sou · H6B328 · 2018-04-03 00:00:00 — Det är givetvis inte godtagbart om de rutiner och riktlinjer som utformas kring informationsdelningen försvårar eller försenar en hjälpinsats. Det kan vara fråga om situationer där det föreligger fara i dröjsmål, då t.ex. ett krav på skriftlig dokumen- tation inte kan upprätthållas. Utredningen bedömer att det i stället bör vara hjälporganen respektive den nationella alarmeringsfunktionen som görs skyldiga att dela uppgifter. Det ankommer på respektive aktör att närmare fördela ansvaret för att uppgiftsskyldigheten uppfylls samt att utforma rutiner och riktlinjer till stöd för personalen. Vid samverkanslarm kan det förekomma att flera aktörer inom samhällets alarmeringstjänst förfogar över en viss information sam- . Utredningen anser att samtliga aktörer då bör vara ansvariga för att information som omfattas av uppgiftsskyldigheten delas med den nationella alarmeringsfunktionen, eller något annat hjälporgan. Närmare om hur uppgiftsskyldigheten ska regleras Under utredningens arbete har det framkommit att hjälporganen tillämpar den s.k. generalklausulen i 10 kap. 27 § OSL när de delar de uppgifter de behöver vid en hjälpinsats. På fältet löses problemen praktiskt men hjälporganen har efterfrågat en struktur kring det, så att informationsdelningen kan fungera även i pressade situationer. Förekomsten av sekretesskydd hos den mottagande myndig- heten beaktas vid bedömningen om generalklausulen är tillämplig. Om det inte finns något sekretesskydd hos den mottagande myn- digheten så är normalt sett generalklausulen inte tillämplig, särskilt Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet om det handlar om enskilds personliga förhållanden.125 Om en uppgift inte skyddas av sekretess hos den mottagande myndigheten kan risken för att skada ska uppkomma vara så stor att uppgiften inte bör lämnas ut.126 Att sekretessen hos den mottagande myndig- heten är något svagare än hos den utlämnande myndigheten torde spela en liten roll i praktiken.127 Generalklausulen har tagits in i OSL för att inte oförutsedda hinder ska uppkomma i myndigheternas verksamhet. Generalklausulen med- ger att sekretessbelagda uppgifter kan lämnas till en myndighet i sådana fall då det är uppenbart att intresset av att uppgifterna läm- nas har företräde framför det intresse som sekretessen ska skydda.128 Utredningen har övervägt att anpassa generalklausulen för att passa alarmeringsverksamheten bättre. Detta har efterfrågats av hjälp- organen, eftersom generalklausulen upplevs som svårtillämpad. Ett särskilt ”problem” som påtalats är att generalklausulen inte om- fattar hälso- och sjukvårdssekretessen. Det ska uppmärksammas att viss sekretess som det har ansetts särskilt angeläget att upprätthålla gentemot andra myndigheter, t.ex. hälso- och sjukvårdssekretess, har undantagits från generalklausulens tillämpningsområde.129 Utredningen bedömer det som svårt att motivera en ändring som innebär att generalklausulen kan tillämpas av samtliga hjälp- organ, dvs. även av hälso- och sjukvården. En sådan ingripande förändring skulle medföra en avsevärd försvagning av skyddet för den enskildes integritet. Till detta kommer att den nationella alarmeringsfunktionen, om den bedrivs i bolagsform, inte kommer att kunna tillämpa generalklausulen. Mot denna bakgrund har utred- ningen bedömt att det inte är en framkomlig väg att justera och anpassa generalklausulen. Utredningen anser i stället att det är lämpligare att det införs en ny regel om uppgiftsskyldighet som kompletterar generalklausulen i vissa specifikt angivna situationer. Regeln bör placeras i alarmer- ingslagen och blir tillämplig på samtliga aktörer inom samhällets alarmeringstjänst, och oavsett i vilken organisationsform den natio- nella alarmeringsfunktionen bedrivs. 1979/80:2 Del A s. 77. 2 Del A s. 91. Del A s. 76 f. 128Lenberg m.fl., kommentaren till 10 kap 27 §. 129Lenberg m.fl., kommentaren till 10 kap 27 §. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet Av 10 kap. 28 § första stycket OSL framgår att sekretess inte hindrar att en uppgift lämnas till en annan myndighet om uppgifts- skyldighet följer av lag eller förordning. Den föreslagna uppgiftsskyldigheten i sig kan alltså undanröja eventuella sekretesshinder (för hjälporgan i offentlig regi och för den nationella alarmeringsfunktionen om den bedrivs i myndig- hetsform). Uppgiftsskyldigheten kan vidare innebära att det inte kan anses vara ett obehörigt röjande av uppgifter som omfattas av tystnadsplikt (för ambulansverksamhet i privat regi och för den nationella alarmeringsfunktionen om den bedrivs i bolagsform). Som utredningen konstaterat tidigare torde det dock oftast bli fråga om att dela uppgifter av mer generell karaktär, som inte om- fattas av sekretess eller tystnadsplikt. För det fall att en aktör inom samhällets alarmeringstjänst ändå behöver dela uppgifter som om- fattas av sekretess eller tystnadsplikt har utredningen gjort följande överväganden. Hos den nationella alarmeringsfunktionen gäller larmbehandlings- sekretess för uppgifter om enskildas personliga och ekonomiska förhållanden, uppgifter av betydelse för rikets försvar och folk- försörjningen samt förebyggande och beivrande av brott. Utred- ningen har bedömt att det inte torde bli aktuellt för hjälporganen att dela några andra typer av uppgifter med den nationella alarme- ringsfunktionen. Och den information som kan behöva delas med ett hjälporgan torde sällan handla om något annat än enskildas personliga förhållanden, vilka skyddas hos samtliga hjälporgan (om än med varierande styrka). Utredningen bedömer alltså att de upp- gifter som kan komma att omfattas av uppgiftsskyldighet i stor utsträckning kommer att omfattas av sekretess eller tystnadsplikt hos mottagaren. 15.6Vittnesplikt, editionsplikt och annan uppgiftsskyldighet Bedömning: Det är inte motiverat att ändra reglerna om vittnes- plikt, editionsplikt och annan uppgiftsskyldighet. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet Skälen för utredningens bedömning Utredningen anser att när det gäller vittnesplikt, editionsplikt och annan uppgiftsskyldighet så bör det göras en avvägning mellan möjligheten att få vara anonym i kontakt med den nationella alarme- ringsfunktionen och statens intresse av att kunna utreda brott. Som beskrivits i avsnitt 15.4.4 finns undantag från vittnesplikten för vissa angivna yrkesgrupper. Det handlar bland annat om yrkes- grupper som i sin yrkesutövning ofta anförtros eller får kännedom om integritetskänsliga uppgifter. Enligt utredningens bedömning är en operatör vid den natio- nella alarmeringsfunktionen inte en sådan yrkesgrupp som utan vidare kan jämställas med de andra yrkesgrupper som omfattas av det s.k. frågeförbudet i 36 kap. 5 § (exempelvis advokater, läkare, sjuksköterskor, psykologer). Det bör också has i åtanke att frågeförbudet omfattar en mindre krets av hälso- och sjukvårdspersonal än den som omfattas av tystnadsplikt enligt OSL och patientsäkerhetslagen. Det är inte tillräckligt att en yrkesgrupp kan tänkas få del av känsliga eller sekretessbelagda uppgifter, för att yrkesgruppen ska undantas från den i svensk processrätt grund- läggande vittnesplikten. Det bör även has i åtanke att för att frågeförbud ska gälla ska det röra sig om en omständighet som anförtrotts vittnet i hans eller hennes yrkesutövning eller som han eller hon i samband därmed erfarit. Med att något har anförtrotts den yrkesutövare som det gäller menas att uppgifterna har lämnats med begäran om eller under en tyst förväntan att de ska vara förtroliga.130 Det skulle å ena sidan kunna hävdas att en operatör vid den nationella alarmeringsfunktionen, som inte är legitimerad sjuk- sköterska, i många fall får del av samma typ av uppgifter som en legitimerad sjuksköterska och därför skulle omfattas av fråge- förbudet. Men å andra sidan skulle samma argument kunna tala för att annan vårdpersonal, t.ex. en undersköterska, i sin yrkesutövning kan få del av motsvarande uppgifter. Dessutom skulle ett undantag för just operatörer kunna leda till att även annan personal hos den nationella alarmeringsfunktionen borde omfattas av frågeförbudet. 130 Se Fitger m.fl., kommentaren till 36 kap. 5 §. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet Med ett sådant resonemang skulle den personkrets som om- fattas av frågeförbudet kunna komma att bli alltför vid vilket kan få konsekvenser som är svåra att överblicka. Utredningen har haft att väga dessa synpunkter mot varandra, och bedömer att en sådan genomgripande förändring av rättegångs- balkens regler om vittnesplikt, om det bedöms påkallat, bör utredas samlat i ett annat sammanhang. Eftersom editionsreglerna131 är konstruerade som så att de ska omfatta samma saker som en person har plikt att vittna om, så har utredningen bedömt att det inte heller finns anledning att föreslå någon ändring av editionsreglerna. I direktiven anges att utredningen även ska pröva vad som ska gälla för den nationella alarmeringsfunktionen i fråga om annan uppgiftsskyldighet (än vittnes- och editionsplikten) gentemot bland annat domstolar och brottsbekämpande myndigheter. Det har framförts till utredningen att tanken bakom texten i direktivet var att det behöver ses över huruvida det finns uppgifts- skyldighet utöver vittnes- och editionsplikten. Som beskrivits i avsnitt 15.4.4. skulle det kunna föreligga en uppgiftsskyldighet för den nationella alarmeringsfunktionen gente- mot domstolar enligt reglerna om syn i 39 kap. . Såsom beskrivits där har även reglerna om syn ett sådant samband med reglerna om vittnesplikt som gör att det inte heller beträffande dessa regler finns anledning att föreslå någon ändring. Utredningen bedömer att det inte finns någon annan form av uppgiftsskyldighet som aktualiseras för den nationella alarmerings- funktionen, som bör belysas i detta sammanhang. Utredningen ser inte heller att det finns anledning att föreslå någon uppgiftsskyldig- het för den nationella alarmeringsfunktionen, utöver den som före- slagits i avsnitt 15.5.7. 131 Med detta begrepp avses både reglerna om editionsplikt, som kan göra att ett företag blir skyldig att överlämna en handling, och reglerna om editionsbeslut, som kan göra att en myndighet blir skyldig att lämna ut en allmän handling som är sekretessbelagd. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet 15.7Personuppgiftsbehandling hos den nationella alarmeringsfunktionen Bedömning: Den personuppgiftsbehandling som följer av den föreslagna alarmeringslagen och av alarmeringsförordningen stämmer överens med de krav som gäller enligt dataskyddsförordningen. Eventuella behov av registerförfattning bör avgöras sedan data- skyddsförordningen och den svenska lagstiftningen trätt i kraft och i samband med att den tekniska lösningen utformas närmare. Skälen för utredningens bedömning antogs och rådets förord- ning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Utredningen har valt att kalla den dataskydds- förordningen i det följande. Dataskyddsförordningen kommer att gälla direkt som lag i alla medlemsstater men ger i vissa avseenden utrymme för komplette- rande nationella bestämmelser. har i sitt betänkande Ny dataskyddslag, kompletterande regler till EU:s dataskyddsförordning132 lämnat förslag till viss nationell reglering som på ett generellt plan ska komplettera dataskyddsförordningen, bland annat en ny dataskyddslag. Regeringen har i en proposition föreslagit att den nya dataskyddslagen ska träda i kraft den 25 maj 2018.133 Propositionen behandlas i . Dataskyddsförordningen reglerar bland annat grundläggande prin- ciper för behandling av personuppgifter, den registrerades rättig- heter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav.134 2017/18:105. 134SOU 2017:29, s. 122. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet Dataskyddsförordningen innehåller många bestämmelser som är hämtade års dataskyddsdirektiv men även flera ändringar och nyheter såsom till exempel rätten att bli glömd, dataporta- bilitet, skyldighet att anmäla personuppgiftsincident och skyldighet för den personuppgiftsansvarige att göra en konsekvensbedömning avseende dataskydd innan en riskfylld behandling påbörjas. Enligt Datainspektionen innebär förordningen att författningsförslag måste anpassas till förordningens innehåll och de har tagit fram en vägledning för integritetsanalys för att bedöma integritetsriskerna med ny eller ändrad lagstiftning.135 Från förordningens tillämpningsområde undantas personupp- giftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Personuppgiftsbehandling för dessa syften ligger i stället under det s.k. dataskyddsdirektivet för brottsbekämpande myndig- heter136. Av artikel 6 2. I förordningen framgår bland annat att medlems- staterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen (med hän- syn till behandling för att efterleva punkt 1 c och e) genom att när- mare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Både den nu av regeringen föreslagna nya dataskyddslagen och eventuella registerförfattningar har sitt stöd i detta. Som nämnts tidigare kommer dataskyddsförordningen att börja gälla , dvs. före det att den föreslagna alarmerings- lagen träder i kraft. Förordningens regler måste därför beaktas vid analysen av konsekvenserna av utredningens förslag när det gäller den personliga integriteten. Eftersom dataskyddsförordningen, och den svenska lagstiftning som behövs för att komplettera förordningen, ännu inte trätt i kraft har det enligt utredningens bedömning inte varit möjligt att 135Datainspektionens vägledning för integritetsanalys (), s. 10. 136Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (Dataskyddsdirektivet för brottsbekämpande myndigheter) – ska vara genom- fört . Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet göra en fullständig analys av alla de frågor som kan uppkomma på personuppgiftsbehandlingens område. Till detta kommer att det ännu inte står klart i detalj på vilket sätt personuppgifter kan komma att hanteras inom ramen för den tekniska lösning som utredningen har föreslagit i kapitel 13. Utredningen har därför i sina överväganden utgått ifrån de fall av personuppgiftsbehandling som kan förutses . Det kan inte uteslutas att det vid den nationella alarmeringsfunktionen kan komma att förekomma ytterligare personuppgiftsbehandling vars förenlighet med dataskyddsförordningen behöver utredas. I några fall har utredningen redan nu kunnat förutse ett behov av ytter- ligare utredning, exempelvis behovet av en s.k. registerförfattning för den nationella alarmeringsfunktionen. Vissa frågor behöver därför utredas närmare sedan dataskydds- förordningen och den svenska lagstiftningen trätt i kraft, och i samband med att den tekniska lösningen utformas närmare. Dessa frågor framgår i avsnitt 19.3. 15.7.2Avvägningen mellan behovet av effektivitet i informationsutbytet och skyddet för den personliga integriteten För att den nationella alarmeringsfunktionen ska kunna utföra larmbehandlingen krävs det att funktionen har tillgång till de uppgifter som behövs för att funktionen ska kunna ta fram relevant underlag för olika hjälpinsatser. I detta ingår – och kommer att göra så även framöver – personuppgifter såsom namn, adresser, hälsouppgifter, lokaliseringsuppgifter m.m. Det är helt avgörande att den nationella alarmeringsfunktionen kan behandla personuppgifter, och i förekommande fall dela dem med hjälp- organen, för att en hjälpinsats ska kunna genomföras. Om sådan personuppgiftsbehandling inte får ske skulle det kunna leda till allvarliga konsekvenser för angelägna allmänna intressen såsom t.ex. människors liv och hälsa (jfr avsnitt 19.3.2 och uppgifter av allmänt intresse). Det torde liksom bli fråga om personuppgiftsbehand- ling av relativt stor omfattning. Utredningen bedömer att larmbehandlingen enligt alarmerings- lagen kommer att innebära särskilda integritetsrisker, eftersom bland annat känsliga uppgifter såsom uppgifter om enskildas hälsotill- Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet stånd kan komma att behandlas i relativt stor omfattning. Sådana uppgifter utgör sådana känsliga uppgifter som aktualiserar artikel 9 i dataskyddsförordningen. I artikeln regleras behandling av särskilda kategorier av personuppgifter, bland annat uppgifter om hälsa. Som nämnts tidigare utbyter hjälporganen regelbundet denna typ av uppgifter med SOS Alarm. De integritetsrisker som ett ökat informationsutbyte skulle kunna medföra motverkas för övrigt genom utredningens förslag om larmbehandlingssekretess (avsnitt 15.5.3). Utredningen bedömer att behovet av ett effektivt informations- utbyte mellan den nationella alarmeringsfunktionen och hjälporga- nen är ett allmänt intresse och väger tyngre än den eventuella risk för intrång i den personliga integriteten som ett sådant utbyte kan medföra (jfr också artikel 6.1 dataskyddsförordningen). 15.7.3Behandlingen av personuppgifter torde vara förenlig med dataskyddsförordningen Som nämnts i avsnitt 15.7.1 måste det enligt dataskyddsförord- ningen finnas en rättslig grund för den personuppgiftsbehandling som den nationella alarmeringsfunktionen ska syssla med. I artikel 6.1 c och e dataskyddsförordningen finns regler som kan komma i fråga som rättsliga grunder för behandling av personuppgifter när den nationella alarmeringsfunktionen ska utföra larmbehandling. Enligt reglerna ska personuppgiftsbehandlingen antingen vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personupp- giftsansvarige (6.1 c) eller nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (6.1 e). När det gäller båda dessa rättsliga grun- der följer dessutom av artikel 6.3 första stycket att grunden för personuppgiftsbehandling ska fastställas i enlighet med unions- rätten eller nationell rätt. Utredningen bedömer att den rättsliga grunden för den natio- nella alarmeringsfunktionens behandling av personuppgifter i första hand torde kunna utgöras av artikel 6.1 e, dvs. att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Enligt Data- skyddsutredningen förefaller det med hänsyn till svensk förvalt- ningstradition rimligt att anta att alla uppgifter som utförs av stat- Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet liga myndigheter i syfte att fylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse.137 Utredningen bedömer att den nationella alarmeringsfunktionens tillämpning av alarmeringslagen innebär utförande av uppgifter av allmänt intresse, oavsett om verksamheten bedrivs i bolagsform eller myndighetsform. Regeringen har uttalat att vid tillämpningen av artikel 6.1 e spelar det ingen roll om den personuppgiftsansvarige är en offentlig eller en privat aktör. Om den uppgift som den person- uppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns en rättslig grund för nödvändig behandling enligt artikel 6.1 e.138 Enligt artikel 6.3 första stycket i dataskyddsförordningen krävs som nämnts även att den rättsliga grunden ska vara fastställd genom unionsrätten eller nationell rätt. I den nationella alarmeringsfunktionens fall föreslås det i kapi- tel 7 att uppgiften av allmänt intresse, alltså att utföra larmbehand- ling, ska regleras i en ny alarmeringslag. Utredningen bedömer att kravet på rättslig grund för den nationella alarmeringsfunktionens personuppgiftsbehandling kommer att vara fastställt genom den nya alarmeringslagen. 15.7.4Behandlingen av känsliga personuppgifter torde vara förenlig med dataskyddsförordningen För att känsliga personuppgifter ska få behandlas måste som nämnts tidigare något av undantagen i artikel 9.2 dataskyddsförordningen vara tillämpligt. Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse Av artikel framgår att förbudet mot behandling av känsliga personuppgifter inte gäller om behandlingen är nödvändig av hän- syn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Regleringen i unionsrätten eller 137SOU 2017:39, s. 122 och 124. Regeringen delade denna bedömning, se prop. 2017/18:105. 2017/18:105, s. 58. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet nationell rätt ska i sådana fall stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till data- skydd och innehålla regler om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. Regeringen har föreslagit en regel i en ny dataskyddslag, som gäller myndigheters möjlighet att behandla känsliga personuppgifter med stöd av artikel 9.2 g.139 Artikeln innebär bland annat att käns- liga personuppgifter får behandlas av en myndighet, om behand- lingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Utredningen bedömer att förutsättningarna enligt den föreslagna regeln kommer att vara uppfyllda för det fall att den nationella alarmeringsfunktionen bedrivs i myndighetsform. För det fall att den nationella alarmeringsfunktionen bedrivs i bolagsform finner utredningen anledning att gå lite närmare in på förutsättningarna i artikel . Regeringen har som nämnts ovan uttalat sig om myndigheters förutsättningar för att behandla känsliga uppgifter med stöd av undantagsregeln i artikel , och konstaterat att utrymmet för privata aktörer att hantera känsliga personuppgifter inte behandlats i det lagstiftningsärendet. pekar regeringen på att det framgår av exempel som ges i förordningen, att också viss verksam- het som bedrivs av privata aktörer kan omfattas av begreppet vik- tigt allmänt intresse.140 Utredningen bedömer att den nationella alarmeringsfunktionens behandling av känsliga personuppgifter är nödvändig av hänsyn till ett viktigt allmänt intresse, oavsett om verksamheten bedrivs i form av ett bolag eller en myndighet. Det viktiga allmänna intresset är som nämnts ovan att genom larmbehandlingen uppfylla samhällets åtagande att kunna tillhandahålla snabba och effektiva hjälpinsatser. Den rättsliga grunden för behandlingen finns som nämnts tidi- gare i alarmeringslagen. Enligt artikel måste den rättsliga grunden för att få behandla de känsliga personuppgifterna vara förenlig med det väsentliga innehållet i rätten till dataskydd, och innehålla regler om lämpliga och särskilda åtgärder för att säker- ställa den registrerades grundläggande intressen. prop., s. 80. prop., s. 83. Offentlighet, sekretess, tillsyn, överföring av uppgifter och personlig integritet