sou · H6B352 · 2018-06-28 00:00:00 — I utkastet till lagrådsremiss om behandling av personuppgifter för forskningsändamål dras slutsatsen att kravet på etikprövning i etik- prövningslagen inte bör utvidgas från att som endast omfatta behandling av känsliga personuppgifter och uppgifter om lagöver- trädelser till att gälla all behandling av personuppgifter för forsknings- ändamål.2 I utkastet togs dock endast ställning till en bred utvidgning 2Se utkast till lagrådsremiss dnr U2018/01639/F s. 72. f. Andra personuppgifter än känsliga personuppgifter... omfattande all behandling av personuppgifter för forskningsända- mål. Möjligheterna att göra en begränsad utvidgning till vissa särskilt angivna situationer där intresset av att skydda den personliga integriteten är särskilt tydligt övervägdes inte. I det här fallet skulle prövningen omfatta även behandling av personuppgifter som enligt legaldefinitionen visserligen inte är känsliga eller uppgifter om lag- överträdelser, men ändå så omfattande och gällande så integritets- känsliga personuppgifter att behandlingen bedöms medföra ett betydande intrång i den personliga integriteten. I det remitterade ut- kastet till lagrådsremiss om behandling av personuppgifter för forsk- ningsändamål anförs att behandling av andra personuppgifter än känsliga personuppgifter eller personuppgifter om lagöverträdelser i tidigare lagstiftningssammanhang har bedömts inte vara av särskilt integritetskänslig karaktär. Det framhålls dock att en sådan uppfatt- ning i viss mån kan vara subjektiv. Vad någon uppfattar som integri- tetskänsligt kan någon annan uppfatta som helt oproblematiskt. En större mängd uppgifter som var och en för sig är av mindre integri- tetskänslig karaktär kan samlade innebära en ökad integritetsrisk för den registrerade. Med en så vid definition av personuppgift som framgår av dataskyddsförordningen kan alla olika slags personupp- gifter graderas på en skala från mycket integritetskänsliga till i det närmaste helt utan integritetsmässig risk att behandla. Dataskydds- förordningens kategoriseringar avseende känsliga personuppgifter och personuppgifter om lagöverträdelser är enligt utkastet rimliga och lämpliga avgränsningar för vad som generellt kan karaktäriseras som sådana integritetskänsliga personuppgifter som kräver ett ökat skydd.3 Den bestämmelse som utredningen här föreslår skulle omfatta behandling av personuppgifter som är närliggande sådan behandling av personuppgifter som enligt förslaget i övrigt ska omfattas av kra- vet på etisk prövning. Utredningen bedömer det därför motiverat att införa en möjlighet att ansöka om en etisk prövning för behandling av personuppgifter i ett projekt som inte innefattar känsliga person- uppgifter eller uppgifter om lagöverträdelser om Myndigheten för vård- och omsorgsanalys bedömer att projektet inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsformen. 3SOU 2017:50 s. 348 och utkast till lagrådsremiss dnr U2018/01639/F s. 72 f. 14.1Krav på skydds- eller säkerhetsåtgärder Om personuppgifter hanteras felaktigt eller det inträffar driftstör- ningar, sabotage, obehörig åtkomst till personuppgifter eller liknan- de kan det få till följd att personuppgifterna förstörs, förändras eller sprids till obehöriga. Ju fler uppgifter som behandlas och ju käns- ligare uppgifterna är desto större är som regel riskerna. Dessa risker för de registrerade kan minskas genom att olika skydds- eller säker- hetsåtgärder vidtas. I dataskyddsförordningen används begreppen skyddsåtgärd och säkerhetsåtgärd. Det är inte helt klart vad skillnaden kan vara mellan begreppen. Skyddsåtgärder verkar vara ett vidare begrepp som inne- fattar säkerhetsåtgärder, vilka beskrivs som tekniska och organisa- toriska åtgärder, och dessutom vissa andra åtgärder. Av artikel 5.1 f i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med använd- ning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet). Det är den personuppgiftsansva- rige som ansvarar för säkerheten och som, enligt artikel 24 i data- skyddsförordningen, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhets- grad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. De tekniska och organisatoriska åtgärderna ska enligt artikel 25 i dataskyddsförordningen vara utformade för ett effektivt genomförande av dataskyddsprinciper, t.ex. principen om uppgifts- minimering i artikel 5, och för integrering av de nödvändiga skydds- åtgärderna i behandlingen. Åtgärder ska vidtas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen och genomföras med beaktande av den senaste utvecklingen, genom- förandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Som exempel på en åtgärd anges pseudonymisering. Med pseudonymisering avses enligt artikel 4 i dataskyddsförordningen behandling av personupp- gifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter för- varas separat och är föremål för tekniska och organisatoriska åtgär- der som säkerställer att personuppgifterna inte tillskrivs en identi- fierad eller identifierbar fysisk person. I artikel 32.1 i dataskyddsförordningen anges pseudonymisering återigen som eventuellt lämplig åtgärd att vidta. Därutöver anges kryptering av personuppgifter, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, förmågan att återställa till- gängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident och ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet som eventuellt lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna ska vidtas med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sam- manhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Vid bedöm- ningen av lämplig säkerhetsnivå ska, enligt artikel 32.2 i dataskydds- förordningen särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Den personuppgiftsansvarige är enligt artikel 32.4 i dataskydds- förordningen också skyldig att vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgifts- ansvariges överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansva- rige. Undantag gäller dock om unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. Att person- uppgiftsbiträdet och personer som utför arbete under den person- uppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvarige, alternativt med stöd av gällande rätt, framgår av artikel 29 i dataskyddsförordningen. 14.1.2Reglering i den föreslagna lagen Utredningens förslag: Lagens krav på skyddsåtgärder ska omfatta all behandling av personuppgifter inom lagens tillämpningsom- råde. Det är Myndigheten för vård- och omsorgsanalys som i egenskap av personuppgiftsansvarig ska genomföra lämpliga tekniska och orga- nisatoriska åtgärder för att säkerställa att behandlingen av person- uppgifter sker i enlighet med dataskyddsförordningen (artikel 24).1 Myndigheten är också skyldig att vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under myndighetens över- inseende behandlar personuppgifter endast på instruktion från myn- digheten. Detsamma gäller om behandlingen av personuppgifter utförs av ett personuppgiftsbiträde. Undantag gäller dock om unions- rätten eller svensk rätt ålägger personen eller personuppgiftsbiträdet att behandla personuppgifterna (artikel 29 och 32.4 i dataskyddsför- ordningen). Dataskyddsförordningens bestämmelser om krav på säkerhets- åtgärder är direkt tillämpliga. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder enligt dataskyddsförord- 1Utredningen gör i avsnitt 9.1 bedömningen att en särskild bestämmelse om att det är Myn- digheten för vård- och omsorgsanalys som är personuppgiftsansvarig för den behandling myndigheten utför inte krävs. ningen upphör, kan dock mer specifika krav på skydds- eller säker- hetsåtgärder åläggas genom nationell lagstiftning (se avsnitt 9.2). I registerförfattningar finns det ofta bestämmelser med krav på olika former av åtgärder som kan betecknas som skydds- eller säkerhets- åtgärder. Som exempel kan nämnas bestämmelser om tilldelning och begränsningar av behörigheter, loggkontroller, sökbegränsningar, kryptering, pseudonymisering, samtycke som krav för en viss åtgärd samt bestämmelser om hur och under vilka förutsättningar person- uppgifter får lämnas ut elektroniskt. Också bestämmelser på andra håll om sekretess och tystnadsplikt samt straff för den som bryter mot tystnadsplikten eller olovligen bereder sig tillgång till eller mani- pulerar personuppgifter kan betecknas som skydds- eller säkerhets- åtgärder. Av avsnitt 6.5 framgår att personuppgifterna som behandlas i projekten hos Myndigheten för vård- och omsorgsanalys omfattas av stark s.k. statistiksekretess och tystnadsplikt. Utredningen har redan i kapitel 10–12 föreslagit krav på prövning av eller prövning alternativt ett annat särskilt organ för prövning av etiska frågor som en förutsättning för att Myndigheten för vård- och omsorgsanalys ska få behandla bl.a. känsliga personuppgifter utan uttryckligt samtycke. Prövningen utgör, som anges i de kapitlen, en form av skyddsåtgärd som avser att utmynna i ett beslut som innebär att personuppgifterna får eller inte får behandlas utifrån vissa förut- sättningar. Godkännandet kan också förenas med särskilda villkor som då måste följas. När ett projekt är godkänt och myndigheten kan inleda sin behandling av personuppgifter, måste myndigheten tillämpa den generella regleringen av skyddsåtgärder som finns i dataskyddsförordningen. I följande avsnitt föreslår utredningen flera bestämmelser med krav på åtgärder som är avsedda att ytterligare minska de risker för den personliga integriteten som myndighetens behandling av person- uppgifter medför. Skyddsåtgärderna bör gälla även sådan behandling som avser personuppgifter som inte är känsliga eller uppgifter om lagöverträdelser och inte heller bedöms strida mot grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen. Trots att myndigheten, i enlighet med vad utredningen har konstaterat i avsnitt 7.1.4, har stora möjligheter att behandla sådana personuppgifter med stöd av dataskyddsförordningen, får de föreslagna skyddsåtgärderna anses lämpliga att tillämpa vid all behandling av personuppgifter som faller inom lagens tillämpningsområde. Skyddsåtgärderna bör därför gälla vid all behandling av personuppgifter i verksamhet vid Myndigheten för vård- och omsorgsanalys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. 14.2Ändamålsbestämning för varje projekt Personuppgifter ska enligt artikel 5.1 b i dataskyddsförordningen samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Av definitionen av begreppet personuppgiftsansvarig i arti- kel 4 i dataskyddsförordningen framgår att ändamålen och medlen för behandlingen ska bestämmas av den personuppgiftsansvarige. Det är också tillåtet att fastställa ändamål för behandling av person- uppgifter i nationell rätt med stöd av artikel 6.2 och 6.3 i dataskydds- förordningen. Enligt skäl 39 till dataskyddsförordningen bör de specifika ändamål som personuppgifterna behandlas för vara tydliga och legitima och ha bestämts då personuppgifterna samlades in. Ändamålsbestämningen är central vid behandling av personupp- gifter. Exempelvis avgörs vilka personuppgifter som får behandlas utifrån fastställt ändamål – personuppgifter ska enligt artikel 5.1 c i dataskyddsförordningen vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas. Det register varje personuppgiftsansvarig ska föra över behandling som utförts under dess ansvar enligt artikel 30 i dataskyddsförordningen ska innehålla uppgift om ändamål med behandlingen. Samma sak gäller sådan information som ska lämnas till den registrerade enligt artikel 13–15 i dataskyddsförordningen. Även vid bedömning av rätt till rättelse, radering och begränsning av behandling enligt arti- kel 16–18 i dataskyddsförordningen görs avvägningar med beaktan- de av ändamålet med behandlingen. Behandlingens ändamål har också betydelse bl.a. för vad som är en lämplig säkerhetsnivå enligt artikel 32 i dataskyddsförordningen. Ändamålen i registerförfattningar delas ofta upp i primära och sekundära ändamål. De primära ändamålen reglerar behandlingen av de personuppgifter som behövs i den berörda myndighetens egen verksamhet medan de sekundära ändamålen reglerar i vilken utsträck- ning personuppgifter som behandlas för något av de primära ända- målen får behandlas för att lämnas ut till andra myndigheter eller till enskilda för att tillgodose mottagarnas behov. Ändamål regleras oftast i lag och inte i förordning. Skälet till detta torde vara ändamålsbestämmelsernas centrala betydelse och överens- kommelsen mellan riksdag och regering om att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag, se avsnitt 3.5.3. 14.2.2Generellt formulerade ändamål i registerförfattningar Av artikel 5.1 b i dataskyddsförordningen framgår att personupp- gifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Motsvarande bestämmelser fanns tidigare i artikel 6.1 b i dataskyddsdirektivet och 9 § första stycket c personuppgiftslagen. Att ändamålen ska vara särskilda, dvs. inte alltför allmänt hållna, är således inget nytt utan det har man haft att förhålla sig till vid tillkomsten av de flesta registerförfattningarna. Trots detta är ända- målsbestämmelser i registerförfattningar ofta generellt formulerade. I många förarbeten anges att syftet med ändamålsbestämmelserna är att ange en yttersta ram inom vilken uppgifterna får behandlas.2 I syfte att begränsa den tillåtna ramen inom vilka personuppgifter får behandlas förekommer det att regeringen eller den myndighet som regeringen bestämmer ges möjlighet att föreskriva begräns- ningar i förhållande till lagens ändamålsbestämmelser. Exempel på detta är 6 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och 4 § tredje stycket studie- stödsdatalagen (2009:287). I inget av fallen har delegationsbestäm- melserna lett till några begränsningar av ändamålen.3 I förarbetena till lagen (2012:741) om behandling av personuppgifter vid Institutet 2Se t.ex. prop. 1997/98:97 s. 121, prop. 2000/01:33 s. 99 och SOU 2006:82 s. 178. 3Se 2 § förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknads- politiska verksamheten, föreskrifter (AMSFS 2002:11) om tillämp- ningen av lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och studiestödsdataförordningen (2009:321). för arbetsmarknads- och utbildningspolitisk utvärdering ansåg regeringen att ändamålen i den föreslagna lagen borde vara något mer allmänt hållna än uppdraget enligt myndighetens instruktion och att ändamålsbestämmelserna inte skulle vara knutna till de specifika ämnesområden som pekas ut i instruktionen. Lagen skulle annars behöva ändras vid varje justering i myndighetens uppdrag. Reger- ingen menade att det uppdrag som beskrivs i instruktionen i prak- tiken ändå kommer att snäva in ändamålen genom att det styr inom vilka ämnesområden institutet bedriver sina studier, uppföljningar och utvärderingar.4 Det förekommer också att det i förarbeten anges att det förutsätts eller krävs att den personuppgiftsansvariga myn- digheten anger mer preciserade ändamål för specifika behandlingar inom den tillåtna ramen.5 föreslog i det lagstiftningsarbete som före- gick lagen (2001:454) om behandling av personuppgifter inom social- tjänsten att de närmare ändamålen skulle bestämmas av personupp- giftsansvarig myndighet.6 Regeringen ansåg dock att det var lämpli- gare att ange ett vidsträckt ändamål i lagen som innebär att person- uppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom ska kunna utföras.7 Ändamålen reglerades sedan närmare i förordning. De vida ändamålen i registerförfattningar har enligt Informations- hanteringsutredningen lett till en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilda bestämda ändamål respek- tive tillåtna rättsliga grunder för behandling. Informationshanter- ingsutredningen ansåg att det fanns en risk för att tillämparen god- tog ett i författning bestämt allmänt ändamål som ett i och för sig särskilt och tillräckligt preciserat ändamål och därför drog den felak- tiga slutsatsen att personuppgiftslagens krav var uppfyllda. Informa- tionshanteringsutredningen menade därför att det kan ge ett i prak- 2011/12:176 s. 29 f. 5SOU 2015:39 s. 267. 6SOU 1999:109 s. 162. 2000/01:80 s. 142. tiken bättre integritetsskydd om den personuppgiftsansvarige är hän- visad enbart till att utifrån de då gällande grundläggande kraven i 9 § första stycket c personuppgiftslagen på eget ansvar formulera ända- mål som är tillräckligt specifika för att ge ledning för vilka uppgifter som är adekvata och inte för många för den aktuella behandlingen.8 Förslaget har fått ett blandat mottagande. Datainspektionen fram- höll i sitt remissvar att frågor om ändamålsreglering i omfattande myndighetsbaserade databaser är ett typexempel på sådant som om- fattas av det förstärkta grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen. Att överlåta till regeringen och myndigheter att besluta om för vilka ändamål personuppgifter får hanteras i myndig- heternas verksamheter anses av Datainspektionen strida mot grund- lagsbestämmelsen. Andra remissinstanser ansåg att förslaget förenk- lade bedömningen av vilken behandling av personuppgifter som är tillåten. Utredningen om 2016 års dataskyddsdirektiv har bedömt att det finns fog för uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. En ändamålsbestämmelse bör enligt Utred- ningen om 2016 års dataskyddsdirektiv ge ledning för prövningen av vilka personuppgifter som är adekvata och relevanta för behand- lingen. De primära ändamålsbestämmelserna i registerförfattning- arna bedöms dock generellt sett inte ge någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. De utgör snarare den yttre ramen inom vilken de särskilda, uttryckliga och berättigade ändamålen med behandlingen i enskilda fall ska bestäm- mas. De primära ändamålsbestämmelserna anses dock i och för sig fylla en viktig funktion i och med att de sätter ramar för behand- lingen av personuppgifter. De föreslås därför behållas som det tydliggörs att bestämmelserna i fråga är en del av den rättsliga grunden. Den närmare innebörden av de tillåtna rättsliga grunderna i respektive myndighets registerförfattning måste uttolkas tillsam- mans med regleringen av arbetsuppgifterna.9 Vad gäller den föreslag- na generella bestämmelsen om rättslig grund i brottsdatalagen 8SOU 2015:39 s. 278 f. 9SOU 2017:74 s. 384 f. bedöms den, tillsammans med en bestämmelse om att personupp- gifter ska behandlas för särskilda, uttryckligt angivna och berättigade ändamål, uppfylla kraven dataskyddsdirektiv10 på hur reg- leringen ska vara utformad.11 Enligt 14 § i den tidigare polisdatalagen (1998:622), som upp- hörde att gälla , krävdes, för att personuppgifter skulle få behandlas i kriminalunderrättelseverksamhet, att en sär- skild undersökning hade inletts under ledning av eller en polismyndighet och att det fanns anledning att anta att all- varlig brottslighet hade utövats eller kunde komma att utövas. Enligt 15 § samma lag skulle polismyndighetens eller beslut om behandling av personuppgifter enligt 14 § innehålla upp- gifter om ändamålet med behandlingen och de villkor i övrigt som behövdes för att förebygga otillbörligt intrång i de registrerades per- sonliga integritet. Något ändamål för behandling av personuppgifter inom just kriminalunderrättelseverksamheten föreskrevs således inte i lagen utan ändamål för behandlingen av personuppgifter an- gavs i särskilda beslut. Begränsningen av polisens möjligheter att behandla personuppgifter i underrättelseverksamhet och kravet på särskilt beslut om ändamål och andra villkor för behandlingen moti- verades med en oro för en utveckling som leder till otillbörliga in- trång i den personliga integriteten.12 Förslaget till brottsdatalag innehåller i 2 kap. 3 § en ändamåls- bestämmelse, som innebär att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ända- mål som personuppgifterna behandlas för inte framgår av samman- hanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning.13 I likhet med utredningen om 2016 års dataskydds- direktiv anser regeringen att det finns fog för Informationshanter- ingsutredningens uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman.14 Det är därför 10Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 11SOU 2017:29 s. 244. 12SOU 1997:65 s. 221 f. och prop. 1997/98:97 s. 121. 2017/18:232 s. 16. Lagen föreslås träda i kraft . 2017/18:232 s. 115. lämpligt att det görs tydligare skillnad mellan bestämmelser om rättslig grund och ändamålsbestämmelser. I propositionen konsta- teras vidare att den omständigheten att viss behandling är rättsligt grundad inte innebär att vilka personuppgifter som helst får behand- las eller att det får göras på valfritt sätt.15 Den personuppgiftsansva- rige måste också iaktta övriga krav som gäller för behandling av personuppgifter. I artikel 4.1 b i direktivet anges bl.a. att person- uppgifter ska samlas in för särskilda, uttryckligt angivna och berät- tigade ändamål. Liknande reglering finns i artikel 6.1 b dataskyddsdirektiv, som har genomförts genom 9 § första stycket c i personuppgiftslagen. En liknande bestämmelse bör, enligt propo- sitionen, tas in i brottsdatalagen.