sou · H6B352 · 2018-06-28 00:00:00 — Som konstaterats i det föregående har och möjlighet att lämna ut personuppgifter till Myndighe- ten för vård- och omsorgsanalys för statistikändamål med stöd av undantaget i 24 kap. 8 § tredje stycket offentlighets- och sekretess- lagen. Myndigheterna kan också, med stöd av samma bestämmelse, lämna ut personuppgift som inte är direkt hänförlig till en enskild person, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men. Myndigheten för vård- och omsorgsanalys gör bedömningen att de personuppgifter som och kan lämna ut på detta sätt tillgodoser behovet av personuppgifter från dessa myndigheter för behandling i myndighetens analysprojekt. I de fall utlämnande initialt inte kan ske, kan en lämplig lösning hittas genom dialog mel- lan utlämnande och mottagande myndighet. Det finns därför inte skäl att i lag eller förordning föreskriva en särskild skyldighet för och att lämna vissa uppgifter till Myndigheten för vård- och omsorgsanalys. Utredningens förslag: Den nya lagstiftningen ska träda i kraft . Några särskilda övergångsbestämmelser behövs inte. Det är bra om den föreslagna lagen träder i kraft så snart det är möjligt. Utredningen föreslår att så sker . I av- snitt 19.4 gör utredningen bedömningen att det inte kommer att krävas några omfattande tekniska anpassningar av it-systemen hos Myndigheten för vård- och omsorgsanalys för att uppfylla kraven i den föreslagna lagen. De eventuella tekniska anpassningar, utbild- ningsinsatser eller organisatoriska förändringar som kan behövas bör kunna genomföras före det föreslagna ikraftträdandet. Det behövs inte några särskilda övergångsbestämmelser. Utredningen ska enligt 14–15 a §§ kommittéförordningen (1998:1474) redovisa konsekvenserna av de förslag som lämnas. Det gäller eko- nomiska och andra konsekvenser för enskilda personer, företag och det allmänna. I 14 § kommittéförordningen anges att om förslagen i ett betänk- ande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, ska dessa redovisas. När det gäller kostnads- ökningar och intäktsminskningar för staten, kommuner eller lands- ting, ska kommittén föreslå en finansiering. Om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheten att nå de integrationspolitiska målen, ska enligt 15 § kommittéförordningen konsekvenserna i det aktuella avseendet anges i betänkandet. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska enligt 15 a § kommittéförordningen förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvens- utredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. 19.2Uppdraget och de förslag som lämnas Utredningen har haft i uppdrag att utreda behovet av en särskild författning med bestämmelser om behandling av personuppgifter för Myndigheten för vård- och omsorgsanalys och vid behov föreslå en författningsreglering. I uppdraget har också ingått att analysera de rättsliga möjligheterna för och Statistiska central- byrån att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys för användning i myndighetens analysprojekt och vid behov lämna författningsförslag som möjliggör sådant uppgiftsläm- nande. Utredningens förslag består i huvudsak av en lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys och en kompletterande förordning. Utredningen föreslår också vissa följdändringar i etikprövningslagen. Utredningen föreslår inte någon skyldighet för eller att lämna personuppgifter till Myndigheten för vård- och omsorgsanalys. Utredningen bedömer att utlämnande av personuppgifter i stället kan ske med stöd av undantagsbestämmelserna i 24 kap. 8 § tredje stycket offentlighets- och sekretesslagen (2009:400). De förslag som utredningen lägger fram innebär att Myndigheten för vård- och omsorgsanalys ges möjlighet att behandla personupp- gifter på ett för uppföljnings- och analysverksamheten ändamåls- enligt och effektivt sätt som vissa restriktioner och skydds- åtgärder införs för att motverka intrång i den personliga integriteten. Genom förslagen får myndigheten bl.a. ett särskilt lagstöd för be- handling av känsliga personuppgifter utan att den registrerade har samtyckt till behandlingen. Förslagen underlättar också den pröv- ning som andra myndigheter kan behöva göra innan de lämnar ut personuppgifter till myndigheten. Myndigheten ges därmed goda förutsättningar att uppfylla sitt uppdrag enligt myndighetsinstruk- tionen. Särskild hänsyn har tagits till integritetsaspekterna av om- fattande automatiserad behandling av personuppgifter och till att den föreslagna regleringen ska säkerställa ett långsiktigt och hållbart integritetsskydd. Förslagen innebär sammantaget att myndigheten ges förutsättningar att bedriva sin verksamhet på ett effektivt och ändamålsenligt sätt som den enskildes personliga integri- tet skyddas mot intrång. 19.3Alternativa lösningar och konsekvenser av att den föreslagna regleringen inte genomförs Utredningen har i olika avsnitt i betänkandet redovisat vilka alter- lösningar som har övervägts och varför dessa inte har valts. Exempelvis har utredningen i avsnitt 14.2 övervägt möjligheten att införa bestämmelser om för vilka ändamål Myndigheten för vård- och omsorgsanalys får behandla personuppgifter och i avsnitt 10.2 övervägt om alla myndighetens projekt bör etikprövas. Utredningen har föreslagit att den etikprövning som kan göra behandling laglig ska göras av enligt det regelverk som redan finns för forskningsprojekt. Motiven för det förslaget finns i avsnitt 10.3.2 och motiven för att det behövs en extern granskning av mer integritetskänslig behandling av person- uppgifter finns i avsnitt 10.1. Som ett alternativ föreslås att någon annan extern instans gör en etisk prövning av myndighetens mer integritetskänsliga projekt (avsnitt 10.3.3–5). Syftet med den verksamhet som bedrivs av Myndigheten för vård- och omsorgsanalys är att bidra till att förbättra och effek- tivisera vården, tandvården och omsorgen samt stärka patienternas och brukarnas ställning. Det är således ett viktigt samhällsintresse att myndigheten kan bedriva en effektiv och ändamålsenlig verksam- het. är det ett viktigt samhällsintresse, med stöd av reger- ingsformen, att enskildas personliga integritet värnas. De förslag som lämnas i detta betänkande syftar till att Myndigheten för vård- och omsorgsanalys ska kunna genomföra sitt uppdrag på ett ända- målsenligt och effektivt sätt som vissa restriktioner och skyddsåtgärder införs för att motverka intrång i den personliga integriteten. De skyddsåtgärder utredningen föreslår går utöver de som följer av dataskyddsförordningen. Skulle förslaget inte genom- föras, blir det således inte någon sådan förbättring av integritets- skyddet. Även om förslagen på olika sätt leder till förbättringar kan de in- ledningsvis komma att föra med sig vissa begränsade merkostnader för Myndigheten för vård- och omsorgsanalys avseende tekniska Sådana anpassningar kan framför allt vara aktuella för att uppfylla de föreslagna kraven på skyddsåtgärder. Myndigheten arbetar dock med såväl pseudonymisering som behörig- hetsstyrning varför det kan antas att det inte kommer att krävas några större tekniska anpassningar av it-systemen för att uppfylla kraven. Det kan vidare initialt komma att krävas viss utbildning för de medarbetare vid myndigheten som ska tillämpa de nya reglerna. Ny lagstiftning kräver dock regelmässigt utbildningsinsatser och kostnaderna för dessa kan normalt täckas av myndighetens anslag inom befintlig ram. Förslagen kan också innebära att det krävs viss anpassning av myndighetens interna organisation och arbetssätt. Detta gäller framför allt förslagen om etikprövning och förslagen som innebär att myndighetschefen ska fatta vissa beslut. Eftersom myndigheten arbetar på ett sätt som är väl förenligt med dessa förslag, kan det endast vara aktuellt med mindre anpassningar. Det har inte varit möjligt att beräkna, eller ens uppskatta, de mer- kostnader som förslagen kan antas föranleda i det inledande skedet. Dessa merkostnader bedöms dock bli så små att de ryms inom myndighetens befintliga anslag. Förslaget om att myndighetens projekt ska etikprövas medför vissa kostnader för myndigheten, i form av både ansökningsavgifter och den arbetsinsats som krävs för att göra ansökan. Ansöknings- avgiften är men föreslås i en departementspromemoria höjas till 8 000 kr.1 Den dokumentation som myndigheten fastställer i projektdirektiv och projektplan inför varje projekt bedöms också kunna tjäna som underlag för en ansökan om etik- prövning. Kravet på etikprövning bör därför inte innebära någon större extra arbetsinsats för myndigheten. Det rör sig vidare endast om ett mindre antal ansökningar . Dessutom medför förslagen att myndigheten inte längre kommer att behöva anlita externa forskare i samma utsträckning som vilket i sig innebär en kostnads- besparing. Vidare föreslår utredningen undantag från kravet på etisk prövning för behandling av känsliga personuppgifter och lagöver- trädelser i vissa fall, avsnitt 11.4.2 och 12.2.2. Förslaget om krav på etikprövning bedöms därför sammantaget inte medföra någon ökad kostnad för myndigheten. 1Bilaga 2 till förordningen (2003:615) om etikprövning av forskning som avser människor och Ds 2016:46 s. 111 f. Kravet på etikprövning medför också sannolikt att Etikpröv- ningsmyndigheten kommer att få pröva ett något ökat antal ansök- ningar om etikprövning. Även för etikpröv- ning, som prövar överlämnade och överklagade ärenden, kan komma att få en marginell ökning av antalet ärenden. Som anges ovan handlar det dock endast om ett mindre antal ansökningar . Myndigheten för vård- och omsorgsanalys anlitar dessutom externa forskare för att göra vissa studier. Eftersom de externa forsk- arna ansöker om etikprövning, kan förslaget inte förväntas med- föra någon större ökning av det totala antalet ärenden som prövas av och ning. Etikprövningsverksamheten är dessutom till stor del finansierad genom de ansökningsavgifter som tas ut. Förslagen bör därmed inte medföra annat än en sådan marginell ökning av kostnaderna för etik- prövningsverksamheten att den ryms inom befintliga anslag. Kostnaderna för det fall att någon annan instans än Etikpröv- ningsmyndigheten och för den etiska prövningen har inte varit möjliga att beräkna, bl.a. eftersom kostnadsökningen är beroende av de befintliga förutsätt- ningarna hos den instans som väljs. Utredningens förslag får inte några konsekvenser för den kommu- nala självstyrelsen. Detsamma gäller för brottsligheten och det brotts- förebyggande arbetet. Förslagen får inte heller några konsekvenser för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i öv- rigt i förhållande till stora företags. Författningsförslagen är köns- neutralt utformade och förväntas inte få några negativa konsekvenser för jämställdheten mellan kvinnor och män. Förslagen får inte heller några negativa konsekvenser för möjligheten att nå de integrations- politiska målen. Med förslagen får myndigheten goda möjligheter att genomföra analyser på jämställdhets- och integrationsområdena, vilket bör ge goda förutsättningar för beslut på dessa politikområden med åtföljande positiva konsekvenser för integrationen och jäm- ställdheten mellan kvinnor och män. Utredningen har inte föreslagit någon reglering som går utöver vad som är tillåtet enligt dataskyddsförordningen. Utredningen har i respektive avsnitt gjort en bedömning av vilken nationell reglering som är möjlig att införa med beaktande av den direkt tillämpliga EU- regleringen. Den föreslagna lagstiftningen innehåller således endast bestämmelser som kompletterar eller tar över bestämmelserna i data- skyddsförordningen, när det är tillåtet. 19.6Konsekvenser för den personliga integriteten Utredningens förslag innebär att Myndigheten för vård- och omsorgs- analys ges möjlighet att utan samtycke behandla stora mängder personuppgifter, varav en del är känsliga, även när det innebär ett betydande intrång i den personliga integriteten. Genom kravet på etikprövning och de övriga skyddsåtgärder som föreslås säkerställs dock enligt utredningens bedömning ett långsiktigt och hållbart integritetsskydd. Utredningen anser att förslagen utgör en lämplig avvägning mellan skyddet för den enskildes personliga integritet och behovet av en ändamålsenlig reglering för myndighetens behandling av personuppgifter. Myndighetens befintliga möjligheter att utan sam- tycke behandla känsliga personuppgifter och uppgifter om lagöver- trädelser begränsas genom den föreslagna lagen till vad myndigheten behöver och är etiskt försvarbart. De skyddsåtgärder som utred- ningen föreslår ska gälla vid sådan behandling av personuppgifter som myndigheten kan utföra . För sådan behandling med- för således utredningens förslag ett bättre skydd för den personliga integriteten än vad som gäller . För en mer utförlig redovisning av utredningens bedömning av om det intrång i den personliga integriteten som förslagen medför är proportionerligt i förhållandet till intresset av att myndigheten kan bedriva sin verksamhet på ett ändamålsenligt sätt hänvisas till kapitel 16. 20.1Förslaget till lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet vid Myndigheten för vård- och omsorgsanalys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. Lagen gäller endast om behandlingen är helt eller delvis auto- matiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 3 och 9–11 §§ gäller även vid behandling av uppgifter om avlidna personer. Paragrafen anger lagens materiella tillämpningsområde. Övervägan- dena finns i avsnitt 9.3. I första stycket anges att lagen gäller vid behandling av person- uppgifter. Definitioner av begreppen behandling och personupp- gifter finns i artikel 4 i dataskyddsförordningen. Den behandling av personuppgifter som avses är den som förekommer i verksamhet vid Myndigheten för vård- och omsorgsanalys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjuk- vård, tandvård och omsorg ur ett patient-, brukar- och medborgar- perspektiv. Med omsorg avses hela område och de verksamheter som bedrivs med stöd av lagen (1990:52) med särskil- da bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1993:387) om stöd och service till vissa funktionshindrade med flera författningar i enlighet med vad som avses i 2 § lagen (2001:454) om behandling av personuppgifter inom . Tillämpningsområdet motsvarar vad som anges i 1 § förordningen (2010:1385) med instruktion för Myndigheten för vård- och omsorgsanalys och är avsett att inkludera myndig- hetens kärnverksamhet och uppdrag i enlighet med hur det preci- seras i 2 och 3 §§ förordningen med instruktion för Myndigheten för vård- och omsorgsanalys. Det innebär att lagen inte är tillämplig vid andra typer av verksamheter vid myndigheten, t.ex. inom den admi- nistrativa verksamheten. I andra stycket klargörs att tillämpningsområdet även är begränsat till att avse helt eller delvis automatiserad behandling eller behand- ling av personuppgifter som ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Av artikel 2.1 i datas- kyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på auto- matisk väg samt på annan behandling än automatisk av personupp- gifter som ingår i eller kommer att ingå i ett register. Ett register är enligt definitionen i artikel 4 punkt 6 i dataskyddsförordningen en strukturerad samling av personuppgifter som är tillgänglig enligt sär- skilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Den föreslagna lagens tillämpningsområde anknyter således i denna del helt till dataskyddsförordningens tillämpningsområde. Det inne- bär att behandling av personuppgifter som inte ingår i en uppgiftssamling som är strukturerad för sökning eller sammanställ- ning, såsom minnesanteckningar från intervjuer som enbart förs på papper, inte omfattas av lagens tillämpningsområde. Genom bestämmelsen i tredje stycket om att vissa angivna bestäm- melser ska gälla avlidna personer utvidgas den föreslagna lagens tillämpningsområde i förhållande till dataskyddsförordningen. En människa är död, dvs. avliden, när hjärnans samtliga funktioner totalt och oåterkalleligt har fallit bort, se 1 § lagen (1987:269) om kriterier för bestämmande av människans död. Förhållandet till annan reglering 2 § Denna lag innehåller bestämmelser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Vid forskning gäller lagen (2003:460) om etikprövning av forskning som avser människor. I paragrafen anges lagens förhållande till annan reglering. Över- vägandena finns i avsnitt 9.4. Första stycket upplyser om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig men förutsätter eller tillåter i vissa avseenden natio- nella bestämmelser som kompletterar förordningen, i form av preci- seringar eller undantag. Nationell reglering krävs bl.a. vid behandling av känsliga personuppgifter som är nödvändig av hänsyn till ett viktigt allmänt intresse. Hänvisningen till dataskyddsförordningen i lagen är dynamisk, dvs. avser dataskyddsförordningen i dess gällande lydelse. Av andra stycket framgår lagens relation till den generella data- skyddslagen. Dataskyddslagen kompletterar dataskyddsförordningen på nationell generell nivå. Den lag som föreslås i detta betänkande har företräde framför dataskyddslagen. Om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av lagen, gäller dataskydds- lagen. I det tredje stycket klargörs att vid behandling av personuppgifter för forskning. gäller i stället etikprövningslagen. Med forskning avses här detsamma som i etikprövningslagen, dvs. vetenskapligt experi- mentellt eller teoretiskt arbete för att inhämta ny kunskap och utveck- lingsarbete på vetenskaplig grund. Etikprövningslagen gäller, när det rör behandling av personuppgifter, vid forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgifts- lagen eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgiftslagen. 3 § Myndighetschefen ska för varje projekt besluta om särskilda ända- mål för behandlingen av personuppgifter och vilka kategorier av per- sonuppgifter som får behandlas om vilka kategorier av personer. Utan ett sådant beslut får personuppgifter inte behandlas. För att personuppgifter som har samlats in för ett beslutat ändamål i ett projekt ska få behandlas för ett annat ändamål, krävs att myndig- hetschefen beslutar om det. Paragrafen ställer särskilda krav på ändamålsbestämning och begräns- ning av behandling av personuppgifter. Övervägandena finns i av- snitt 14.2.5 och 14.3. Enligt första stycket krävs att myndighetschefen fattar ett beslut för varje projekt om för vilka ändamål personuppgifter får behand- las. Med projekt avses en tidsbegränsad arbetsuppgift som ska genomföras inom bestämda ramar, exempelvis i fråga om tid, arbets- insatser och ekonomi. Av artikel 5.1 b i dataskyddsförordningen framgår att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Kravet enligt dataskyddsförord- ningen på att fastställa ändamål utökas således enligt lagen med ett krav på ett formellt beslut om ändamål av myndighetschefen. Innan beslut har fattats får inga personuppgifter behandlas i projektet. Myndighetschefens beslut ska även gälla vilka kategorier av person- uppgifter som får behandlas om vilka kategorier av personer. Beslu- tet behöver inte ange exakt vilka personuppgifter eller personer som får behandlas utan det räcker med en angivelse på kategorinivå, t.ex. uppgifter om födelseår, kön och utbildningsnivå rörande personer med en viss diagnos, bosatta inom ett visst län. För att personuppgifter som har samlats in för ett beslutat ändamål i ett projekt ska få behandlas för ett annat ändamål krävs enligt andra stycket att myndighetschefen fattar ett beslut om det. Personuppgifter som har samlats in för ett visst ändamål i ett projekt får användas för andra ändamål bara om det är förenligt med tillämp- liga regler. Behandlingen av personuppgifterna för det nya ändamålet får t.ex. inte vara oförenlig med det ursprungliga ändamålet i enlighet med finalitetsprincipen i artikel 5.1 b i dataskyddsförordningen. Bedömningen av förenligheten ska göras i enlighet med vad som framgår av artikel 6.4 i dataskyddsförordningen. Innan personupp- gifterna kan användas för ett nytt syfte måste alla registrerade infor- meras enligt artikel 13.3 och 14.4 i dataskyddsförordningen. Om det nya ändamålet innebär behandling av personuppgifter i ett nytt projekt eller om ett tidigare beslutat ändamål i ett befintligt projekt förändras väsentligt måste dessutom en prövning av Etikprövnings- myndigheten eller tivt ett annat särskilt organ för prövning av etiska frågor göras enligt 4, 5 och 7 §§ när det inte finns samtycke till den nya behandlingen och det rör sig om känsliga personuppgifter, uppgifter om lagöver- trädelser eller en så stor omfattning av personuppgifter att behand- lingen medför en kartläggning av de registrerade och ett betydande intrång i deras personliga integritet. Av 4 § andra stycket och 5 § andra stycket framgår att det dock finns vissa undantag från kravet på etikprövning. Om de rättsliga förutsättningarna för att behandla personuppgifter för ett nytt ändamål är uppfyllda, kan myndighets- chefen besluta om att så ska ske. Innan beslut har fattats får inga personuppgifter behandlas för nya ändamål. Enligt 10 § förordningen med instruktion för Myndigheten för vård- och omsorgsanalys är generaldirektören myndighetschef. Gene- raldirektören får inte delegera beslutanderätten enligt denna paragraf. Enligt 24 § första stycket myndighetsförordningen (2007:515) kan dock myndighetschefens ställföreträdare tjänstgöra i myndighets- chefens ställe när myndighetschefen inte är i tjänst och då fatta be- slut enligt paragrafen.