prop · H503171 · 2018-03-19 00:00:00 — De bedömningar som gjorts när begränsningarna infördes bör godtas. De be- stämmelser i registerförfattningar som begränsar registrerades rättigheter i förhållande till dem som finns enligt dataskyddsförordningen är tillåtna, utom när det gäller rätten till invändningar. Begränsning av den registrerades rätt att göra invändningar Vad gäller registerförfattningar inom verksamhets- område anser regeringen att registerförfattningar som innehåller en begränsning av den registrerades rätt att göra invändningar reglerar behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Ett nytt krav för begränsningar enligt dataskyddsförordningen (artikel 23.2) är att lagstiftningsåtgärden, när det är relevant, också ska innehålla specifika bestämmelser i vissa uppräknade avseenden, nämligen ända- målen med behandlingen eller kategorierna av behandling, kategorierna av personuppgifter, omfattningen av de införda begränsningarna, skydds- åtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, riskerna för de registrerades rättigheter och friheter och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Registerförfattningar med begränsningar innehåller regelmässigt också bestämmelser i de allra flesta avseenden som räknas upp i artikel 23.2 i dataskyddsförordningen. Sådana registerförfattningar har införts efter 2017/18:171 noggranna överväganden av vilka bestämmelser, utöver dem som finns i personuppgiftslagen, som är relevanta i sammanhanget. om legalitetsprincipen och som görs i propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 8.2) och som regeringen gör i denna proposition, avsnitt 6.5.1, bör tillmätas motsvarande betydel- se i fråga om begränsningar i rätten att göra invändningar i de sektors- specifika registerförfattningarna inom verksam- Det har ansetts att en begränsning av rätten att göra invändningar enligt dataskyddsdirektivet bara förutsätter att det finns en författningsbe- stämmelse om det. Bestämmelser i registerförfattningar om en sådan be- gränsning har därför normalt inte föregåtts av en sådan prövning som den som måste göras enligt artikel 23.1 i dataskyddsförordningen. sådana bestämmelser har genomfört en prövning, i de fall det enligt artikel 21 i dataskyddsförordningen finns en rätt till invändningar, dvs. när den reglerade behandlingen grundar sig på att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (eller klarar en intresseavvägning). Detta gäller patientdatalagen (avsnitt 10.1.5 i SOU 2017:66 och i fråga om nationella och regionala kvalitets- register avsnitt 10.1.16 i nämnda SOU), apoteksdatalagen (avsnitt 10.5.4 i nämnda SOU), lagen om behandling av personuppgifter i ärenden om licens för läkemedel (avsnitt 10.7.4 i nämnda SOU), lagen om behand- ling av personuppgifter inom (avsnitt 10.9.4 i nämnda SOU), socialförsäkringsbalken (avsnitt 10.13.2 i nämnda SOU), lagen om receptregister (avsnitt 11.1.4 i nämnda SOU) och lagen om register över nationella vaccinationsprogram (avsnitt 11.7.3 i nämnda SOU). prövning av om begränsning är tillåten enligt den undantagsmöjlighet som anges i artikel 23.1 i dataskyddsför- ordningen i förhållande till varje enskild registerförfattning har lett till utredningens slutsats att det även fortsättningsvis är tillåtet att begränsa rätten att göra invändningar på det sätt som skett. i de bedömningar som gjorts avseende ovannämnda lagar. I fråga om patientdatalagen så bedömer regeringen i likhet med att personuppgiftsbehandling i stora delar av lagen utförs för att fullgöra rättslig förpliktelse. I sådana fall gäller inte den registrerades rätt att invända enligt artikel 21.1 (se avsnitt 10.1.5, 10.1.7, 10.1.13 samt 10.1.16 i nämnda SOU). Vad gäller skyldigheten att föra registret avseende biobanker så är det en rättslig förpliktelse (se avsnitt 12.1.2 nämnda SOU). Detta gäller även registret över blodverk- samhet (se avsnitt 12.3.3 nämnda SOU), register som förs enligt lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler (se avsnitt 12.4.3 nämnda SOU), register som förs enligt lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ (se avsnitt 12.5.3 nämnda SOU), register som förs enligt patientsäkerhets- lagen (se avsnitt 12.6.2 nämnda SOU) och register som förs enligt alkohollagen (se avsnitt 12.12.2 nämnda SOU). I sådana fall gäller inte den registrerades rätt att invända enligt artikel 21.1. I andra lagar kan stödet för behandlingen av personuppgifter anses vara även fullgörande av rättslig förpliktelse. I sådana fall gäller inte rätten att invända enligt artikel 21.1. Detta gäller apoteksdatalagen (se avsnitt 10.5.4 och 10.5.6 nämnda SOU) och lagen om läkemedelsförteckning (se avsnitt 11.3.5 och 11.3.6 nämnda SOU). Likaså gäller detta personupp- giftsbehandling i form av uppgiftsutlämnande som föreskrivs i lag eller förordning (se 6 § andra stycket lagen om behandling av personuppgifter inom , jfr avsnitt 10.9.3 och 10.9.4 nämnda SOU). Det gäller också uppgiftsskyldigheter enligt lagen om receptregister (jfr avsnitt 11.1.4 och 11.1.5 nämnda SOU), lagen om register över nationella vaccinationsprogram (se avsnitt 11.7.5 nämnda SOU), lagen om biobanker i hälso- och sjukvård m.m. (se avsnitt 12.1.5 nämnda SOU) och lagen om genetisk integritet m.m. (se avsnitt 12.2.3 och 12.2.4 nämnda SOU). Lagen om hälsodataregister och ett antal förordningar reglerar olika slag av s.k. hälsodataregister. Enligt förarbetena till lagen om hälsodata- register är avsikten att de frågor som är gemensamma för alla hälsodata- register ska regleras i en lag medan närmare föreskrifter om enskilda hälsodataregister ska meddelas av regeringen inom de ramar som lagen drar upp (prop. 1997/98:108 s. 44). I 12 § lagen om hälsodataregister be- myndigas därför regeringen att meddela föreskrifter som medför be- gränsningar av sådan behandling av personuppgifter som är tillåten enligt lagen om hälsodataregister. I förarbetena till lagen om hälsodataregister bedöms samtliga ändamål vara av ett högt samhälleligt intresse (prop. 1997/98:108 s. 48). bedömer att ändamålen därmed får anses ha grund i ett allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen. Det bör noteras att vad gäller bestämmelser om uppgiftsskyldighet i lagen om hälsodataregister och förordningarna så är det fråga om fullgörande av rättslig förpliktelse. I hälsodataregistren finns endast en paragraf som reglerar behandlingen och frågan om den registrerades inställning. I 5 § förordningen (2011:116) om register hos över läkemedel som lämnats ut från apotek i anges att personuppgifter inte får behandlas i registret om den registrerade motsätter sig det. Om den enskilde motsätter sig personuppgiftsbehandlingen sedan den påbörjats, ska uppgifterna utplånas ur registret . Socialdata- skyddsutredningen bedömer att bestämmelsen i 5 § förordningen inte be- höver ändras och anför bl.a. följande. Den registrerade har enligt data- skyddsförordningen rätt att invända mot behandling av personuppgifter när det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. I det här fallet har regeringen ansett att den registrerades intressen väger tyngre än intresse av att samla in uppgifter till ett register (se avsnitt 11.6.7 nämnda SOU). Regeringen noterar att registret numera inte torde användas och det bör därför övervägas om förordningen ska upphävas. 6.9.1Den generella regleringen av åtgärder som begränsar behandlingen av personuppgifter Av artikel 6.1 c i dataskyddsdirektivet framgår att behandlade person- uppgifter ska vara adekvata och relevanta och att de inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas. Artikeln har kommit till uttryck i 9 § e och f personuppgiftslagen. Samma princip finns i artikel 5.1 c i dataskyddsförordningen (principen om uppgiftsminimering). Där anges att personuppgifter ska vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas. En annan grundläggande princip enligt dataskyddsförordningen är att den personuppgiftsansvarige enligt artikel 5.1 f ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med invändning av lämp- liga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet). En allmän bestämmelse om den personuppgiftsansvariges ansvar finns i artikel 24 i dataskyddsförordningen. Av den följer att den personupp- giftsansvarige, med beaktande av behandlingens art, omfattning, sam- manhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförord- ningen. Dessa åtgärder ska ses över och uppdateras vid behov. Vidare anges att om det står i proportion till behandlingen, ska åtgärderna om- fatta den personuppgiftsansvariges genomförande av lämpliga strategier för dataskydd. En precisering av det nämnda ansvaret finns i artikel 25 i dataskydds- förordningen som handlar om inbyggt dataskydd och dataskydd som standard. Enligt den artikeln ska den personuppgiftsansvarige, med be- aktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättig- heter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder såsom pseudonymisering. Åtgärderna ska vara utformade för ett effektivt genomförande av dataskyddsprinciper, såsom uppgiftsmini- mering, och för integrering av de nödvändiga skyddsåtgärderna i behand- lingen, så att kraven i dataskyddsförordningen uppfylls och den regi- strerades rättigheter skyddas. Åtgärderna ska vidtas både vid fastställan- det av vilka medel behandlingen utförs med och vid själva behandlingen. Enligt artikel 29 i dataskyddsförordningen gäller att personuppgifts- biträdet och personer som utför arbete under den personuppgifts- ansvariges eller personuppgiftsbiträdets överinseende, och som får till- gång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. I artikel 32 i dataskyddsförordningen anges att med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämp- liga tekniska och organisatoriska åtgärder för att säkerställa en säkerhets- nivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt a)pseudonymisering och kryptering av personuppgifter, b)förmågan att fortlöpande säkerställa konfidentialitet, integritet, till- gänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c)förmågan att återställa tillgängligheten och tillgången till person- uppgifter i rimlig tid vid en fysisk eller teknisk incident, d)ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Enligt artikel 32.2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Vidare ska enligt artikel 32.4 den personuppgiftsansvarige och person- uppgiftsbiträdet vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personupp- giftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. Även enligt dataskyddsdirektivet gäller att den personuppgifts- ansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Enligt artikel 17 i dataskyddsdirektivet ska sådana åtgärder vidtas för att skydda personuppgifter mot bl.a. otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behand- lingen innefattar överföring av uppgifter i ett nätverk. Av artikel 16 i dataskyddsdirektivet framgår att den som får tillgång till personuppgifter med anledning av sitt arbete, får behandla uppgifterna endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag. Bestämmelserna har kommit till uttryck i 30 och 31 §§ person- uppgiftslagen. Att integritet och konfidentialitet finns med bland de allmänna principerna i artikel 5 i dataskyddsförordningen är en nyhet i förhållande till dataskyddsdirektivet. Bestämmelserna om säkerhet i dataskydds- direktivet har liknande innehåll som de i dataskyddsförordningen men är mer allmänt hållna. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Åtgärderna får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som 2017/18:171 inte medger eller inte längre medger identifiering av de registrerade ska ändamålen uppfyllas på det sättet. Artikel 89.1 i dataskyddsförordningen preciserar de mer allmänna bestämmelserna om skyddsåtgärder som nämnts ovan, bl.a. genom att ange att den personuppgiftsansvarige i första hand ska överväga om det är möjligt att behandla sådana uppgifter som inte medger identifiering av de registrerade. Detta kan dock anses följa redan av den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen samt de allmänna bestämmelserna om säkerhet. I dataskyddsdirektivet är formuleringen angående skyddsåtgärder för historiska, statistiska eller vetenskapliga ändamål något annorlunda. I artikel 6.1 b i dataskyddsdirektivet anges att senare behandling för historiska, statistiska eller vetenskapliga ändamål förutsätter att medlemsstaterna beslutar om lämpliga skyddsåtgärder. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämp- liga åtgärder för den skull upphör, kan mer specifika krav fastställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskydds- förordningen (se avsnitt 6.1). För behandling av känsliga personuppgifter med stöd av artikel , i eller j i dataskyddsförordningen gäller att nationell lagstiftning ska inne- hålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Motsvarande krav gäller enligt artikel 10 i dataskyddsförordningen för nationell lag- stiftning som tillåter behandling av uppgifter om lagöverträdelser utan kontroll av en myndighet. Även i artikel 87 i dataskyddsförordningen talas det om lämpliga skyddsåtgärder i fråga om behandling av ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering. Nationell lagstiftning om skyddsåtgärder kan vidare vara nödvändig för att en begränsning av den registrerades rättigheter ska få göras (se avsnitt 6.8.2). Olika skyddsåtgärder är således inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. 6.9.2Bestämmelser om skyddsåtgärder i registerförfattningar Regeringens bedömning: Bestämmelser i registerförfattningar om olika former av åtgärder som kan anses utgöra skyddsåtgärder behöver inte ändras. I fråga om enskildas behandling gäller det under förut- sättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c eller e i EU:s dataskyddsförordning eller om behandlingen av upp- gifterna grundar sig på artikel , i eller j eller artikel 10 i data- skyddsförordningen. bedömning: Överensstämmer i allt väsentligt med regeringens bedömning förutom att begreppet åtgärder eller skyddsåtgärder i regel används i stället för säkerhetsåtgärd. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen påpekar att skyddsåtgärder och säkerhetsåtgärder inte är synonyma begrepp. Skyddsåtgärder är ett vidare begrepp. Som exempel kan anges att det inte är en säkerhetsåtgärd att tillmäta den registrerades inställning till en behandling betydelse, medan den registrerades inställning däremot kan anses utgöra en skyddsåtgärd. Datainspektionen delar uppfattningen att den registrerades inställning till en behandling är en viktig skyddsåtgärd. Att en behandling får ske med den enskildes medgivande är integritetshöjande och används vidare än samtycke i övrigt, bl.a. ges patienten ett viktigt inflytande vid samman- hållen journalföring. Enligt bestämmelserna om sammanhållen journal- föring kan vårdpersonal tillfråga patienten om denne godtar att vård- givaren tar del av andra vårdgivares uppgifter om patienten. Det är en ojämlik situation där patienten är i beroendeställning. Enligt Datainspek- tionen hindrar det emellertid inte att samtycket används som integritets- höjande åtgärd eftersom begränsningen enligt skäl 43 att använda samtycke i ojämlika situationer avser samtycke som utgör giltig rättslig grund för behandling av personuppgifter. Eftersom vårdgivare har andra rättsliga grunder som stöd för sin behandling av patientuppgifter inom hälso- och sjukvården kan ett integritetshöjande samtycke användas oavsett att relationen är ojämlik. Det kan emellertid vara svårt för såväl den registrerade som den personuppgiftsansvarige att skilja på samtycke som utgör rättslig grund för behandling av personuppgifter och integritetshöjande samtycke. Datainspektionen anser därför att lagstifta- ren bör överväga om inte ett annat ord bör införas för det integritets- höjande samtycket såsom exempelvis godkännande, som utredningen nämner, eller medgivande, som Datainspektionen föreslog i remissvaret gällande Nationella läkemedelslistan. Oavsett vilket ord som används är det viktigt att det tydliggörs vilken form av samtycke som lagstiftaren avser. Ett integritetshöjande samtycke måste ha en annan rättslig grund och stöd för behandling av känsliga personuppgifter. anför att begreppet socialförsäkringsdatabasen bör utmönstras ur lagstiftningen då det enbart är fråga om ett teoretiskt begrepp som betecknar uppgiftsmängder till vilka Pensions- myndigheten och får ha direktåtkomst. I själva verket består socialförsäkringsdatabasen av en stor mängd personuppgifter som behandlas av båda myndigheterna inom respektive verksamhet. Dessa uppgiftsmängder är inte avgränsade på ett sådant sätt att det finns fog för att tala om en socialförsäkringsdatabas. Regleringen av respektive myndighets personuppgiftsansvar gör att begreppet framstår som än mer missvisande. Skälen för regeringens bedömning Begreppen skyddsåtgärd och säkerhetsåtgärd I dataskyddsförordningen används orden skyddsåtgärd och säkerhets- åtgärd. Det saknas en definition, utan begreppen får sitt innehåll i det sammanhang där de används eller genom de åtgärder som kan vidtas för att t.ex. säkerställa uppgifternas säkerhet. I vissa artiklar används endast 2017/18:171 formuleringar som lämpliga och särskilda åtgärder, t.ex. artikel och i i dataskyddsförordningen. Vidare används ordet säkerhetsåtgärder i artikel 10 som likvärdigt med straffprocessuella tvångsmedel. Regeringen instämmer i Datainspektionens påpekande att skydds- åtgärder och säkerhetsåtgärder inte är synonyma, utan att skyddsåtgärder är ett vidare begrepp. Enligt regeringens mening är det därför lämpligare att i regel använda ordet skyddsåtgärder i stället för säkerhetsåtgärd. En databas som används gemensamt i verksamheten För vissa verksamheter har man valt att i registerförfattning knyta sär- skilda regler till viss behandling av personuppgifter som anses särskilt integritetskänslig. Exempelvis bedöms sådan behandling av personupp- gifter, som innebär att fler än ett fåtal personer har såväl tillgång till som möjlighet att bearbeta eller förfoga över uppgifterna på annat sätt, typiskt sett mer integritetskänslig än vad som är fallet när endast någon enstaka person förfogar över uppgifterna (prop. 2002/03:135 s. 47 f.) För att avgränsa vilka personuppgifter som berörs, används ofta ett databasbegrepp. Begreppet används i juridisk mening och ansluter inte nödvändigtvis till tekniska avgränsningar eller behörighetstilldelningar. En avgränsning av vilka personuppgifter som får behandlas i en viss databas är ett förtydligande och en tillämpning av vad som gäller enligt den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Samma princip, uttryckt på i sak samma sätt, finns i artikel 6.1 b i dataskyddsdirektivet. Bestämmelser i registerför- fattningar om begränsningar av användares åtkomst till personuppgifter samt om uppföljning av åtkomsten är tänkta att innebära en konkreti- sering av personuppgiftslagens bestämmelser om säkerhet. Genom att användaren endast får tillgång till sådana personuppgifter som han eller hon exempelvis har behov av i sitt arbete, kan risken för otillåten be- handling av personuppgifter förbyggas eller åtminstone minskas. Loggkontroller medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behandlats på ett otillåtet sätt. Styrning av tilldelning och begränsning av behörigheter är sådana tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta på eget initiativ enligt dataskyddsförordningen. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav även fast- ställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Logguppföljning medför i sig vissa särskilda integritetsrisker som bör beaktas. Om uppföljning sker av anställdas åtgärder i ett ärende- hanteringssystem, kan exempelvis personuppgifter avseende såväl enskilda, vars uppgifter finns i ett ärende, som de anställda komma att behandlas. Det får förutsättas att en bedömning av dessa integritetsrisker i förhållande till eventuella integritetsvinster har gjorts innan befintliga bestämmelser om logguppföljning har införts i registerförfattningar. Direktåtkomst och utlämnande på medium för automatiserad behandling