prop · H503171 · 2018-03-19 00:00:00 — Regeringens förslag: Hänvisningen till personuppgiftslagens bestäm- melser om överklagande i 10 kap. 2 § tredje stycket patientdatalagen upphävs. Regeringens bedömning: Bestämmelsen om överklagande kan i övrigt behållas. förslag och bedömning: Överens- stämmer huvudsakligen med regeringens. hänvisningen till personuppgiftslagens bestämmelser om överklagande ersätts med hänvisning till dataskyddslagen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Skälen för regeringens förslag och bedömning: Bestämmelser om överklagande finns i 10 kap. 2 § patientdatalagen. Av första stycket följer att Inspektionen för vård och omsorgs beslut om att avslå en ansökan om förstöring av en patientjournal enligt 8 kap. 4 § första stycket, samt i 2017/18:171 fråga om omhändertagande eller återlämnande av patientjournaler enligt 9 kap. 1 och 2 §§, får överklagas till allmän förvaltningsdomstol. Pröv- ningstillstånd krävs vid överklagande till kammarrätten. Av andra stycket följer att i fråga om överklagande av Inspektionen för vård och omsorgs beslut enligt 8 kap. 2 § andra stycket angående utlämnande av en journalhandling gäller i tillämpliga delar 6 kap. 7–11 §§ offentlighets- och sekretesslagen (2009:400). I tredje stycket upplyses om att vid sådan behandling av personuppgifter som avses i 1 kap. 4 §, dvs. behandling som är helt eller delvis automatiserad eller där uppgifterna ingår eller är avsedda att ingå i ett register, finns ytterligare bestämmelser om över- klagande i 51–53 §§ personuppgiftslagen. Övriga beslut enligt patient- datalagen får enligt fjärde stycket inte överklagas. Hänvisningen till personuppgiftslagen i 10 kap. 2 § tredje stycket patientdatalagen bör, i enlighet med bedömningen i avsnittet 6.12, upp- hävas. De övriga bestämmelserna om överklagande rör andra beslut än sådana som kan överklagas enligt dataskyddslagen och bör därför be- hållas. 7.2Apoteksdatalagen (2009:367) 7.2.1Förhållandet till annan reglering Regeringens förslag: I 5 § apoteksdatalagen införs en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också upplysas om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av apoteksdatalagen eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av över- vägandena i avsnitt 6.3. 7.2.2Den enskildes inställning till behandling av personuppgifter Regeringens bedömning: Bestämmelsen i 6 § apoteksdatalagen om den enskildes inställning till behandlingen av personuppgifter kan och bör behållas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att de registerförfattningar som innehåller Prop. 2017/18:171 bestämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation den registrerade befinner sig i förhållande till den personuppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de personuppgiftsansvariga om och under vilka förutsättningar samtycke kan ges och hur samtycket påverkar övriga regler i aktuell registerförfattning. Datainspektionen saknar emellertid sådana särskilda överväganden beträffande 6 § apoteksdatalagen. Någon kommentar gällande privata vårdgivare görs inte. Skälen för regeringens bedömning Rätten att invända mot behandling av personuppgifter Behandling av personuppgifter som är tillåten enligt apoteksdatalagen får enligt 6 § första stycket apoteksdatalagen utföras även om den enskilde motsätter sig behandlingen. Den registrerade har enligt dataskyddsförordningen rätt att invända mot behandling av personuppgifter, under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller om behandlingen sker med stöd av en intresse- avvägning. bedömer att stora delar av den behand- ling av personuppgifter som utförs enligt apoteksdatalagen, sker för att fullgöra en rättslig förpliktelse (SOU 2017:66 s. 376 f.). Eftersom data- skyddsförordningen inte ger den registrerade rätt att invända mot behand- ling som sker med stöd av den grunden, utgör bestämmelsen i 6 § första stycket apoteksdatalagen inte någon begränsning av den registrerades rätt att göra invändningar i förhållande till sådan behandling. Regeringen instämmer i denna bedömning. När det däremot gäller behandling som grundar sig på ett allmänt intresse måste, som anges i avsnitt 6.8.2, en bedömning göras av om begränsningen av rätten att göra invändningar uppfyller de krav som anges i artikel 23 i dataskyddsförordningen. Bestämmelsen måste för det första utgöra en åtgärd i syfte att säker- ställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (artikel 23.1 e). Bedrivande av verksamhet inom bl.a. hälso- och sjukvård inklu- sive den administration sådan verksamhet kräver är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Regeringen anser att även den behandling av personuppgifter som utförs av apoteken enligt apoteksdatalagen får anses utgöra ett sådant generellt allmänt intresse. 2017/18:171 För det andra måste åtgärden att begränsa rätten att göra invändningar ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demo- kratiskt samhälle. Att göra den behandling av personuppgifter som be- hövs i apotekens verksamhet enligt apoteksdatalagen beroende av den registrerades inställning skulle hindra apoteken från att bedriva arbetet på ett effektivt och patientsäkert sätt. En begränsning av rätten att invända mot behandling är en nödvändig och proportionell åtgärd i ett demo- kratiskt samhälle i syfte att säkerställa ett generellt mål av allmänt intresse. Begränsningen anses inte strida mot andemeningen i de grund- läggande rättigheterna och friheterna. En begränsning av rätten att göra invändningar måste också uppfylla kraven i artikel 23.2 i dataskyddsförordningen på vilka bestämmelser som den lagstiftning som begränsar den registrerades rättigheter ska innehålla. Bestämmelser med det innehåll som krävs finns redan i apoteksdatalagen. Det är sammantaget möjligt att begränsa möjligheten att göra invänd- ningar mot behandling av personuppgifter på det sätt som regleras i 6 § första stycket apoteksdatalagen. Samtycke som grund för behandlingen Behandling av personuppgifter som inte är tillåten enligt apoteks- datalagen får enligt 6 § andra stycket apoteksdatalagen ändå utföras, om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. ansåg att någon ny avvägning inte behöver göras angående lämpligheten i att grunda en behandling av personupp- gifter på samtycke. Detta i enlighet med den bedömning som utredningen gör i betänkandet, SOU 2017:66 avsnitt 9.10.2. Datainspektionen anser att de registerförfattningar som innehåller bestämmelser om samtycke som rättslig grund måste analyseras noggrant, dels utifrån om samtycke överhuvudtaget kan användas med hänsyn till den situation den registrerade befinner sig i förhållande till den personuppgiftsansvarige, dels utifrån att dataskyddsförordningen inte ger stöd till medlemsstaterna att införa nationella bestämmelser om samtycke som rättslig grund. Det måste stå klart för både de registrerade och de personuppgiftsansvariga om och under vilka förutsättningar sam- tycke kan ges och hur samtycket påverkar övriga regler i aktuell register- författning. Datainspektionen saknar emellertid sådana särskilda över- väganden beträffande 6 § apoteksdatalagen. Någon kommentar gällande privata vårdgivare görs inte. Som anges i avsnitt 6.5.2 förekommer det att myndigheter och enskilda tillåts att med stöd av samtycke behandla personuppgifter för andra ändamål eller i andra fall än de i författningen angivna. En sådan regel finns i 6 § andra stycket apoteksdatalagen. Enligt den bedömning som redovisas i samma avsnitt kan sådana bestämmelser behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen och skäl 8 till dataskyddsförordningen om att det är tillåtet att införliva delar av dataskyddsförordningen i nationell rätt. Regeringen delar därför inte Datainspektionens bedömning att ytterligare analys är nödvändig. Ändrad hänvisning i fråga om finalitetsprincipen Prop. Regeringens förslag: Hänvisningen i 9 § apoteksdatalagen till personuppgiftslagens bestämmelse om finalitetsprincipen tas bort. I stället införs en bestämmelse där det anges att personuppgifter som behandlas får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag: Överensstämmer huvudsak- ligen med regeringens. Utredningen föreslår en annan formulering av bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Övriga synpunkter, se avsnitt 6.5.3. Skälen för regeringens förslag: I 9 § apoteksdatalagen finns en hän- visning till 9 § första stycket d och andra stycket personuppgiftslagen. Hänvisningen innebär att finalitetsprincipen, dvs. att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, gäller. Hänvisningen innebär vidare att behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka upp- gifterna samlades in. Som anges i avsnitt 6.5.3 kan registerförfattningar även fortsättnings- vis, i syfte att förtydliga att de uppräknade ändamålen inte är uttöm- mande, innehålla bestämmelser med innebörden att behandling av personuppgifter för andra ändamål som inte strider mot finalitets- principen är tillåten. Eftersom personuppgiftslagen kommer att upphöra att gälla, bör bestämmelsen utformas i enlighet med vad som anges i det avsnittet. Regeringens förslag: Apoteksdatalagen kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i EU:s dataskydds- förordning på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Regeringens bedömning: Behandling av känsliga personuppgifter inom apoteksdatalagens tillämpningsområde kan alltjämt ske med stöd av ändamålsbestämmelserna i apoteksdatalagen. förslag och bedömning: Överens- stämmer med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse 2017/18:171 med artikel 9. Det är inte förenligt med dataskyddsförordningen att förutsätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. I betänkandet är ut- gångspunkten att alla verksamheter som har tillåtits att behandla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. Skälen för regeringens förslag och bedömning: I avsnitt 6.6.4 anges vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsför- ordningen. Mot bakgrund av den omfattande uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 i dataskyddsförordningen och det förhållandet att personalen på apotek omfattas av samma tystnadsplikt som personalen vid vårdinrättningar, gör regeringen i likhet med bedömningen att den verksamhet som apoteksdatalagen omfattar ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Apoteks- datalagens reglering är därmed förenlig med dataskyddsförordningen. Som anges i avsnitt 6.6.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i apoteksdatalagen. Apotekspersonal har redan tystnadsplikt enligt patient- säkerhetslagen (2010:659), se 6 kap. 12 § jämförd med 1 kap. 4 § patientsäkerhetslagen. Som anges i avsnitt 6.6.6 anser regeringen att bestämmelser i särskilda registerförfattningar på område som tillåter be- handling av alla kategorier av känsliga personuppgifter enligt nuvarande definition bör avse också de nya kategorier av känsliga personuppgifter som tillkommer med dataskyddsförordningen. 7.2.5Bestämmelsen om rättelse och skadestånd upphävs Regeringens förslag: Bestämmelsen i 15 § apoteksdatalagen som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen i 15 § apoteksdata- lagen hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Bestämmelsen bör upphävas (se avsnitt 6.8.1 och 6.11.1). Information som ska lämnas självmant Regeringens förslag: Bestämmelserna i 16 § apoteksdatalagen kompletteras med en upplysning om att information även ska lämnas enligt EU:s dataskyddsförordning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort. Därmed tas det bort att informa- tionen ska innehålla upplysningar om vem som är personuppgifts- ansvarig, ändamålen med behandlingen, rätten att ta del av uppgifterna enligt 26 § personuppgiftslagen, rätten till rättelse av oriktiga eller missvisande uppgifter, rätten till skadestånd vid behandling av personuppgifter i strid med denna lag, vad som gäller i fråga om bevarande samt huruvida personuppgiftsbehandlingen är frivillig eller inte. Hänvisningen till apoteksdatalagens bestämmelse om skadestånd er- sätts med en hänvisning till dataskyddsförordningen och dataskydds- lagen. Regeringens bedömning: Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. förslag: Överensstämmer med regeringens. Utredningen föreslår en annan utformning av författnings- bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag och bedömning: Enligt 16 § apoteksdatalagen ska den personuppgiftsansvarige se till att den registrerade får viss information om behandlingen av personuppgifter. Bestämmelsen är en precisering av personuppgiftslagens informations- I övrigt gäller bestämmelserna om information i 23–27 §§ Regeringen har i avsnitt 6.8.1 redogjort för vilken information den personuppgiftsansvarige är skyldig att lämna till den registrerade enligt Flera av de upplysningar som den personupp- giftsansvarige ska ta med i informationen enligt apoteksdatalagen mot- svaras av informationsskyldigheten i dataskyddsförordningen. I apoteksdatalagen anges dock ett antal upplysningar som inte omfattas av dataskyddsförordningens reglering, nämligen upplysningar om den uppgiftsskyldighet som kan följa av lag eller förordning, de tystnads- plikts- och säkerhetsbestämmelser som gäller för uppgifterna och be- handlingen, rätten till skadestånd samt vad som gäller i fråga om sökbe- Informationsskyldigheten enligt dataskyddsförordningen innebär å sin sida krav på att informationen ska innehålla vissa upplysningar som inte följer av apoteksdatalagens reglering. De bestämmelser i apoteksdatalagen som föreskriver att mer informa- tion ska lämnas än vad som krävs enligt dataskyddsförordningen kan, i enlighet med bedömningen som gjorts i avsnitt 6.8.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Att uppfylla de tillkommande kraven på information till den registre- rade som föreskrivs i dataskyddsförordningen kan inte anses medföra 2017/18:171 några särskilda olägenheter för den personuppgiftsansvarige. Det finns därför, som anges i avsnitt 6.8.2, inte anledning att överväga en begräns- ning av rätten att få denna information. Den personuppgiftsansvarige bör vara skyldig att lämna såväl den information som följer av dataskyddsförordningen som den ytterligare information som ska lämnas enligt apoteksdatalagen. Detta bör regleras genom att 16 § apoteksdatalagen kompletterar och hänvisar till dataskyddsförordningens reglering på det sätt som anges i avsnitt 6.8.1. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd, som regeringen i avsnitt 7.2.5 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav i apoteksdatalagen som innebär att informationen ska inne- hålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Även den generella regeln i 16 § första stycket apoteksdatalagen om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och formuleringen om att den personuppgiftsansvarige ska lämna viss angiven information utöver vad som framgår av dataskyddsförordningen. 7.3Lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel 7.3.1Förhållandet till annan reglering Regeringens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel ska innehålla en upplysning om att lagen kompletterar EU:s dataskyddsförordning. Det ska också upplysas om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om behandling av personuppgifter i ärenden om licens för läkemedel eller föreskrifter som har meddelats i anslutning till den lagen. förslag: Överensstämmer huvudsak- ligen med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av regeringens överväganden i avsnitt 6.3. Ändrad hänvisning i fråga om finalitetsprincipen Prop. Regeringens förslag: Hänvisningen till personuppgiftslagens bestäm- melse om finalitetsprincipen i 9 § lagen om behandling av personupp- gifter i ärenden om licens för läkemedel tas bort. I stället införs en bestämmelse där det anges att personuppgifter som behandlas får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag: Överensstämmer huvudsak- ligen med regeringens. Utredningen föreslår en annan formulering av bestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Övriga synpunkter, se avsnitt 6.5.3. Skälen för regeringens förslag: I 9 § lagen om behandling av person- uppgifter i ärenden om licens för läkemedel finns det en hänvisning till finalitetsprincipen i 9 § första stycket d och andra stycket personuppgifts- lagen. Det innebär att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in samt att behandling av personuppgifter för historiska, statistiska eller vetenskap- liga ändamål inte ska anses som oförenlig med de ändamål för vilka upp- gifterna samlades in. Som anges i avsnitt 6.5.3 kan registerförfattningar i förtydligande syfte även fortsättningsvis innehålla bestämmelser med innebörden att behand- ling av personuppgifter för andra ändamål som inte strider mot finalitets- principen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet. Regeringens förslag: Lagen om behandling av personuppgifter i ärenden om licens för läkemedel kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i EU:s dataskyddsförord- ning på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Regeringens bedömning: Behandling av känsliga personuppgifter kan alltjämt ske med stöd av ändamålsbestämmelserna i lagen om be- handling av personuppgifter i ärenden om licens för läkemedel. förslag och bedömning: Överens- stämmer med regeringens. Utredningen föreslår en annan utformning av författningsbestämmelsen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag och bedömning. anser att 9 a § har karaktären av en upplysnings- bestämmelse och att bestämmelsen därmed kanske inte är nödvändig eftersom utredningen redan gjort en bedömning att alla som enligt lagen 2017/18:171 får behandla känsliga personuppgifter i ärenden om licens omfattas av tystnadsplikt. Datainspektionen anser att nationella bestämmelser som innebär att personuppgiftsansvariga får behandla känsliga personuppgifter, oavsett om det avser någon eller alla kategorier, måste vara i överensstämmelse med artikel 9. Det är inte förenligt med dataskyddsförordningen att förutsätta att dessa bedömningar har gjorts i tidigare lagstiftningsarbeten. Analyser måste göras av vilka kategorier av känsliga personuppgifter som är nödvändiga att behandla i en viss verksamhet. I betänkandet är utgångspunkten att alla verksamheter som har tillåtits att behandla samtliga kategorier av känsliga personuppgifter ska få göra det även i fortsättningen, inklusive de nya kategorierna, utan någon analys av om det faktiskt behövs. Skälen för regeringens förslag och bedömning: Lagen om behand- ling av personuppgifter i ärenden om licens för läkemedel innehåller inte bestämmelser som särskilt tar sikte på behandling av känsliga person- uppgifter utan ändamålsbestämmelserna tillåter nödvändig behandling av alla slags personuppgifter för de angivna ändamålen. Eftersom känsliga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter, påverkas inte regleringen av att det har tillkommit nya kategorier av känsliga personuppgifter. Som anges i avsnitt 6.6.6 anser regeringen att bestämmelser i särskilda registerförfattningar på Social- departementets område som tillåter behandling av alla kategorier av känsliga personuppgifter enligt nuvarande definition bör avse också de nya kategorier av känsliga personuppgifter som tillkommer med data- skyddsförordningen. I avsnitt 6.6.4 anges vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Mot bakgrund av den omfattande uppräk- ningen av vad som innefattas i förvaltning av hälso- och sjukvårds- tjänster i skäl 53 i dataskyddsförordningen, görs bedömningen att den verksamhet som omfattas av lagen om behandling av personuppgifter i ärenden om licens för läkemedel ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen.