prop · H503171 · 2018-03-19 00:00:00 — Även för sådana behandlingar anser regeringen att det är fråga om specifika bestämmelser som det enligt artikel 6.2 och 6.3 i data- skyddsförordningen är tillåtet att ha i nationell rätt för att reglera behand- ling som grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en upp- gift av allmänt intresse eller som led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Det är därför under dessa förutsättningar tillåtet att behålla begräns- ningarna för de uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen men som inte omfattas av artikel 10 i dataskydds- förordningen. Av samma skäl kan även bestämmelser om skyddsåtgärder behållas. Begränsningar av enskildas behandling av personuppgifter, som omfattas av artikel 10 i dataskyddsförordningen, är dessutom tillåtna i form av skyddsåtgärder enligt samma artikel. Bestämmelser i registerförfattningar som begränsar möjligheten att be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsbe- rövanden kan och bör därför behållas, trots att definitionen av uppgifter om lagöverträdelser i registerförfattningarna inte blir enhetlig med den som finns i dataskyddsförordningen och den föreslagna dataskyddslagen. Omfattar bestämmelsen enskildas behandling, måste det dock först konstateras att behandlingen har en sådan rättslig grund att det är tillåtet med mer specifika bestämmelser. Om så inte är fallet, får begräns- ningarna inte gälla för uppgifter om friande domar i brottmål eller administrativa frihetsberövanden, eftersom sådana uppgifter inte om- fattas av dataskyddsförordningens krav på begränsningar. Bestämmelser som reglerar behandling av uppgifter om lagöverträdel- ser m.m. som avses i 21 § personuppgiftslagen finns i 2 kap. 7 och 8 §§ samt 7 kap. 8 § patientdatalagen (avsnitt 7.1.5) och 114 kap. 12 § social- försäkringsbalken (avsnitt 7.5.6). 6.8.1Utökade rättigheter för registrerade Regeringens bedömning: Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska innehålla fler upplysningar än vad som följer av EU:s dataskyddsförordning kan och bör behållas om den ursprungliga behandlingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen bör tas bort. Bestämmelserna bör komp- letteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Bestämmelser i registerförfattningar som hänvisar till personupp- giftslagens bestämmelser om rättelse bör upphävas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. läns landsting, Kommuner och Landsting och anser att det med stöd av artikel 23 i dataskyddsförordningen behöver införas en bestämmelse i patientdatalagen som gör det möjligt för vård- givare att fatta automatiserade beslut, inbegripet profilering, för individ- nära vård och behandling. Inom intensivvården på sjukhus används övervakningssystem i form av medicintekniska produkter som monito- rerar en patients blodtryck, hjärta, blodvärden m.m. används det visserligen inte några helautomatiska system som både övervakar vitalparametrar och som baserat på tröskelvärden automatiskt injicerar läkemedel. Det utesluter dock inte tillkomsten av sådana lösningar . Ett autonomt system kan anses fatta beslut i dataskyddsför- ordningens mening. En annan fråga är om maskinen ”profilerar”. Enligt artikel 22.4 i dataskyddsförordningen råder ett förbud för automatiserade beslut, inbegripet profilering, som innefattar känsliga personuppgifter, t.ex. patientuppgifter, såvida inte artikel 9.2 a (uttryckligt samtycke) eller g (viktigt allmänt intresse) är tillämplig och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Hälso- och sjukvård är en arbetsuppgift av allmänt intresse, men inte ett sådant allmänt intresse som är ”viktigt”. Det är tveksamt om en vårdgivare får behandla känsliga patientuppgifter inom ramen för automatiserade beslut inklusive profilering med stöd av bestämmelserna i patientdatalagen om individinriktad vård och behandling. Swedish Medtech anser att det råder oklarhet om huruvida artikel 22.1 i dataskyddsförordningen enbart är grundad på profilering. Swedish Medtechs tolkning är att artikel 22.1 omfattar all sorts automatiserad beslutsfattning, däri inbegripet, dvs. inklusive, profilering. Då det sker en väldigt snabb utveckling kring automatiserat beslutsfattande baserat på 2017/18:171 individuella data inom vården , framhåller Swedish Medtech att behov finns att få till stånd ett klargörande. Skälen för regeringens bedömning Information som ska lämnas självmant I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge denne ökad kontroll över sina personuppgifter. Av artikel 13.1 i dataskyddsförordningen följer att om personuppgifter samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna viss information om den personuppgiftsansvarige, dataskyddsombudet, ändamål och rättslig grund för behandlingen, de intressen som en eventuell behandling som sker med stöd av en intresseavvägning enligt artikel 6.1 f baseras på, mottagarna eller de kategorier av mottagare som ska ta del av person- uppgifterna samt uppgifter om överföring till tredjeland eller en internationell organisation. Vidare följer av artikel 13.2 i dataskyddsförordningen att information ska lämnas om lagringstid, uppgift om den registrerades rätt till tillgång, rättelse, radering, begränsning av behandling, invändning mot behand- ling och dataportabilitet, rätten att – om behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a – när som helst återkalla samtycket utan att detta påverkar lagligheten av behandling som skett innan samtycket återkallades, rätten att inge klagomål till en tillsyns- myndighet, uppgift om huruvida den registrerade är skyldig att tillhanda- hålla personuppgifterna och följderna av att uppgifterna inte lämnas samt uppgift om automatiserat beslutsfattande, inbegripet profilering. Om den personuppgiftsansvarige avser att ytterligare behandla person- uppgifterna för ett annat syfte än det för vilket de samlades in, ska den personuppgiftsansvarige enligt artikel 13.3 i dataskyddsförordningen före den behandlingen ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2. Punkterna 1, 2 och 3 ska enligt artikel 13.4 i dataskyddsförordningen inte tillämpas om den registrerade redan förfogar över informationen. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Utöver den information som anges i artikel 13 ska även information om de kategorier av personuppgifter som behandlingen gäller lämnas (artikel 14.1 d). I stället för information om skyldigheten att tillhandahålla personuppgifterna gäller att information ska lämnas om varifrån uppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor (artikel 14.2 f). När det gäller den tidpunkt inom vilken informationen ska lämnas anges i artikel 14.3 i dataskyddsförordningen att den personuppgifts- ansvarige ska lämna informationen inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas. Det finns också möjlighet att lämna information först vid tid- punkten för den första kommunikationen med den registrerade eller först när personuppgifterna lämnas ut . Av artikel 14.5 framgår att information inte behöver lämnas om den registrerade redan har tillgång till informationen. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, eller i den mån informationsskyldigheten sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen. I sådana fall ska den personuppgifts- ansvarige vidta lämpliga skyddsåtgärder. Om erhållande eller utläm- nande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, behöver informa- tion inte heller lämnas. Information ska inte heller lämnas om personupp- gifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lag- stadgade sekretessförpliktelser. Av artikel 12.1 i dataskyddsförordningen följer att den personuppgifts- ansvarige ska tillhandahålla informationen som avses i artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det, får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt. Regleringen i den föreslagna dataskyddslagen Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 13) att artiklarna 13–15 i EU:s dataskyddsförordning om information och rätt att få tillgång till personuppgifter inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller författning eller enligt beslut som har meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet, gäller undantaget även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400), se förslag till 5 kap. 1 § dataskyddslagen. Skillnader i förhållande till regleringen i dataskyddsdirektivet och personuppgiftslagen Dataskyddsförordningens bestämmelser om information är mer utförliga än de som finns i artikel 10 och 11 i dataskyddsdirektivet. Den regi- strerade har således en rätt att få mer information än vad som gäller enligt dataskyddsdirektivet. Kontaktuppgifter till dataskyddsombudet, uppgift om tredjelandsöverföring, lagringstid, rätten att återkalla ett sam- tycke och rätten att inge klagomål är exempel på information som tillkommit. En annan nyhet är att den personuppgiftsansvarige är skyldig att informera innan denne ytterligare behandlar personuppgifterna för ett annat syfte än det för vilket de samlades in. 2017/18:171 Regleringen av information ska lämnas om be- handling av uppgifter som har samlats in från någon annan än den registrerade har också ändrats. Huvudregeln enligt dataskyddsdirektivet är att informationen ska lämnas vid tiden för registreringen, medan data- skyddsförordningen föreskriver att det ska ske inom en rimlig tid från er- hållandet av uppgifterna. Enligt dataskyddsförordningen finns det också möjlighet att informera först i samband med den första kommunikationen med den registrerade. Bestämmelsen i artikel 12.1 i dataskyddsförordningen om i vilken form information ska lämnas saknar motsvarighet i dataskyddsdirektivet. Bestämmelser i registerförfattningar om att information utöver vad som följer av dataskyddsförordningen ska lämnas självmant Det förekommer att det i registerförfattningar finns bestämmelser som preciserar personuppgiftslagens reglering av vilken information den personuppgiftsansvarige självmant på ett eller annat sätt ska lämna till den registrerade. Bestämmelserna har införts för att det ska bli tydligare vilken information som ska lämnas (se t.ex. prop. 2008/09:145 s. 363 och prop. 2007/08:126 s. 208). Regeringen anser i likhet med bedöm- ning att sådana bestämmelser i registerförfattningar som innebär att den information som ska lämnas till registrerade ska innehålla fler upplys- ningar än vad som följer av dataskyddsförordningen kan behållas i de fall den ursprungliga behandlingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning (se avsnitt 6.1). Om bestämmelserna kräver att informationen ska innehålla sådana upplysningar som ska lämnas enligt dataskyddsförordningens bestäm- melser om information, så bör enligt regeringens bedömning dessa krav tas bort. Att bestämmelserna rensas på informationskrav innebär inte någon skillnad i sak, eftersom samma krav gäller enligt dataskydds- förordningen. För att bestämmelserna om information i registerförfatt- ningarna inte ska leda till den felaktiga slutsatsen att de reglerar all den information som behöver lämnas självmant, bör bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Hänvisningen till dataskyddsförord- ningens bestämmelser om information bör vara av dynamisk, dvs. avse vid varje tid gällande lydelse av bestämmelserna, eftersom det bara gäller en upplysning och dataskyddsförordningen är direkt tillämplig. Information som ska lämnas på begäran (registerutdrag) Den registrerades rätt till tillgång regleras i artikel 15 i dataskyddsförord- ningen. Den registrerade har rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna. Den registrerade har också rätt till viss information om ändamålen med be- handlingen, de kategorier av personuppgifter som behandlingen gäller, mottagarna eller de kategorier av mottagare till vilka personuppgifterna lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer, lagringstid, rätten till rättelse, radering, begränsning av behandling och invändning mot behandling, rätten att inge klagomål till en tillsynsmyndighet, varifrån uppgifterna kommer samt automatiserat beslutsfattande, inbegripet profilering. I artikel 15.2 stadgas att om personuppgifterna överförs till tredjeland eller till en internationell organisation ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen. Den personuppgiftsansvarige ska enligt artikel 15.3 i dataskyddsför- ordningen förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form, ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat. Av skäl 63 i dataskyddsförordningen framgår bl.a. att den registrerade bör kunna utöva sin rätt att få tillgång med rimliga intervall. Enligt artikel 12.1 i dataskyddsförordningen ska informationen till- handahållas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhanda- hållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det, får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt. I artikel 12 i dataskyddsförordningen finns även vissa andra krav som den personuppgiftsansvarige ska iaktta, bl.a. avseende den tid inom vilken information ska lämnas till den registrerade. Där finns också en bestämmelse om att den personuppgiftsansvarige har möjlighet att ta ut en avgift eller vägra att tillmötesgå en begäran enligt artikel 15 i dataskyddsförordningen, om denna är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art. Regleringen i den föreslagna dataskyddslagen Regeringen föreslår i propositionen Ny dataskyddslag (avsnitt 13) att artikel 15 i EU:s dataskyddsförordning inte gäller personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Undantaget gäller inte om uppgifterna har lämnats ut till tredje part eller om de behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål eller har behandlats i löpande text som inte fått sin slutliga utformning (5 kap. 2 § dataskyddslagen). Rätten till rättelse, radering och begränsning av behandling Den registrerade har enligt dataskyddsförordningen rätt till rättelse (artikel 16), rätt till radering (artikel 17) och rätt till begränsning av behandling (artikel 18). Det finns inte någon definition av begreppet radering i dataskyddsförordningen. Det finns inte heller något i skälen till dataskyddsförordningen om vad som avses med begreppet. 2017/18:171 enligt vanligt språkbruk anses innebära samma sak som begreppet utplåning som används i dataskyddsdirektivet. Rätten till radering är dock betydligt mer detaljerat reglerad än rätten till utplåning enligt dataskyddsdirektivet. Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett komp- letterande utlåtande. Rätten till komplettering är ny i förhållande till data- skyddsdirektivet. Rätten till radering, också kallad rätten att bli bortglömd, följer av artikel 17 i dataskyddsförordningen. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personupp- gifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller: a)Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. b)Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen. c)Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2. d)Personuppgifterna har behandlats på olagligt sätt. e)Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. f)Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, i de fall som avses i artikel 8.1. I artikel 17.2 anges att om den personuppgiftsansvarige har offentlig- gjort personuppgifterna och enligt punkt 1 är skyldig att radera person- uppgifterna, ska den personuppgiftsansvarige med beaktande av tillgäng- lig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter. Rättigheten är inte obegränsad. Av artikel 17.3 följer att punkterna 1 och 2 i artikel 17 inte ska gälla i den utsträckning som behandlingen är nödvändig av följande skäl: a)För att utöva rätten till yttrande- och informationsfrihet. b)För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. c)För skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3. d) För arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen. e) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Enligt artikel 18 i dataskyddsförordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas, vilket har ersatt den åtgärd som enligt dataskyddsdirektivet benämns som blockering. Den registrerade har rätt att kräva att behand- lingen begränsas om han eller hon bestrider personuppgifternas riktighet, som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är riktiga (artikel 18.1 a). Begränsning kan också krävas om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning (artikel 18.1 b). Om den personupp- giftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen, kan den registrerade kräva att behandlingen begränsas om han eller hon behöver uppgifterna för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 18.1 c). Slutligen kan begränsning krävas om den registrerade har invänt mot behandling i enlighet med artikel 21.1 i dataskyddsförordningen i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1 d). Av artikel 18.2 i dataskyddsförordningen följer att om behandlingen har begränsats i enlighet med artikel 18.1 i dataskyddsförordningen får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller för- svara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmän- intresse för unionen eller för en medlemsstat. Vidare anges i artikel 18.3 i dataskyddsförordningen att en registrerad som har fått behandling begränsad ska underrättas av den personuppgiftsansvarige innan be- gränsningen av behandlingen upphör. Bestämmelserna innebär i för- hållande till dataskyddsdirektivet bl.a. en ny skyldighet att på begäran bevara personuppgifter och en skyldighet att begränsa behandlingen medan det utreds om det är korrekt att behandla uppgifterna. Slutligen, enligt artikel 19 i dataskyddsförordningen, ska den person- uppgiftsansvarige underrätta varje mottagare till vilken personuppgift- erna har lämnats ut om eventuell rättelse eller radering av personupp- gifter eller begränsning av behandling som skett i enlighet med artikel 16, 17.1 och 18 i dataskyddsförordningen, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning. Det motsvarar i huvudsak vad som gäller enligt dataskyddsdirektivet. Den person- uppgiftsansvarige ska på den registrerades begäran dessutom informera den registrerade om dessa mottagare. Detta är en nyhet i förhållande till dataskyddsdirektivet. I artikel 12 i dataskyddsförordningen finns det bestämmelser om bl.a. tidsfrister för att informera den registrerade om vad som hänt med anled- ning av en begäran om en åtgärd. 2017/18:171 Dataskyddsdirektivets reglering av dessa rättigheter är inte alls lika omfattande.