prop · H503223 · 2018-04-10 00:00:00 — första stycket 4 och 5 förordningen med instruktion för E-hälsomyndig- Enligt artikel 6.3 andra stycket dataskyddsförordningen ska syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behand- ling enligt artikel 6.1 e, vara nödvändigt för att utföra en uppgift av all- mänt intresse eller som ett led i den personuppgiftsansvariges myndig- Vidare anges att den rättsliga grunden kan innehålla sär- skilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bl.a. de allmänna villkor som ska gälla för den person- uppgiftsansvariges behandling, vilken typ av uppgifter som ska behand- las, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för tillförsäkrande om en laglig och rättvis behandling. Behovet av ett personregister över vissa uppgifter om förskrivna och expedierade läkemedel och andra varor för människor och syftet med registret har berörts tidigare i denna proposition (se avsnitt 6). en bedömer att registret är ett ändamålsenligt sätt att förbättra överföring av information som behöver delas mellan hälso- och sjukvården, apotek och patienter. För en god och säker patientvård är det viktigt att det finns ett register som innehåller uppgifter om en patients samtliga förskrivna och uthämtade läkemedel, och inte endast ett urval av dessa. Såsom redo- visas i avsnitt 4.1.1 är en av de grundläggande förutsättningarna för en patientsäker vård att berörda hälso- och sjukvårdsaktörer samt öppen- vårdsapoteksaktörer och patienten själv har tillgång till korrekta och full- ständiga uppgifter om patientens läkemedelsanvändning. Både samhället, yrkesutövarna och patienten har ett behov av en samlad och korrekt lista över patientens läkemedelsordinationer och uthämtade läkemedel och intresse av att denna fungerar på ett effektivt sätt. Mot den angivna bak- grunden bedömer regeringen att behandlingen av personuppgifter i den nationella läkemedelslistan, som är noga och tydligt lagreglerad, kan ske med stöd av att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse och för att utföra en uppgift av allmänt intresse. Av de föreslagna ändamålen är det endast ändamålet registrering av fullmakt som inte tidigare varit föremål för behandling vare sig i lagen om receptregister eller i lagen om läkemedelsförteckning. För detta ända- mål bör samtycke vara den rättsliga grunden för behandling (se nedan om förutsättningarna för att använda samtycke som rättslig grund). Regeringen föreslår även att det ska vara tillåtet att behandla person- uppgifter för andra ändamål än de som anges i den nya lagens 3 kap. 2– 5 §§. En sådan bestämmelse finns i nuvarande 4 § andra stycket lagen om receptregister, 2 kap. 3 § patientdatalagen och 6 § andra stycket apo- teksdatalagen. Ändamålet rör att behandling av personuppgifter som inte är tillåten enligt lagen ändå ska få utföras. Den rättsliga grunden för att behandla personuppgifter för andra ändamål än de som anges i den nya lagens 3 kap. 2–5 §§ är samtycke (se nedan om förutsättningarna för att använda samtycke som rättslig grund). Eftersom behandlingen av personuppgifter enligt den föreslagna lagen bedöms nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse finns visst utrymme för att i den nationella lagstiftningen införa mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen (artikel 6.2 och 6.3 andra stycket). Det är alltså möjligt att i angivna situationer på nationell nivå föreskriva särskilda krav som ska gälla för behandlingen. De bestämmelser som föreslås om krav på samtycke som en integri- tetshöjande åtgärd (se avsnitt 7.11), sökbegränsningar (avsnitt 7.9) och spärrning (se avsnitt 7.13–7.14) anses vara skyddsåtgärder i dataskydds- förordningens mening. De bestämmelser som föreslås i detta avseende är enligt regeringens bedömning sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt när det gäller behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse. Rätten att göra invändningar mot personuppgiftsbehandling I 4 kap. 1 § lagen om nationell läkemedelslista föreslås att behandling av personuppgifter som är tillåten enligt lagen ska få utföras även om den registrerade inte har lämnat sitt samtycke till behandlingen, dvs. en begränsning av den registrerades rätt att göra invändningar mot person- 2017/18:223 uppgiftsbehandling. Den registrerade har enligt artikel 21 i dataskydds- förordningen rätt att när som helst invända mot behandling som rör den registrerade om behandlingen grundar sig på artikel 6.1 e eller f (allmänt intresse, myndighetsutövning eller personuppgiftsansvariges eller tredje parts berättigade intresse). Den behandling som sker enligt lagen om nationell läkemedelslista grundar sig dock i de flesta fall på en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Vid sådan per- sonuppgiftsbehandling ger dataskyddsförordningen inte den registrerade någon rätt att invända mot behandlingen. När det däremot gäller personuppgiftsbehandling som grundar sig på ett allmänt intresse, t.ex. underlättande av en patients läkemedelsanvänd- ning, har den registrerade som huvudregel en rätt att göra invändningar. Denna rätt kan emellertid under vissa förutsättningar begränsas i natio- nell rätt enligt artikel 23 i dataskyddsförordningen. För att få införa en sådan begränsande lagstiftningsåtgärd måste begränsningen ske med res- pekt för andemeningen i de grundläggande rättigheterna och friheterna samt utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. En begränsning kan t.ex. ske i syfte att säker- ställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (artikel 23.1 e). Bedrivande av verksamhet inom bl.a. hälso- och sjukvård inklusive den administration sådan verksamhet kräver är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen (jfr avsnitt 6.8.2, Dataskydd inom verksamhetsområde, prop. 2017/18:171). Reger- ingen anser att den behandling av personuppgifter som utförs i detta av- seende får anses utgöra ett sådant generellt allmänt intresse. Att göra den behandling av personuppgifter som behövs i detta avseende i den nationella läkemedelslistan beroende av den registrerades inställning skulle hindra apoteken från att bedriva arbetet på ett effektivt och patientsäkert sätt. En begränsning av rätten att invända mot behand- ling är därför en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av allmänt intresse. Begränsningen kan inte anses strida mot andemeningen i de grund- läggande rättigheterna och friheterna. En begränsning av rätten att göra invändningar måste också uppfylla kraven i artikel 23.2 i dataskyddsförordningen om bestämmelser som den begränsande lagstiftningsåtgärden ska innehålla. Bestämmelser enligt det innehåll som krävs föreslås också i lagen om nationell läkemedelslista. Sammantaget anses begränsningen av en registrerads rätt att göra invänd- ningar mot behandling av personuppgifter på det sätt som föreslås vara förenlig med dataskyddsförordningens bestämmelser. Samtycke som rättslig grund Samtycke från den registrerade utgör enligt artikel 6.1 a en sådan rättslig grund som krävs för att behandlingen av personuppgifter ska vara laglig. Samtycke definieras i artikel 4.11 i dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Definitionen motsvarar i allt väsentligt den som finns i artikel 2 h i dataskyddsdirektivet. Av artikel 7.1 i dataskyddsförordningen framgår att den personupp- giftsansvarige ska kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter. Enligt artikel 7.2 ska en begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lätt tillgänglig form, med använd- ning av klart och tydligt språk, om den registrerades samtycke lämnas i en skriftlig förklaring som också rör andra frågor. Vidare ska den registrerade enligt artikel 7.3 ha rätt att när som helst återkalla samtycket och innan samtycket lämnas ska den registrerade ha informerats om detta. Vid bedömning av om samtycket är frivilligt ska enligt artikel 7.4 största hänsyn bl.a. tas till om genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet. I skäl 42 i dataskyddsförordningen anges bl.a. att personuppgiftsansva- riga bör kunna visa att de registrerade har lämnat sitt samtycke till be- handlingen och att den registrerade bör känna till åtminstone den person- uppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Vidare anges att ett samtycke inte bör betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. I skäl 43 i dataskyddsförordningen anges följande. För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke anses inte vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter, trots att det är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet till- handahållandet av en tjänst – är avhängigt av samtycket, trots att sam- tycket inte är nödvändigt för ett sådant genomförande. Artikel 29-gruppen (en rådgivande och oberoende grupp som verkar för enhetlig tillämpning och som har fått sitt namn av artikel 29 i dataskyddsdirektivet) har i ett yttrande gjort vissa uttalanden avseende direktivets krav på att samtycke ska ha lämnats frivilligt. I yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rätts- lig grund för behandling av personuppgifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där behandlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig för- pliktelse eller utförandet av en arbetsuppgift av allmänt intresse. Att använda samtycke som rättslig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har officiella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med 2017/18:223 polisiära och rättsliga aktiviteter. I samma yttrande anges att ett samtycke som i en vårdsituation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt (Yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13 f.). I propositionen Dataskydd inom verksamhets- område – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171) görs bedömningen att samtycke enligt ovan nämnda yttrande från Artikel 29-gruppen i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter, men att en noggrann kontroll bör göras för att se om samtycket faktiskt är tillräckligt frivilligt, dvs. i varje specifikt fall bedöma om det råder sådan betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhål- landen som denna särskilda situation omfattar, dvs. kravet på frivillighet inte är uppfyllt. Även i de fall det är en myndighet torde det dock finnas utrymme för samtycke som rättslig grund, t.ex. om den registrerade har en fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke, jfr slutet av skäl 42 (se avsitt 6.5.2 i nämnda proposition). I lagen om nationell läkemedelslista föreslås att personuppgifter ska få behandlas för ändamålet registrering av fullmakt. Både ombudets och fullmaktsgivarens personuppgifter ska få registreras i den nationella läke- medelslistan. Att lämna en fullmakt är frivilligt och registreringen förut- sätter samtycke från både ombudet och fullmaktsgivaren. Den rättsliga grunden för behandling av uppgifter om fullmakt är därför samtycke. Förslaget om registrering av fullmakter rör fullmakter där ombudet ges direktåtkomst till den nationella läkemedelslistan, vilket dock inte utesluter att andra fullmakter kan registreras i syfte att behandlas för expedieringsändamålet. Regeringen gör bedömningen att patienten i fråga om fullmaktshantering och behandling av uppgifter som rör full- makt inte befinner sig i en underordnad ställning. Fullmakten underlättar för den enskilde och den som använder fullmakten i syfte att kontrollera och säkerställa en patientsäker läkemedelsbehandling. Vidare kan full- maktsgivaren när som helst återkalla sitt samtycke till behandlingen (arti- kel 7.3 dataskyddsförordningen). Regeringen föreslår även att det ska vara tillåtet att med den registre- rades samtycke behandla personuppgifter för ett ändamål som inte är tillåtet enligt lagen. Den rättsliga grunden för sådan behandling är sam- tycke (se mer om detta ändamål i avsnitt 7.11). Lagen om nationell läkemedelslista är av allmänt intresse och proportionerlig mot det legitima mål som eftersträvas I fråga om bestämmelsen i artikel 6.3 andra stycket sista meningen i data- skyddsförordningen konstaterar regeringen i propositionen Ny data- skyddslag (prop. 2017/18:105) att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportio- nell mot det legitima mål som eftersträvas. Regeringen konstaterar vidare att detta motsvarar det krav som ställer på lagstif- taren i en rättsstat. Genom lagen (1994:1219) om den europeiska konven- tionen angående skydd för de mänskliga rättigheterna och de grund- läggande friheterna har inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . Det bör därför vara mycket ovanligt att svensk rätt inte uppfyller Europakon- ventionens krav. Mot denna bakgrund bör utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighets- utövning som fastställs enligt svensk rätt. Som det uttrycks i proposi- tionen Ny dataskyddslag är alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra av allmänt intresse. Om upp- gifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem (se nämnda proposition avsnitt 8.4). I fråga om befintlig lagstiftning anser regeringen att denna är pro- portionerlig mot de legitima mål som eftersträvas (se avsnitt 6.5.1 i pro- positionen Dataskydd inom verksamhetsområde, prop. 2017/18:171). Personuppgiftsbehandlingen enligt den föreslagna lagen om nationell läkemedelslista kommer i huvudsak att motsvara befintlig personuppgiftsbehandling i lagen om receptregister och lagen om läkemedelsförteckning. Det nya registret kommer att innehålla en omfattande samling av känsliga personuppgifter om hälsa som kommer att få behandlas för ett flertal i lagen angivna ändamål. Ändamålen behandlas i avsnitt 7.6 i denna proposition. Vilken behandling som ska få ske utan den enskildes samtycke framgår av avsnitt 7.11. Den behandling av personuppgifter i registret som kommer att få utföras utan den registrerades samtycke kan bedömas utgöra ett betydande intrång i den personliga integriteten och torde innebära en kartläggning av enskilds personliga förhållanden (2 kap. 6 § regeringsformen). En lag som inskränker det skyddet får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar (2 kap. 21 § regeringsformen). Hantering av personuppgifter i ett personregister kan innebära en risk för intrång i enskildas personliga integritet. En avvägning måste därför göras mellan å ena sidan skyddet för den personliga integriteten och å andra sidan det allmänna intresset av att ha en samlad informationskälla om en patients förskrivna och expedierade läkemedel och andra varor. De behandlingsändamål som föreslås vara tillåtna i det nya registret har bestämts utifrån en proportionalitetsbedömning och bygger på de behovs- och konsekvensanalyser som avhandlas i avsnitten 4.2 och 4.3. Behandling av personuppgifter i det nya registret är begränsad till att vara tillåten endast för de ändamål som anges i lagen och inte oförenliga ändamål. I den föreslagna lagen har det tydligt angetts vilka aktörer som får ges direktåtkomst och för vilka behandlingsändamål. För det nya registret ska även vissa integritetshöjande åtgärder gälla, såsom sök- begränsningar, krav på samtycke och möjlighet att spärra uppgifter, se avsnitt 7.9, 7.11 och 7.13. I fråga om bevarandetid för uppgifterna i registret görs en särskild behovs- och integritetsanalys i avsnitt 7.10. Vid en avvägning mellan å ena sidan skyddet för den personliga integriteten och å andra sidan det allmänna intresset av att ha en korrekt och komplett informationskälla om en patients samtliga förskrivna och uthämtade 2017/18:223 läkemedel bedöms personuppgiftsbehandling enligt den föreslagna lagen vara nödvändig med hänsyn till det allmänna intresset av en god och säker patientvård och inte gå utöver det som är nödvändigt med hänsyn till detta ändamål. Dessutom ska varje svensk myndighet i all verksamhet iaktta propor- tionalitetskravet. Detta krav kommer numera även till uttryck i 5 § i den nya förvaltningslagen (2017:900), där det anges att en åtgärd aldrig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot. Regeringens förslag: I lagen ska det tas in en bestämmelse som på- minner om att sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 i EU:s dataskyddsförordning (känsliga personupp- gifter) får behandlas med stöd av artikel 9.2 h i förordningen under förutsättning att kravet på tystnadsplikt i artikel 9.3 i förordningen är uppfyllt. Regeringens bedömning: Förbudet mot att behandla känsliga per- sonuppgifter är inte tillämpligt eftersom behandlingen är nödvändig av skäl som hör samman med verksamheter som anges i artikel 9.2 h i EU:s dataskyddsförordning och uppgifterna behandlas av eller under ansvar av en yrkesutövare eller en annan person som omfattas av tyst- nadsplikt. Promemorians bedömning: Överensstämmer i huvudsak med reger- ingens. Regeringen föreslår dock till skillnad från promemorian en bestämmelse som påminner om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen. Remissinstanserna: Datainspektionen efterfrågar en analys av tillämpligheten av undantaget från förbudet att behandla särskilda kate- gorier av uppgifter i artikel 9.2 h i dataskyddsförordningen och hur kravet på lagstadgad tystnadsplikt i artikel 9.3 förhåller sig till förslaget. Flera remissinstanser har också lämnat mer övergripande synpunkter om promemorians förslag i förhållande till EU:s dataskyddsförordning (se avsnitt 7.2). Skälen för regeringens förslag och bedömning Förbudet mot behandling av känsliga personuppgifter är inte tillämpligt Av artikel 9.1 i dataskyddsförordningen framgår att behandling av per- sonuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som sär- skilda kategorier av uppgifter. I propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 10.1) anför regeringen i fråga om begreppet känsliga personuppgifter att det är väl inarbetat, även på EU-nivå, och att det är språkligt enklare att använda och förstå, inte minst i författningstext. Regeringen anser därför att begreppet känsliga personuppgifter bör användas i dataskyddslagen som en samlingsbenämning för sådana upp- gifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. Begreppet känsliga personuppgifter används av samma anledning även i lagen om nationell läkemedelslista. Huvudregeln i artikel 9.1 i dataskyddsförordningen kompletteras med ett antal undantag i artikel 9.2, som anger att förbudet i artikel 9.1 inte ska tillämpas i vissa fall. Ett undantag finns i artikel 9.2 h och avser behandling av känsliga personuppgifter som är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system. I propositionen Ny dataskyddslag (prop. 2017/18:105) har regeringen föreslagit en bestämmelse i 3 kap. 5 § lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning som mot- svarar artikel 9.2 h. För att artikel 9.2 h ska vara tillämplig ställs tre förutsättningar upp som alla måste vara uppfyllda. För det första ska behandlingen vara nödvändig av skäl som hör samman med någon av de angivna verksam- heterna. För det andra ska den aktuella verksamheten utföras på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. För det tredje ska förutsätt- ningarna i artikel 9.3 vara uppfyllda, nämligen att personuppgifter bara får behandlas av eller under ansvar av en yrkesutövare, eller av en annan person, som omfattas av tystnadsplikt enligt unionsrätten eller medlems- staternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. I propositionen Dataskydd inom verksamhets- område – en anpassning till EU:s dataskyddsförordning, prop. 2017/18:171 (avsnitt 6.6.4) har regeringen bedömt att eftersom upp- räkningen av verksamheter i artikel 9.2 h inte har inskränkts utan utvid- gats i förhållande till dataskyddsdirektivets reglering, är tidigare bedöm- ningar av vilka verksamheter det är tillåtet att göra undantag för fort- farande relevanta.