sou · H6B352 · 2018-06-28 00:00:00 — Vid bedömningen bör beaktas bl.a. hur pass viktig den kunskap som projektet kan ge är och om den kunskapen kan erhållas utan att personuppgifter behandlas eller om integritetsintrånget kan begränsas på något sätt. Även säkerheten vid behandlingen och omständigheter vid ett eventuellt samtycke kan få betydelse. Vid intresseavvägningen bör också be- aktas om information i någon form lämnas till de berörda och i vilken utsträckning den som begär det ska ha rätt att bli struken. I viss mån bör också kunna beaktas hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer.20 2002/03:50 s. 172. Krav på extern prövning vid riskfyllda behandlingar utan samtycke Även bestämmelserna om handläggningsordningen för prövning och godkännande samt överklagande i 24–33, 36 och 37 §§ etikpröv- ningslagen bör tillämpas i fråga om projekt som bedrivs av Myndig- heten för vård- och omsorgsanalys. I 24 och 31 §§ etikprövningslagen behöver dock och Överklagandenämn- dens nya arbetsuppgift att pröva myndighetens projekt läggas till. Eftersom etikprövningsorganens arbetsuppgifter föreslås utvidgas i förhållande till vad som gäller , kan ändringar komma att krävas i kommande instruktioner för och för etikprövning. 10.4.2Väljs en annan instans ska den göra en kvalificerad intresseavvägning som fastställs i lag Utredningens alternativa förslag: Ett projekt får godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. Ett godkännande får förenas med villkor. För och prövning finns det som framgått (avsnitt 10.4.1) redan ett beprövat regelverk om vad som krävs för ett godkännande som kan användas också vid prövningen av Myndigheten för vård- och omsorgsanalys analysprojekt. Om någon annan instans än Etikprövningsmyndig- heten eller göra pröv- ningen av myndighetens projekt, behövs det en ny norm att göra prövningen mot. Ett alternativ vore förstås att föreskriva att instansen vid prövning och godkännande ska tillämpa etikprövningsorganens regelverk för forskning (6–11 §§ etikprövningslagen) på motsvar- ande sätt. Utredningen har emellertid ansett att den, för den händelse den etablerade etikprövningsorganisationen inte skulle anses vara aktuell, bör lämna ett alternativt förslag till en egen materiell be- stämmelse som en alternativ instans kan tillämpa vid prövning och godkännande av myndighetens projekt. Som utredningen redogjort för i avsnitt 10.4.1, var behandling av känsliga personuppgifter för forskningsändamål enligt den ursprung- liga lydelsen av 19 § första stycket personuppgiftslagen tillåten om Krav på extern prövning vid riskfyllda behandlingar utan samtycke behandlingen var nödvändig och samhällsintresset av det forsknings- projekt där behandlingen ingick klart vägde över den risk för otill- börligt intrång i enskildas personliga integritet som behandlingen kunde innebära. I förarbetena betonades att det behövde göras en prövning i varje enskilt fall och att den som regel skulle göras av någon oberoende instans. Avvägningsnormen gav uttryck för en restriktiv tillämpning och betonade att behandlingen måste vara nödvändig som en intresseavvägning skulle göras. Reger- ingen ansåg att det inte var nödvändigt att i lagtexten ytterligare precisera utan det kunde överlåtas åt rättstillämpningen att med användande av och allt efter rådande värderingar och utvecklingen i samhället avgöra vilka behandlingar som kunde tillåtas.21 När möjligheten för den personuppgiftsansvarige att själv göra en avvägning enligt 19 § första stycket personuppgiftslagen togs bort, infördes i etikprövningslagen ett krav på att behandlingen ska vara nödvändig för att forskning ska kunna utföras samt att risken för intrång i forskningspersonernas personliga integritet ska vägas upp av forskningens vetenskapliga värde. Regeringen konstaterade att detta innebar att den avvägningsnorm som dittills funnits i 19 § första stycket personuppgiftslagen i stället fördes in i etikprövnings- lagen.22 Etikprövningslagens bestämmelser är således en utveckling av personuppgiftslagens tidigare krav på intresseavvägning vid be- handling av känsliga personuppgifter för forskningsändamål. I 19 § andra stycket personuppgiftslagen fanns motsvarande avvägningsnorm, som tidigare fanns för behandling för forsknings- ändamål, kvar för statistikändamål. Känsliga personuppgifter fick behandlas för statistikändamål, om behandlingen var nödvändig och om samhällsintresset av det statistikprojekt där behandlingen ingick klart vägde över den risk för otillbörligt intrång i enskildas person- liga integritet som behandlingen kunde innebära. Enligt artikel 9.2 j i dataskyddsförordningen får känsliga person- uppgifter behandlas för statistiska ändamål på grundval av unions- rätten eller medlemsstaternas nationella rätt, vilken ska stå i pro- portion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades 1997/98:44 s. 70 f. 2002/03:50 s. 100. Krav på extern prövning vid riskfyllda behandlingar utan samtycke grundläggande rättigheter och intressen. I förarbetena till dataskydds- lagen anges att det inte heller nu är lämpligt att genom lagstiftning på förhand avgöra exakt i vilka fall behandling av känsliga person- uppgifter ska få ske för statistiska ändamål.23 I dataskyddslagen infördes i stället en avvägningsnorm motsvarande den som fanns i 19 § andra stycket personuppgiftslagen. Behandling av känsliga per- sonuppgifter för statistiska ändamål får således ske om samhälls- intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära (3 kap. 7 § dataskyddslagen). En motsvarande bestämmelse infördes för statistikansvariga myndig- heters framställning av annan statistik än officiell statistik i 15 § statistiklagen.24 Som redan framhållits utgör eller påminner myndighetens verk- samhet i flera avseenden om statistisk verksamhet och den påminner också om forskningsverksamhet (se vidare avsnitt 7.1.3, 7.2.5 och 17.3). En motsvarande avvägningsnorm som enligt 3 kap. 7 § data- skyddslagen bör därför passa bra vid prövning och godkännande av myndighetens projekt. Utredningen föreslår att myndighetens pro- jekt ska få godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Motsvarande omständigheter som enligt förarbetsuttalanden tidi- gare skulle beaktas vid tillämpningen av bestämmelsen om behand- ling för statistikändamål i 19 § andra stycket personuppgiftslagen och som fortfarande gäller vid behandling för statistikändamål enligt 3 kap. 7 § dataskyddslagen bör beaktas vid den helhetsbedömning som ska göras vid prövningen av den externa instansen.25 Det är således aktuellt att bedöma bl.a. vikten av det aktuella projektet, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vad mån den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna förrycka undersökningsresultatet. Vid intresseavvägningen bör också beaktas 2017/18:105 s. 124. 2017/18:107 s. 37 ff. 2017/18:105 s. 124. Krav på extern prövning vid riskfyllda behandlingar utan samtycke om information i någon form lämnas till de berörda. Även frågan om i vilken utsträckning den som begär det ska ha rätt att bli struken kan beaktas vid intresseavvägningen.26 Prövningen och godkännandet ska avse ett visst projekt. Om ett projekt innefattar flera klart avgränsade delprojekt, varav bara något innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, behöver emellertid bara det delprojektet prövas och godkännas för att behandlingen av personuppgifter ska vara tillåten. Detta förutsätter att samhällsintresset av redan delprojektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Om inte delprojektet i sig uppfyller detta, kan hela projektet behöva prövas i ett sammanhang. Ett beslut om att godkänna myndighetens projekt bör kunna för- enas med villkor som ska uppfyllas för att behandlingen av person- uppgifter ska få ske. Sådana villkor kan behövas t.ex. beträffande formerna för urvalet av deltagare i en studie, inhämtande av sam- tycke eller lämnande av information. 1997/98:44 s. 70. Behandling av känsliga personuppgifter utan samtycke kan anses särskilt riskfylld. Sådan behandling är särreglerad i dataskydds- förordningen och brukar ofta regleras särskilt i registerförfattningar. Myndigheten för vård- och omsorgsanalys har möjlighet att utan samtycke behandla känsliga personuppgifter med stöd av arti- kel 9.2 h i dataskyddsförordningen och 3 kap. 5 § dataskyddslagen (avsnitt 7.2.4). Myndigheten har också möjlighet att i vissa fall behandla känsliga personuppgifter för statistiska ändamål med stöd av artikel 9.2 j i dataskyddsförordningen och 3 kap. 7 § dataskydds- lagen (avsnitt 7.2.5). När det nu föreslås en särskild lagreglering för sådan behandling av personuppgifter i verksamhet vid Myndigheten för vård- och omsorgsanalys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv bör myndigheten förstås inte tillåtas att – utan samtycke – behandla andra typer av känsliga personuppgifter än som myndigheten har behov av i den verksamheten. Därför granskas först myndighetens behov av att kunna behandla känsliga personuppgifter utan samtycke (avsnitt 11.2). Av de skäl som framgår av avsnitt 10.2 behövs det inte några särskilda restriktioner när myndigheten kan stödja behandlingen av känsliga personuppgifter på de registrerades uttryckliga samtycken (artikel 9.2 a i dataskyddsförordningen). Även fast myndigheten har rättsligt stöd i artikel 9.2 h i dataskyddsförordningen och 3 kap. 5 § dataskyddslagen, jämte bestämmelserna om tystnadsplikt, för att utan samtycke behandla känsliga personuppgifter i verksamheten, har utredningen ansett att det bör undersökas om de krav på skyddsåtgärder, nödvändighet och proportionalitet som uppställs för behandling av känsliga person- uppgifter med hänsyn till ett viktigt allmänt intresse enligt arti- kel i dataskyddsförordningen är uppfyllda. Dessa krav bör nämligen enligt utredningens mening anses utgöra en måttstock för vad en registerförfattning som tillåter behandling av känsliga person- uppgifter bör uppfylla. Att myndighetens verksamhet utgör ett viktigt allmänt intresse har redan konstaterats (avsnitt 7.2.3). Under- sökningen av om kraven är uppfyllda görs i avsnitt 11.3. En förutsättning för att myndigheten utan samtycke ska få be- handla de känsliga personuppgifter som myndigheten behöver bör vara att det aktuella projektet har godkänts vid en etisk prövning, eftersom behandlingen får anses särskilt riskfylld (se kapitel 10). Myndigheten bör således få behandla känsliga personuppgifter bara med uttryckligt samtycke, då alla typer av känsliga person- uppgifter får behandlas, eller efter godkännande vid en etisk prövning, då bara sådana typer av känsliga personuppgifter som myndigheten har ett särskilt behov av får behandlas. Ett undantag från kravet på etikgodkännande görs dock för behandling som är av sådan mindre omfattning att den inte kan anses särskilt riskfylld. I andra fall bör myndigheten alltså enligt den föreslagna lagen inte få behandla känsliga personuppgifter. Utredningens förslag sammanfattas i avsnitt 11.4. 11.2Behovet av att behandla känsliga personuppgifter Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har behov av att utan samtycke kunna behandla uppgifter om hälsa och personuppgifter som avslöjar etniskt ursprung. Övriga typer av känsliga personuppgifter enligt artikel 9.1 i data- skyddsförordningen bör myndigheten inte få behandla utan sam- tycke. I avsnitt 4.4 har utredningen beskrivit de behov myndigheten har av att behandla känsliga personuppgifter utan samtycke. Som anges i det avsnittet behöver myndigheten kunna samla in och på olika sätt använda sig av känsliga personuppgifter som finns hos andra aktörer för att kunna fullgöra sina arbetsuppgifter enligt myndighetsinstruk- Att tillåta myndigheten att behandla känsliga personuppgif- ter utan samtycke innebär ett intrång i den personliga integriteten. Myndigheten bör därför inte få behandla fler kategorier av känsliga personuppgifter än vad myndigheten faktiskt har behov av. Eftersom myndigheten har i uppdrag att följa upp och analysera bl.a. hälso- och sjukvården, är det framför allt uppgifter om hälsa som myndigheten behöver kunna behandla utan samtycke. I vissa projekt kan det vidare finnas behov av att utan samtycke kunna behandla uppgifter om medborgarskap eller ursprungsland. En isolerad upp- gift om exempelvis medborgarskap anses normalt inte avslöja etniskt ursprung. En sådan uppgift skulle dock i ett enskilt fall kunna avslöja etniskt ursprung.1 Det har inte framkommit att myndigheten har ett påtagligt behov av att utan samtycke kunna behandla andra typer av känsliga personuppgifter än uppgifter om hälsa och personuppgifter som avslöjar etniskt ursprung. Som utredningen angett i det första betänkandet2 skulle skriv- ningen i artikel 9.4 i dataskyddsförordningen kunna tolkas som att möjligheten att göra undantag från förbudet att behandla känsliga personuppgifter måste utnyttjas fullt ut för att kunna användas, i fråga om andra kategorier av uppgifter än de som anges i artikeln. I bestämmelsen anges nämligen att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, endast för behandling av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Att tolka bestämmelsen som att det inte är tillåtet att behålla ytterligare villkor för övriga kategorier av känsliga personuppgifter synes dock inte rimligt, eftersom huvudregeln om förbud mot behandling av känsliga personuppgifter har tillkommit av det skälet att dessa upp- gifter anses vara särskilt skyddsvärda. Att det då endast skulle vara möjligt att ha en nationell reglering som antingen helt förbjuder behandling av sådana uppgifter eller tillåter all behandling som kan tillåtas enligt någon av de undantagsmöjligheter som finns i arti- kel 9.2 i dataskyddsförordningen synes inte förenligt med intresset av att skydda den personliga integriteten. När det gäller behandling som sker med stöd av grunden utförande av en arbetsuppgift av allmänt intresse framgår det dessutom av artikel 6.2 och 6.3 i data- skyddsförordningen att medlemsstaterna får ha särskilda bestäm- 1Se t.ex. prop. 2009/10:85 s. 325. 2SOU 2017:66 s. 237. melser om bl.a. vilken typ av uppgifter som ska behandlas, se av- snitt 9.2. En myndighet kan vidare hur som helst förbjudas att be- handla vissa kategorier av känsliga personuppgifter, se avsnitt 9.2. Utredningen har därför gjort bedömningen att det är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen som kräver nationell lagstiftning. Det innebär att det är möjligt att tillåta behandling av bara vissa kategorier av känsliga personuppgifter och förbjuda behandlingen av andra kate- gorier. Utredningen konstaterar mot denna bakgrund att myndigheten har ett berättigat behov av att kunna behandla vissa känsliga person- uppgifter utan att den registrerades samtycke inhämtas. 11.3Förutsättningarna för att göra undantag från förbudet mot att behandla känsliga personuppgifter med hänsyn till ett viktigt allmänt intresse är uppfyllda Utredningens bedömning: Kraven på skyddsåtgärder, nödvän- dighet och proportionalitet i artikel i dataskyddsförord- ningen uppfylls genom utredningens förslag. Det är därmed möj- ligt att tillåta behandling av känsliga personuppgifter med stöd av undantaget för viktiga allmänna intressen i artikel i data- skyddsförordningen. Utredningen har i avsnitt 7.2.3 gjort bedömningen att analys- och uppföljningsarbetet vid Myndigheten för vård- och omsorgsanalys utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. En reglering av ett undantag med stöd av artikel i dataskyddsförordningen ska omfatta bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Någon exemplifiering av utformningen av sådana åtgärder, som säkerställer den registrerades grundläggande rättigheter och intressen, finns inte i dataskyddsför- ordningen. Viss vägledning om vilka faktorer som bör beaktas vid bedöm- ningen av lämpliga skyddsåtgärder kan dock hämtas i artikel 32 i dataskyddsförordningen. Av den artikeln framgår att lämpliga tek- niska och organisatoriska åtgärder för att säkerställa en säkerhets- nivå som är lämplig i förhållande till risken, med beaktande av den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska vidtas. De åtgärder som kan vara aktuella att vidta kan bl.a. innefatta pseudonymisering, kryptering samt säkerställande av konfidentialitet, integritet, tillgänglighet och motståndskraft. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför. Hur sannolik och allvarlig risken är bör, enligt skäl 76 till dataskyddsförordningen, fastställas utifrån en objektiv bedömning med beaktande av behandlingens art, om- fattning, sammanhang och ändamål. I registerförfattningar finns det ofta bestämmelser om vad som kan betecknas som säkerhetsåtgärder eller skyddsåtgärder. Som exem- pel kan nämnas bestämmelser om en databas som reglerar vilka personuppgifter som får göras mera allmänt tillgängliga i den aktu- ella verksamheten, tilldelning och begränsning av behörighet, logg- kontroll, hur och under vilka förutsättningar elektroniskt utläm- nande får ske, sökbegränsningar, kryptering, pseudonymisering samt samtycke som krav för en viss åtgärd. Det finns inte något som tyder på att kravet i artikel i dataskyddsförordningen på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen skulle innebära något annat än kravet på lämpliga skyddsåtgärder enligt dataskyddsdirektivet. Vidare har gjort bedömningen att etikprövning enligt etikprövningslagen utgör en sådan lämplig och särskild åtgärd för att säkerställa den regi- strerades grundläggande rättigheter och intressen som krävs vid be- handling av känsliga personuppgifter för forskningsändamål enligt artikel 9.2 j i dataskyddsförordningen. I ett remitterat utkast till lag- rådsremiss om behandling av personuppgifter för forskningsända- mål görs samma bedömning.3 Undantaget för behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse enligt arti- 3Utkast till lagrådsremiss dnr U2018/01639/F s. 68 ff. kel i dataskyddsförordningen innehåller samma krav på skydds- åtgärder. En prövning enligt etikprövningslagen får mot denna bak- grund anses uppfylla även kravet på lämpliga och särskilda åtgärder enligt artikel i dataskyddsförordningen. Utredningen har i avsnitt 10.3.3, som alternativ till en etikpröv- ning av den redan etablerade etikprövningsorganisationen, föreslagit att ett annat särskilt organ för prövning av etiska frågor kan göra den prövning av myndighetens analysprojekt som utredningen föreslår. Organet ska vara en annan statlig myndighet eller vara knutet till en annan statlig myndighet än Myndigheten för vård- och omsorgs- analys och ha företrädare för såväl det allmänna som forskningen. Prövningen ska göras enligt en avvägningsnorm som utredningen redogör för i avsnitt 10.4.2. Avvägningsnormen innebär att det för godkännande krävs dels att behandlingen av personuppgifter i pro- jektet är nödvändig, dels att samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Organet kan förena god- kännandet med de villkor som behövs. Det är utredningens bedöm- ning att även en sådan ordning uppfyller dataskyddsförordningens krav på skyddsåtgärder. För att behandling av känsliga personuppgifter ska vara tillåten en- ligt artikel i dataskyddsförordningen måste den också vara nödvändig av hänsyn till det viktiga allmänna intresset. Nödvändig- hetsbegreppet i artikel i dataskyddsförordningen får antas ha den unionsrättsliga innebörd som redovisas i avsnitt 7.1.3. Kravet på nödvändighet innebär inte att det måste vara omöjligt att utföra upp- draget om inte känsliga personuppgifter behandlas. Behandling av känsliga personuppgifter kan alltså anses nödvändig om den medför effektivitetsvinster, även om arbetsuppgiften skulle kunna utföras utan att personuppgifter behandlas på visst sätt. Om personupp- gifter inte behövs för ett visst ändamål eller om ändamålet kan upp- nås nästan lika enkelt och till nästan samma kostnad utan att per- sonuppgifter behandlas, är nödvändighetskravet däremot inte uppfyllt och behandling av känsliga personuppgifter inte tillåten. I såväl avvägningsnormen i etikprövningslagen som den avväg- ningsnorm som utredningen föreslår i avsnitt 10.4.2, ingår ett krav på nödvändighet. Kravet på nödvändighet är avsett att ha samma innebörd som kravet på nödvändighet i dataskyddsförordningen. Nationell reglering som tillåter behandling av känsliga personupp- gifter av hänsyn till ett viktigt allmänt intresse måste vidare stå i proportion till det eftersträvade syftet och vara förenlig med det väsentliga innehållet i rätten till dataskydd. Syftet är i detta fall att Myndigheten för vård- och omsorgsanalys ska kunna utföra de analyser myndigheten har i uppdrag att göra. Behandling av känsliga personuppgifter bör därför endast vara tillåten när behovet av att behandla uppgifterna i detta syfte får anses väga över risken för intrång i den personliga integriteten. Myndigheten har som framgått behov av att kunna behandla vissa känsliga personuppgifter för att kunna utföra sitt uppdrag. innebär sådan behandling integri- tetsrisker. Dessa risker ska beaktas vid prövningen av den redan etablerade etikprövningsorganisationen eller av det särskilda organet för prövning av etiska frågor. Om riskerna väger över nyttan med analysen, kommer behandling således inte att få ske. Utredningen har därför i kapitel 16 gjort bedömningen att en reglering som inne- bär att myndigheten ges möjlighet till nödvändig behandling av känsliga personuppgifter efter en prövning av ett externt organ upp- fyller regeringsformens krav proportionalitet. En sådan bestämmelse får därför även anses uppfylla proportionalitetskravet enligt arti- kel i dataskyddsförordningen. Regleringen bedöms också fören- lig med det väsentliga innehållet i rätten till dataskydd. 11.4Krav på etisk prövning för behandling av uppgifter om hälsa och personuppgifter som avslöjar etniskt ursprung utan samtycke Utredningens förslag: Myndigheten för vård- och omsorgsanalys får behandla känsliga personuppgifter bara 1.med de registrerades uttryckliga samtycken, 2.såvitt avser uppgifter om hälsa eller personuppgifter som av- slöjar etniskt ursprung, om projektet har prövats och god- känts av eller Överklagandenämn- den för etikprövning alternativt av ett annat särskilt organ för prövning av etiska frågor. Behandlingen enligt första punkten tillåts med stöd av artikel 9.2 a dataskyddsförordningen och behandlingen enligt andra punkten tillåts med stöd av artikel , h eller j i dataskyddsförordningen.