigheters möjligheter att anlita personuppgiftsbiträde i fall där det är fråga om att lämna ut sekretessbelagda uppgifter. dömer regeringen inte är föranledda av dataskyddsförordningen. Huru- vida det skulle finnas behov av att ändra i lagstiftning till följd av det ställningstagande som JO gjort i ovannämnda beslut bedöms inte primärt vara en fråga som rör dataskyddsförordningen. Detta kräver analyser utifrån dataskyddsreglering men även utifrån grundlagen, t.ex. 2 kap. 6 och 20 §§ regeringsformen, förkortad RF, samt regleringar av sekretess och tystnadsplikt. Detsamma gäller Inera AB:s synpunkter att det i patientdatalagen bör införs en lagstadgad tystnadsplikt för juridiska och fysiska personer som behandlar personuppgifter för vårdgivares räkning. Regeringen anser att frågan om en lagstadgad tystnadsplikt för person- uppgiftsbiträden (såväl fysiska som juridiska personer) inom hälso- och sjukvård och social omsorg i detta lagstiftningsärende inte föranleder någon ytterligare åtgärd. Behov av tystnadsplikt för tillverkare av medicintekniska produkter Swedish Medtech har framfört att det är oklart om tillverkare av medicin- tekniska produkter omfattas av lagstadgad tystnadsplikt, och har framfört att tillverkare av medicintekniska produkter inte omfattas av sådan tystnadsplikt. Båda föreningarna har framfört att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen innebär en risk för hinder för incidentrapportering kopplat till medicin- tekniska produkter när dataskyddsförordningen ska börja tillämpas. Det kan konstateras att den anmälningsplikt från hälso- och sjukvården till tillverkare av medicintekniska produkter avseende negativa händelser som finns i 6 kap. 2 och 3 §§ föreskrifter (SOSFS 2008:1) om användning av medicintekniska produkter i hälso- och sjuk- vården inte bryter den sekretess och tystnadsplikt som gäller i hälso- och sjukvården. Det kan ifrågasättas om hälso- och sjukvården ska lämna känsliga personuppgifter i de aktuella incidentrapporterna. Om det skulle finnas behov av att ändra i lagstiftning på detta område, är det inte primärt en fråga som rör anpassning av svenska regler till dataskydds- förordningen. Detta kräver analyser utifrån dataskyddsreglering men även utifrån grundlagen, t.ex. 2 kap. 6 och 20§§ RF samt regleringar av sekretess och tystnadsplikt. Swedish Medtechs och Läkemedelsindustri- föreningens synpunkter om tystnadsplikt för tillverkare av medicin- tekniska produkter föranleder därför inte någon ytterligare åtgärd i detta lagstiftningsärende. Upplysningsbestämmelser som påminner om kravet på tystnadsplikt bör lämpligen införas i registerförfattningar Regeringen instämmer i den bedömning gör att den nationella regleringen blir tydligare om kravet på tystnads- plikt framgår också av berörda registerförfattningar. Bestämmelser som påminner om det kravet bör därför tas in i registerförfattningar för hälso- och sjukvårdsområdet och som tillåter behandling av kän- sliga personuppgifter med stöd av undantaget i artikel 9.2 h i dataskydds- förordningen. Regeringens förslag till sådana bestämmelser finns i 2 kap. 7 a § patientdatalagen (avsnitt 7.1.6), 7 kap. 8 § patientdatalagen (avsnitt 7.1.8), 9 a § apoteksdatalagen (avsnitt 7.2.4), 9 a § lagen om behandling av personuppgifter i ärenden om licens för läkemedel (avsnitt 7.3.3), 7 § Prop. 2017/18:171 lagen om behandling av personuppgifter inom (avsnitt 7.4.3), 8 a § lagen om receptregister (avsnitt 7.7.2) och 4 a § lagen om läkemedelsförteckning (avsnitt 7.8.2). Det bör av lagförslagen framgå tydligare än vad Socialdataskydds- utredningen föreslår att kravet på tystnadsplikt enligt artikel 9.3 i data- skyddsförordningen avser de situationer där känsliga personuppgifter får behandlas för de ändamål som avses i artikel 9.2 h i dataskyddsförord- ningen. Det bör uppmärksammas att stöd för att behandla känsliga personuppgifter även kan finnas i andra grunder i artikel 9.2 och i så fall gäller inte kravet på tystnadsplikt enligt artikel 9.3. Regeringen föreslår därför en annan utformning än som är mer lik den som finns i förslaget till 3 kap. 5 § andra stycket dataskyddslagen. Hänvisningen till artikel 9.3 i dataskyddsförordningen bör vara dyna- misk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom det rör sig om en ren upplysning om att en annan, direkt tillämplig, bestämmelse gäller. Regeringens bedömning: Ytterligare bestämmelser i registerförfatt- ningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 9.2 i i EU:s dataskyddsförordning bedöms inte krävas. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. att inte införa ett folkhälsoundantag i den föreslagna nya dataskydds- vidhåller fortsatt att ett folkhälsoundantag bör införas, alternativt att det bör utredas hur undantaget kan införas i annan lagstiftning för att möjliggöra för myndigheten att fortsätta med de undersökningar som inte bedöms kunna inrymmas under undantagen för statistik eller forskning. Skälen för regeringens bedömning: Enligt artikel 9.2 i i dataskydds- förordningen får personuppgifter behandlas om behandlingen är nöd- vändig av skäl av allmänt intresse på folkhälsoområdet. Det ska då ske på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättig- heter och friheter fastställs, särskilt tystnadsplikt. Dataskyddsdirektivet innehåller inte någon bestämmelse som särskilt tar sikte på folkhälsoområdet. Behandling av känsliga personuppgifter på folkhälsoområdet sker med stöd av bestämmelser som har sin grund i artikel 8.4 (allmänt intresse) eller artikel 8.3 (hälso- och sjukvård) i I artikel 9.2 i i dataskyddsförordningen ges exempel på behandling som är nödvändig av skäl av allmänt intresse på folkhälsoområdet. enligt artikeln röra sig om behov av att säkerställa ett skydd mot all- varliga gränsöverskridande hot mot hälsan eller att säkerställa höga 2017/18:171 kvalitets- och säkerhetsnormer för vård och läkemedel eller medicin- tekniska produkter. Av skäl 54 i dataskyddsförordningen framgår att begreppet folkhälsa bör tolkas enligt definitionen i och rådets förordning (EG) nr 1338/2008, nämligen så att det avser alla aspekter som rör hälsosituationen, dvs. allmänhetens hälsotillstånd, in- begripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjukvårdsbehov, resurser inom hälso- och sjukvården, till- handahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker. Artikel 9.2 i i dataskyddsförordningen innehåller ett krav på att be- handlingen av personuppgifter ska ske på grundval av unionsrätten eller medlemsstaternas nationella rätt. Enligt regeringens bedömning behöver undantaget i sig inte föreskrivas i nationell rätt för att behandling av känsliga personuppgifter ska kunna ske med stöd av artikel 9.2 i. Kravet på att behandlingen av personuppgifter ska ske på grundval av unions- rätten eller medlemsstaternas nationella rätt innebär enligt regeringens bedömning att den personuppgiftsansvarige ska ha stöd i rättsordningen för att utföra en uppgift på folkhälsoområdet.