prop · H503171 · 2018-03-19 00:00:00 — har också antagit en rekommendation som avser personuppgifter som behandlas inom ramen för de sociala trygghetssystemen, Recommendation No. R (86) 1 of to Member States on the protection of personal data used for social security purposes. Rekommendationen antogs 1986 i syfte att ge principer och riktlinjer för behandling av personuppgifter för ändamål som rör social trygghet. Rekommendationen är tillämplig på behandling av personuppgifter för ”social security purposes” (ändamål hänförliga till social trygghet). Av definitionen av uttrycket ”social security purposes” framgår att det avser alla de arbetsuppgifter som utförs inom de sociala trygghetssystemen avseende följande förmåner: förmåner vid sjukdom och havandeskap, invaliditetsförmåner, åldersförmåner, efterlevandeför- måner, förmåner vid arbetsskada, förmåner vid dödsfall, arbetslöshetsför- måner och familjeförmåner. Den allmänna regleringen av behandling av personuppgifter inom Europeiska unionen finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. I Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02) finns en bestämmelse om skydd av personuppgifter i artikel 8 om att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. Direktivet, som har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) med tillhörande förordning, gäller inte för behandling av personuppgifter utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. har det förekommit diskussionerna inom bl.a. EU om att det behövs en ny rättslig reglering för att ersätta data- skyddsdirektiv. Kommissionen presenterade förslag till en reform av om skydd för personuppgifter. Reformen omfattade dels en förordning med en generell reglering som skulle er- sätta det nu gällande dataskyddsdirektivet, dels ett nytt direktiv med särregler för främst den brottsbekämpande sektorn som skulle ersätta dataskyddsrambeslutet men ha ett bredare tillämpningsområde. Det huvudsakliga syftet med kommissionens förslag var att ytterligare harmonisera och effektivisera skyddet av personuppgifter inom EU i syfte att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förslaget till förordning baserades till stor del på den struktur och reglering som finns i det nu gällande dataskyddsdirektivet. Generellt syftade förslaget till ett stärkt skydd för enskilda vid behandling av personuppgifter. Förordningen innehöll även en del nyheter jämfört med dataskyddsdirektivet. Förslaget till direktiv anslöt i stor utsträckning till den reglering som gäller enligt dataskyddsrambeslutet. Nya inslag var bl.a. kravet på att, så långt det är möjligt, vid behandlingen skilja mellan personuppgifter som avser olika kategorier av personer och likaså mellan uppgifter med olika grad av riktighet och tillförlitlighet. En annan nyhet var skyldigheten för den personuppgiftsansvarige att utan dröjsmål underrätta tillsyns- myndigheten om en personuppgiftsincident ägt rum. Vidare föreslogs nya regler om de nationella tillsynsmyndigheternas ställning, villkor och uppgifter och om obligatoriskt ömsesidigt bistånd och samarbete dem emellan. Till skillnad från dataskyddsrambeslutet föreslogs det nya data- skyddsdirektivet vara tillämpligt inte bara på utbyte av information över gränserna utan även på nationell personuppgiftsbehandling för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. antogs och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Dataskyddsförordningen ska börja tillämpas . med dataskyddsförordningen antogs och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Direktivet ska vara genomfört i nationell rätt . 2017/18:171 4.3 Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integri- teten, om det sker utan samtycke och innebär övervakning eller kartlägg- ning av den enskildes personliga förhållanden. Skyddet får enligt 2 kap. 20 och 21 §§ regeringsformen begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Be- gränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. 4.3.2Dataskyddsdirektivets genomförande – personuppgiftslagen har genomfört dataskyddsdirektiv främst genom personuppgiftslagen (1998:204). Lagen trädde i kraft och har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen följer i princip samma struktur som dataskyddsdirektiv och innehåller – liksom direktivet – bestämmelser om bl.a. personuppgiftsansvar, grund- läggande krav för behandling av personuppgifter och information till den registrerade. Personuppgiftslagen gäller för både myndigheter och enskilda som behandlar personuppgifter. Lagen är subsidiär, vilket inne- bär att dess bestämmelser inte ska tillämpas om det finns avvikande be- stämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i de sektorsspecifika s.k. registerförfattningar som reglerar myndigheternas personuppgiftsbehandling. Personuppgiftslagen kompletteras av bestämmelser i personuppgifts- förordningen (1998:1191), som bl.a. anger Datainspektionen som tillsynsmyndighet. Datainspektionen bemyndigas i förordningen att meddela närmare föreskrifter om bl.a. i vilka fall behandling av person- uppgifter är tillåten och vilka krav som ställs på den personuppgifts- ansvarige. EU:s dataskyddsreform är en reform som omfattar stor del av person- uppgiftsbehandlingen inom EU. Den består av dataskyddsförordningen och ett nytt dataskyddsdirektiv. Det nya direktivet gäller vid behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och för- hindra hot mot den allmänna säkerheten. Dataskyddsförordningen medför behov av att anpassa svenska författ- ningar till förordningen. Vidare behöver dataskyddsdirektivet genom- föras i svensk rätt. Ett stort antal utredningar har arbetat och arbetar med att anpassa svensk rätt till EU:s dataskyddsreform. Det pågår omfattande arbete inom med att anpassa författningar till förordningen. De olika utredningarnas förslag till ändringar i författningar kommer att medföra arbete med att utarbeta och lämna lagförslag och besluta om för- ordningar. De olika ärendena som rör författningsändringar behöver sam- ordnas och detta inom en mycket kort tidsperiod för att hålla de tider som gäller för rättsakternas ikraftträdande. Något om tillämpningen av de båda rättsakterna och tillämpningsproblem Det kommer att finnas myndigheter och verksamheter vars person- uppgiftsbehandlingar kommer att behöva förhålla sig till de båda EU- rättsakterna och eventuellt kommer att behöva tillämpa både förord- ningen och direktivet. För en sådan myndighet och verksamhet kan detta medföra svårigheter i tillämpningen att avgöra vilken rättsakt som är tillämplig för de olika behandlingar av personuppgifter som utförs och vilka konsekvenser detta kan få för förutsättningarna att behandla person- uppgifter inom myndigheten eller i verksamheten. Dessa svårigheter i tillämpningen med att avgöra vilket regelverk som ska tillämpas blir ganska lik de svårigheter som redan finns med dagens reglering av personuppgiftsbehandling. tillämpar myndig- heterna olika regelverk – personuppgiftslagen och särskilda registerför- fattningar – beroende på i vilken verksamhet eller för vilka slags ändamål personuppgifterna behandlas. Registerförfattningarna, som har till- kommit vid olika tillfällen, har olika innehåll och utformningarna skiljer sig åt. Problem med att i tillämpningen bedöma vilket rättsligt stöd som gäller för personuppgiftsbehandlingarna finns därmed . EU:s dataskyddsreform och anpassningarna i svensk rätt kommer dock för myndigheter och andra aktörer i olika verksamheter att aktualisera behovet av att se över sin personuppgiftsbehandling och t.ex. överväga för vilka ändamål personuppgifter behandlas och vilka regelverk som ska tillämpas för den specifika behandlingen. Behandling av personuppgifter i verksamhet som omfattas av unions- rätten omfattas således antingen av dataskyddsförordningen eller nya dataskyddsdirektivet. Dessa rättsakter bedöms inte kunna vara tillämpliga för en personuppgiftsbehandling eftersom avgränsningen ska göras utifrån syftet och om det är en s.k. behörig myndighet, se artikel 2.2 d och skäl 19 i dataskyddsförordningen. Sker personuppgiftsbehand- ling som visserligen kan avse samma personuppgifter men för flera olika syften bedöms de båda rättsakterna kunna vara tillämpliga parallellt. För en personuppgiftsansvarig kan detta dock ställa till svårigheter i tillämpningen att avgöra vilken rättsakt eller vilka rättsakter som ska tillämpas i fall där samma eller delvis samma personuppgifter behandlas. 2017/18:171 5.2 Behandling av personuppgifter som är laglig bör kunna fortsätta men författningsstöd för annan behandling bör inte införas nu Regeringens bedömning: För den personuppgiftsbehandling som förekommer i olika verksamheter bör den behandling som är laglig kunna fortsätta. Ändringar i förutsättningarna för att ytterligare behandla personuppgifter får övervägas i annan ordning. stiftningsärende får därför avgränsas till att hantera de anpassningar i författningar inom verksamhetsområde som i nuläget bedöms behövas med anledning av EU:s dataskyddsförord- bedömning: Överensstämmer med Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att den metod som använts av utredningen riskerar leda till att nationella bestämmelser inte kommer att överens- stämma med dataskyddsförordningen. Utan en noggrann kartläggning av behandling av personuppgifter inom område finns det risk för att den nationella regleringen inte kommer att överensstämma med förordningen och att det kommer att saknas nationell reglering för sådan behandling av personuppgifter som är nödvändig i samhället. stora skillnaden mellan ett direktiv som genomförs i svensk rätt och en förordning som ska tillämpas direkt bör framhållas. ningens bestämmelser är direkt tillämpliga i svensk rätt utan möjlighet till avvikande nationell reglering. I vissa avseenden finns dock ett utrym- me för, och i vissa fall även krav på, nationell reglering som kompletterar Förordningen blir det primära regelverket avseende behandling av personuppgifter och t.ex. patientdatalagen blir subsidiär i förhållande till dataskyddsförordningen. säkerställa att dataskyddsförordningen kompletteras med nationella regler i tillräcklig utsträckning för att viktig verksamhet ska kunna be- handla de personuppgifter som är nödvändiga för verksamheten. också viktigt att det blir tydligt hur regelverken förhåller sig till varandra, så att de som ska tillämpa dataskyddsbestämmelserna förstår att de nationella reglerna inte kan åsidosätta dataskyddsförordningen och att en prövning om en behandling av personuppgifter är tillåten eller inte, primärt ska ske utifrån förordningen. En reglering som exempelvis patientdatalagen, i vilken många frågor om personuppgiftsbehandling regleras, kan för den enskilda tillämparen i högre grad uppfattas som det primära regelverket på området för behandling av personuppgifter än en lagstiftning som endast reglerar enstaka frågor. anser att i och med att dataskyddsförordningen börjar tillämpas utgör den det primära regelverket för behandling av Förordningen skapar goda förutsättningar för en enhetlighet i rättstillämpningen som myndigheten bedömer kommer att kunna vara gynnsam för myndigheternas arbete med digitalisering och framtagandet av gemensamma e-tjänster. det fragmenterade regelverket medför kan inte förväntas minska i och med att förordningen börjar tillämpas, tvärtom. Behovet av att göra en sammanhållen och enhetlig översyn av registerförfattningarna kvarstår och blir större i och med förordningen. för hälsa, arbetsliv och välfärd (Forte) tillstyrker för- slagen och noterar med tillfredsställelse att man i det stora flertalet fall gör bedömningen att det inte behövs några ändringar i nuvarande regel- verk. Forte har inte funnit att något i utredningen skulle begränsa till- gången till personuppgifter eller möjligheten att använda dem för forsk- ning och statistik, utöver vad som gäller . är positivt till utredningens målsättning att den behandling av personuppgifter som är laglig ska kunna fortsätta. För att uppnå den målsättningen har en ingående analys av både data- skyddsförordningen och registerförfattningarna skett. Utredningens för- slag beskrivs vara av i huvudsak författningsteknisk karaktär, och be- döms inte inskränka nuvarande möjligheter att behandla personuppgifter, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. () ställer sig positiv till utredningens utgångspunkt att behandling som är laglig ska kunna fortsätta. Det skapar förutsebarhet och underlättar de anpassningsåtgärder som data- skyddsförordningen föranleder för föreningens medlemsföretag. Som LIF uppfattar saken påverkar förslagen inte läkemedelsföretagens forsk- ning och användning av statistik från hälsodataregister, kvalitetsregister och biobanker. Detta är positivt och av stor betydelse för ställ- ning och utveckling som forskande läkemedelsnation. Kommuner och Landsting och läns landsting välkom- nar och delar utredningens bedömning att den behandling av personupp- gifter som är laglig ska kunna fortsätta när dataskyddsförordningen ska börja tillämpas. instämmer i utredningens bedömning att dataskyddsförordningen till stor del innehåller samma eller i vart fall liknande bestämmelser som dataskyddsdirektivet och personuppgifts- lagen. Den stora skillnaden är dock att dataskyddsförordningen är direkt tillämplig och, till skillnad från personuppgiftlagen som är subsidiär, gäller oavsett vad som regleras i en nationell registerförfattning. Skälen för regeringens bedömning: Den nya generella unionsrätts- akten om dataskydd är en förordning och detta innebär en ytterligare harmonisering av dataskyddsreglerna inom EU. Förordningen kommer att vara direkt tillämplig i medlemsstaterna. Detta innebär att personupp- giftsansvariga primärt kommer att behöva förhålla sig till EU-regle- ringen. Regeringen vill dock uppmärksamma att dataskyddsförordningen emellertid till stora delar har en direktivliknande karaktär. Ett förhållan- devis stort antal artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens regler. Detta gäller särskilt behandling av personuppgifter som sker inom den offentliga sektorn. Medlemsstaterna får t.ex. behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e, dvs. som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- 2017/18:171 ning. För vissa angivna syften får medlemsstaterna enligt artikel 23 även begränsa tillämpningsområdet för många av de skyldigheter och rättig- heter som regleras i förordningen. liknande karaktär innebär således att det kommer att finnas ett betydande utrymme för att behålla och att införa ytterligare registerförfattningar om så anses behövligt eller nödvändigt. Regeringen vill vidare uppmärksamma att dataskyddsförordningen till stor del baseras dataskyddsdirektivets struktur och innehåll. många fall framgår det vid en jämförelse mellan den nya förordningens och direktivets artiklar mycket stora likheter i ordalydelserna t.ex. vad gäller grundläggande principer och en del vad gäller laglig grund. därför naturligt att tolkningen av dataskyddsförordningen ofta kommer att göras genom att dataskyddsförordningens ordalydelse jämförs med Regeringen instämmer i Datainspektionens och uppfattning att förordningen blir det primära regelverket för behandling av personuppgifter och t.ex. patientdatalagen utgör kompletterande lag- stiftning i förhållande till dataskyddsförordningen. Det är också så att lagstiftaren så långt det är möjligt bör säkerställa att dataskyddsförord- ningen kompletteras med nationella regler i tillräcklig utsträckning för att myndigheter och andra aktörer i olika verksamhet inom Socialdeparte- mentets verksamhetsområde ska kunna behandla de personuppgifter som är nödvändiga för myndigheternas eller de andra aktörernas verksam- Regeringen instämmer i Datainspektionens uppfattning att det är viktigt att det blir tydligt hur regelverken förhåller sig till varandra, så att de som ska tillämpa dataskyddsbestämmelserna förstår att de nationella reglerna inte kan åsidosätta dataskyddsförordningen och att en prövning av om en behandling av personuppgifter är tillåten eller inte, primärt ska ske utifrån förordningen. Det finns en risk för att de som är personuppgiftsansvariga kommer att se registerförfattningar, såsom patientdatalagen (2008:355), som de primära regelverken på området för behandling av personuppgifter och inte som lagstiftning som endast reglerar enstaka frågor. Regeringen bedömer att det finns behov av allmän information t.ex. om förhållandet mellan dataskyddsförordningen och den generella lagen samt de särskilda registerförfattningarna. Det kommer dock sannolikt att ta tid innan myndigheter och andra aktörer inom olika verksamheter kommer att ha god kännedom om vad dataskyddsförordningen och andra författningar kräver av dem. Dataskyddsförordningen ska börja tillämpas . Regeringen håller med Datainspektionen om att det hade varit önskvärt med noggrann kartläggning av behandling av personuppgifter inom verksamhetsområde men anser inte att detta är möjligt inom den mycket korta tidsperioden innan förordningen ska börja Regeringen bedömer att det är angeläget att den behandling av person- uppgifter som förekommer och är laglig bör kunna fortsätta även från det att dataskyddsförordningen börjar tillämpas. Sådana ändringar, och andra ändringar i förutsättningar för behandling av personuppgifter, får Prop. 2017/18:171 övervägas i annan ordning. Detta lagstiftningsärende får därför avgränsas till att hantera de anpassningar i författningar inom verksamhetsområde som bedöms behövas med anledning av dataskyddsförordningen. 5.3Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen bör behållas om det blir tydligare Regeringens bedömning: Befintlig författningsreglering, som inne- bär begränsningar i förhållande till vad som vore tillåtet enligt EU:s dataskyddsförordning, bör behållas i sak i så stor utsträckning som möjligt. Regleringen bör göras så enhetlig som möjligt. Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen kan och bör, i den utsträckning det är möjligt enligt vad som anges i skäl 8 i data- skyddsförordningen, behållas eller införas när det skapar tydlighet. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. anser att regleringen som rör behandling av personupp- gifter med dataskyddsförordningens ikraftträdande kommer att bli komplex. Det är därför viktigt att regelverket på dataskyddsområdet görs så enkelt och tydligt som möjligt. har i yttrande över be- tänkandet Ny dataskyddslag (SOU 2017:39) lämnat generella synpunkter för den nationella tolkningen av dataskyddsförordningen. Kammarrätten i noterar att de olika utredningar som tillsatts för att analysera och anpassa författningar inom olika områden till data- skyddsförordningen, har valt att utforma vissa återkommande bestäm- melser på olika sätt. Det gäller t.ex. hänvisningen till dataskyddsförord- ningen, övergångsbestämmelser som reglerar vilka bestämmelser om skadestånd som ska tillämpas, hänvisningar till dataskyddsförordningens artikel 9.1 om sådana särskilda personuppgifter som anges i artikeln (känsliga personuppgifter) och hur hänvisningar till personuppgiftslagens bestämmelse om finalitetsprincipen ska ersättas (jfr t.ex. SOU 2017:66, SOU 2017:49 och Ds 2017:33). Det är önskvärt att i det fortsatta arbetet finner en enhetlig utformning av denna typ av be- stämmelser. har tidigare påtalat att gällande lagstiftning i fråga om registerfrågor är svår att överblicka både sett till verkningar för enskildas personliga integritet och till den faktiska tillämpningen av de föreslagna lagrummen och rekvisiten, då det finns ett allt för stort antal skilda lagar om myndigheters personuppgifts- och registerhantering samt även en bristande överensstämmelse mellan grundläggande begrepp i vidhåller tidigare lämnade synpunkter i 2017/18:171 detta avseende och anser att det är olyckligt att uppdraget inte varit att ta fram en enhetlig reglering för åtminstone här berörd del av den offentliga verksamheten. anser att det sammelsurium av registerförfattningar som finns på område inte kan uppnå syftet att skydda sjuka och utsatta människor från integritetskränkningar. Ambitionen med att skapa specialbestämmelser kan i och för sig vara lovvärd men blir kontraproduktiv. Det blir svårare för privatpersoner att förstå vilka rättig- heter de har och utöva dessa rättigheter. Det blir också svårare för de be- rörda myndigheterna/personuppgiftsansvariga att bedöma i vilken ut- sträckning de själva är ansvariga för konsekvensbedömningar och ut- värderingar. anser att en del av författningsförslagen inne- bär felaktiga upprepningar av artikel 5.1 b, onödiga upprepningar av artikel 9.3 och underliga och varierande listor om vilken information som ska ges till registrerade samt att det på ett flertal ställen i förslagen före- kommer dubbelregleringar. Skälen för regeringens bedömning Befintliga registerförfattningar bör behållas Av skäl 8 i dataskyddsförordningen framgår att om dataskyddsförord- ningen föreskriver förtydliganden eller begränsningar av bestämmelserna i dataskyddsförordningen genom den nationella rätten kan medlems- staterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av dataskyddsförordningen i nationell rätt.