sou · H6B352 · 2018-06-28 00:00:00 — Behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2018 Till statsrådet och chefen för Genom beslut bemyndigade regeringen statsrådet att tillkalla en särskild utredare med uppdrag att analysera konsekvenserna av EU:s s.k. dataskyddsförordning för be- handlingen av personuppgifter inom verksam- hetsområde och föreslå författningsändringar till följd av dataskydds- förordningen. Som särskild utredare förordnades ordföranden i . Utredningen (S 2016:05) har antagit namnet Socialdataskydds- utredningen. Uppdraget redovisades i betänkandet Dataskydd inom Social- departementets verksamhetsområde – en anpassning till EU:s dataskydds- förordning (SOU 2017:66) som överlämnades . beslutade regeringen att ge utredaren i tilläggs- uppdrag att utreda behovet av en särskild författning med bestäm- melser om personuppgiftsbehandling för Myndigheten för vård- och omsorgsanalys. Om sådana behov finns, ska utredaren lämna behöv- liga författningsförslag. beslutade regeringen att ge utredaren i tilläggs- uppdrag att analysera de rättsliga möjligheterna för och att lämna ut personuppgifter till Myn- digheten för vård- och omsorgsanalys för användning i myndig- hetens analysprojekt, och vid behov lämna förslag som möjliggör nödvändigt uppgiftsutlämnande. Tiden för uppdraget förlängdes till och med . I det uppdrag som redovisas i detta betänkande har som sakkunniga medverkat kanslirådet (), ämnes- rådet (), departements- sekreteraren () och kanslirådet (). Som experter har med- verkat chefsjuristen (Inspektionen för socialförsäkringen), verksjuristen (Statistiska central- byrån), professorn (), avdelningsdirektören (Datainspektionen), juristen () samt stabschefen och chefsjuristen (Myndigheten för vård- och omsorgsanalys). Som sekreterare i utredningen förordnades verksjuristen och hovrättsassessorn . De avslutade sitt arbete i utredningen . Från och med den 1 janu- ari 2018 förordnades hovrättsassessorn som sekreterare. Härmed får jag överlämna betänkandet Behandling av person- uppgifter vid Myndigheten för vård- och omsorgsanalys (SOU 2018:52). Utredningsarbetet är därmed avslutat. 1.1Förslag till lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys..................... 1.2Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor .................. 1.3Förslag till förordning om behandling av personuppgifter vid Myndigheten för vård- Utredningsarbetet och betänkandet ............................. Materiell och territoriell avgränsning..................... Laglig behandling av personuppgifter.................... 3.4.6Känsliga personuppgifter och uppgifter om Den registrerades rättigheter.................................. Överföring av personuppgifter till tredjeland ....... 3.4.12När uppgifter behandlas i strid med Konkurrens med andra rättigheter......................... Skydd för den personliga integriteten.................... 3.5.2Begränsning av skyddet för den personliga Intrång i den personliga integriteten ..................... Myndigheten för vård- och omsorgsanalys ..................... 4.3Rättsligt stöd för myndighetens behandling 4.4 Behovet av att behandla personuppgifter.............................. Behov av uppgifter från andra aktörer ................... Regleringen av andra analysmyndigheters behandling (Brå)............................................. utvärdering (IFAU)................................................................ Inspektionen för socialförsäkringen (ISF)............................ Myndigheten för kulturanalys................................................ 5.8Myndigheten för tillväxtpolitiska utvärderingar och analyser (Tillväxtanalys).................................................. Utlämnande av personuppgifter till Myndigheten för vård- och omsorgsanalys............................................. Myndighetens behov av att använda redan befintliga data som finns hos andra aktörer........... 6.2.2Myndighetens behov av att rikta sig direkt till patienter, brukare och andra specifika grupper ..... Myndighetens behov av att rikta sig till 6.2.4Myndighetens behov av att följa utveckling 6.3 Uppgiftslämnande mellan myndigheter och sekretess......... Uppgiftslämnande mellan myndigheter................. Primär och sekundär sekretess ............................... 6.4Sekretess för uppgifter hos 6.4.1Lagen om den officiella statistiken och statistikansvariga myndigheter........................ Vad är statistik?....................................................... Annan jämförbar undersökning............................. 6.4.6Uppgift om enskilds personliga eller 6.4.8Undantaget för uppgift för forsknings- 6.4.9Undantaget för uppgifter som inte är direkt hänförliga till den enskilde ................................... 6.5Sekretess för uppgifter hos Myndigheten för vård- 6.6Möjligheterna för och att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys ........................ 6.6.1Undantaget för uppgift som behövs för 6.6.2Undantaget för uppgift som behövs för 6.6.3Undantaget för uppgift som inte är direkt hänförlig till den enskilde ..................................... 6.7 Sekretessbrytande bestämmelser ......................................... 6.7.1Uppgiftslämnande på grund av lag 6.7.2Sekretessbrytande bestämmelse för uppgifter ÖVERVÄGANDEN OCH FÖRSLAG...................................... Behandling av personuppgifter med stöd av Rättslig grund för behandling av personuppgifter.............. Regleringen i dataskyddsförordningen ................ Behandling med stöd av samtycke........................ 7.1.3Behandling för att utföra en arbetsuppgift av allmänt intresse ................................................. 7.1.4Inget behov av nationell reglering av rättslig grund för myndighetens behandling .................... 7.2 Behandling av känsliga personuppgifter.............................. Regleringen i dataskyddsförordningen ................ 7.2.2Undantag för behandling med stöd av Undantag för viktiga allmänna intressen ............. 7.2.4Undantag för hälso- och sjukvård samt social Undantag för statistikändamål ............................. Behandling av uppgifter om lagöverträdelser...................... Behovet av en reglering............................................ En ny lag om behandling av personuppgifter............... 9.1Lagen bör inte innehålla bestämmelser som generellt 9.2Nationella bestämmelser som kompletterar 9.3 Lagens tillämpningsområde.................................................. Verksamhet som bör omfattas av lagen ............... Uppgifter om avlidna personer............................. 9.4 Förhållandet till annan reglering.......................................... Krav på extern prövning vid riskfyllda behandlingar Det behövs en prövning i varje enskilt fall vid riskfyllda Någon extern prövning behövs inte vid samtycke............. Vilken oberoende instans ska göra prövningen? 10.3.2Etikprövningsmyndigheten är den naturliga Överväganden om alternativen............................. 10.3.5 Utredningen lämnar inget ytterligare förslag på lämplig prövningsinstans ................................. Vilken avvägningsnorm ska den oberoende instansen ska tillämpa nuvarande regelverk på motsvarande sätt............................................... 10.4.2 Väljs en annan instans ska den göra som fastställs i lag.................................................. Behovet av att behandla känsliga personuppgifter ............. 11.3Förutsättningarna för att göra undantag från förbudet mot att behandla känsliga personuppgifter med hänsyn till ett viktigt allmänt intresse är uppfyllda......................... Krav på skyddsåtgärder......................................... Krav på nödvändighet ........................................... 11.3.3 Krav på proportionalitet........................................ 11.4 Krav på etisk prövning för behandling av uppgifter om hälsa och personuppgifter som avslöjar etniskt ursprung utan samtycke ....................................................... 11.4.1Behandling tillåts om det finns uttryckligt samtycke eller etikgodkännande........................... 11.4.2 Undantag från kravet på etisk prövning............... Behovet av att behandla uppgifter om lagöverträdelser...... Krav på etisk prövning för behandling av uppgifter om lagöverträdelser utan samtycke...................................... 12.2.1 Behandling tillåts om det finns uttryckligt samtycke eller etikgodkännande........................... 12.2.2 Undantag från kravet på etisk prövning............... Andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser ............................. Behovet av att behandla andra personuppgifter.................. Behandling av andra personuppgifter i projekt som godkänts vid en etisk prövning .................................... Utvidgad möjlighet till etisk prövning av projekt som endast innefattar andra uppgifter................................. Krav på skydds- eller säkerhetsåtgärder .............................. Regleringen i dataskyddsförordningen ................ 14.1.2 Reglering i den föreslagna lagen ........................... Ändamålsbestämning för varje projekt ............................... Krav på ändamålsbestämning................................ Personuppgifter som får behandlas..................................... Behandling som den registrerade invänder mot ................. Gallring och bevarande............................................. Begränsning av skyddet mot betydande intrång i den personliga integriteten ..................................... 17Möjligheterna för och att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys.............. 17.2Utlämnande av personuppgifter kan inte ske med stöd av undantaget för uppgifter som behövs Utlämnande av personuppgifter kan ske med stöd av undantaget för uppgifter som behövs Utlämnande av personuppgifter kan ske med stöd av undantaget för uppgifter som inte är direkt hänförliga till den enskilde..................................................................... Det bör inte införas någon uppgiftsskyldighet Uppdraget och de förslag som lämnas................................. Alternativa lösningar och konsekvenser av att den föreslagna regleringen inte genomförs.................... Övriga konsekvenser enligt kommittéförordningen.......... Konsekvenser för den personliga integriteten .................... Förslaget till lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys................... Förslaget till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor ................ Det behövs en registerlag för Myndigheten för vård- och omsorgsanalys har utrett behovet av en registerför- fattning för Myndigheten för vård- och omsorgsanalys. Myndig- heten har enligt sin instruktion till uppgift att följa upp och analysera verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. Att göra uppföljningar ur de perspektiven innebär i sig att myndigheten behöver kunna rikta sig till patienter, brukare och medborgare med frågor, men också att frågeställningar på andra sätt behöver betraktas med dessa grupper som utgångspunkt. För att kunna fullgöra sin arbetsuppgift behöver myndigheten därför behandla vissa känsliga personuppgifter, personuppgifter från och omsorgen samt, i enstaka fall, uppgifter om lagöverträdelser. Med hänsyn till den omfattning av personuppgifter det kan bli fråga om, uppgift- ernas delvis känsliga karaktär, behovet av att personuppgifterna i vissa fall sammankopplas och omständigheten att behandlingen inte alltid kan ske med samtycke, blir resultatet i vissa fall det som enligt 2 kap. 6 § andra stycket regeringsformen kan betraktas som en kartläggning av enskildas personliga förhållanden och ett betydande intrång i den personliga integriteten. Myndigheten för vård- och omsorgsanalys har möjlighet att i sin analysverksamhet behandla personuppgifter, även känsliga sådana, med stöd av regleringen i dataskyddsförordningen och dataskydds- lagen. Det finns emellertid en överenskommelse mellan regering och riksdag om att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag, dvs. inte bara av den generella dataskyddsregleringen. Utredningen bedömer att den behandling av personuppgifter myndigheten behöver göra är sådan att den i vissa situationer faller under den överenskommelsen. Behandlingen bör, på grund av sin karaktär, vidare kringgärdas av mer specifika restriktioner och skyddsåtgärder än som följer av den allmänna dataskyddsregleringen. Utredningen föreslår därför en lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys. Lagen ska vara tillämplig vid behandling av personuppgifter i verk- samhet vid Myndigheten för vård- och omsorgsanalys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. Endast sådan behandling av personupp- gifter som är helt eller delvis automatiserad samt behandling av personuppgifter som ingår eller är avsedda att ingå i ett register (en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier) ska omfattas. Lagens bestämmelser om skyddsåtgärder ska tillämpas på uppgif- ter om både levande och avlidna personer. Förhållandet till annan reglering Den föreslagna lagen kompletterar de direkt tillämpliga bestämmel- serna i EU:s dataskyddsförordning. Dessutom gäller dataskydds- lagen, med generella kompletterande bestämmelser, om inte annat följer av den föreslagna lagen eller föreskrifter som har meddelats med stöd av den. Vid forskning som innefattar behandling av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personupp- gifter) eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden, ska inte den föreslagna lagen gälla. Då ska myn- digheten i stället tillämpa etikprövningslagen. Krav på extern etisk prövning vid riskfyllda behandlingar utan samtycke Myndigheten för vård- och omsorgsanalys har i uppdrag att göra analyser och uppföljningar inom flera sektorer och uppdraget kräver att flera sorters personuppgifter behandlas för olika konkreta ända- mål som i praktiken svårligen låter sig sammanfattas på ett sådant sätt att behandlingen kan begränsas på förhand genom lagstiftning. En ändamålsbestämmelse i lag med förutsättningar för att behand- ling ska få ske skulle därför behöva vara så allmänt hållen att man, enligt utredningens bedömning, inte kan överlåta åt myndigheten att själv tillämpa den i de fall det gäller mer integritetskänslig behandling av personuppgifter. Utredningen har därför kommit fram till att det bästa sättet att tillfredsställande reglera när myndigheten ska få utföra särskilt riskfyllda behandlingar är att föreskriva att det i varje enskilt fall ska göras en bedömning av en extern oberoende och kompetent instans. Med särskild riskfyllda behandlingar avses här behandling av känsliga personuppgifter och uppgifter om lagöver- trädelser samt behandling av personuppgifter i sådan omfattning att det, med hänsyn till den stora mängden personuppgifter, uppgift- ernas integritetskänsliga karaktär och behovet av att koppla samman uppgifterna, innebär en kartläggning av enskildas personliga förhåll- anden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. Behandling av personuppgifter som sker med stöd av den registrerades samtycke bör dock inte omfattas av ett krav på extern prövning, eftersom sådan behandling inte bedöms förknippad med samma risker för den personliga integriteten och då den registrerade själv genom sitt sam- tycke då förfogar över bedömningen. Utredningen föreslår att myndighetens projekt som innefattar be- handling av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ursprung ska genomgå en extern etisk prövning. Behandling av känsliga personuppgifter med stöd av den registrerades uttryck- liga samtycke ska dock inte omfattas av kravet på etisk prövning. Utredningen föreslår därför en bestämmelse som innebär att känsliga personuppgifter får behandlas bara med stöd av uttryckligt samtycke eller, i fråga om uppgifter om hälsa eller personuppgifter som av- slöjar etniskt ursprung, om projektet har prövats och godkänts vid en etisk prövning. Behandling av uppgifter om hälsa eller person- uppgifter som avslöjar etniskt ursprung om färre än 100 personer i ett projekt behöver dock inte genomgå etisk prövning. I vissa projekt kan det finnas behov av att behandla uppgifter om lagöverträdelser. Behov kan exempelvis uppstå i analyser av social- tjänstens arbete med unga lagöverträdare eller vårdpåföljder. Utred- ningen anser, trots att det inte finns något krav på särskilda skyddsåtgärder vid myndigheters behandling av uppgifter om lag- överträdelser enligt dataskyddsförordningen, att det är rimligt att även låta behandling av uppgifter om lagöverträdelser omfattas av kravet på extern etisk prövning. Om den registrerade har lämnat sitt samtycke till behandlingen av personuppgifter, ska någon sådan prövning dock inte krävas. Utredningen föreslår därför en bestäm- melse som innebär att uppgifter om lagöverträdelser får behandlas bara med stöd av samtycke eller om projektet har prövats och god- känts vid en etisk prövning. Behandling av uppgifter om lagöver- trädelser om färre än 100 personer i ett projekt behöver dock inte genomgå etisk prövning. Behandling av andra personuppgifter i etikgodkända projekt Det är utredningens uppfattning att en extern etisk prövning utgör en garanti för att samtlig behandling av personuppgifter, inte enbart behandling av känsliga personuppgifter och uppgifter om lagöver- trädelser, inom ett godkänt projekt är välgrundad och proportioner- lig. Har projektet vid prövningen ansetts motivera behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser, är det också befogat att behandla andra personuppgifter i projektet. Ut- redningen föreslår därför en bestämmelse som innebär att andra personuppgifter än sådana som är känsliga personuppgifter eller uppgifter om lagöverträdelser får behandlas utan de registrerades samtycke i ett projekt, om projektet har prövats och godkänts vid en etisk prövning. Möjlighet till etisk prövning för att ett projekt ska kunna genomföras Vissa projekt kan omfatta enbart behandling av personuppgifter som inte är känsliga personuppgifter eller uppgifter om lagöverträdelser. Om behandlingen av dessa personuppgifter är så omfattande att den får anses innebära en kartläggning av enskildas personliga förhåll- anden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen, är den inte tillåten utan lagstöd. Utredningen föreslår därför att sådana projekt som myndigheten bedömer inte kan genomföras på grund av den nämnda bestämmelsen ska kunna genomgå en extern etisk prövning och att behandlingen av personuppgifterna ska vara tillåten om pro- jektet godkänns vid en sådan prövning. Prövningen av etiska frågor Utredningens föreslår i första hand att prövningen av myndighetens projekt ska göras av eller för etikprövning. Utredningen finner att Etikprövnings- myndigheten och den sammansättning, kompetens och organisation som krävs för att hantera ansökningar om etikprövning. Om den etablerade etikpröv- ningsorganisationen inte anses lämplig, bör prövningen utföras av ett annat särskilt organ som är en statlig myndighet eller ett organ som är knutet till en annan statlig myndighet än Myndigheten för vård- och omsorgsanalys. Det särskilda organet för prövning av etiska frågor bör ha företrädare för såväl det allmänna som forsk- ningen, och kompetens att pröva etiska frågeställningar. prövning av myndighetens projekt ska göras med tillämpning av etikprövningslagen på motsvarande sätt och utifrån motsvarande kriterier som vid bedömningen av projekt som avser forskning. I stället för att, som när det gäller forskning, väga riskerna mot det vetenskapliga värdet, ska myndig- heten väga riskerna med behandlingen av personuppgifter mot det samhälleliga intresset av den kunskap som projektet kan förväntas resultera i. Om ett annat särskilt organ gör prövningen, ska ett projekt få godkännas bara om behandlingen av personuppgifter i projektet är nödvändig och om samhällsintresset av projektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Ett godkännande ska få förenas med villkor. Efter prövningen måste myndigheten följa de eventuella villkor som godkännandet förenats med samt övrig gäll- ande rätt. Regeringen föreslås få meddela föreskrifter om det sär- skilda organet. Ändamålsbestämning för varje projekt Utredningen gör bedömningen att det inte är möjligt att för myn- dighetens verksamhet i lag fastställa tillräckligt avgränsade och förut- sägbara ändamål för den behandling av personuppgifter som ska vara tillåten. I stället för att i lagen ange ändamål föreslår utredningen därför att myndighetschefen ska besluta om särskilda ändamål för behandlingen av personuppgifter i varje enskilt uppföljnings- och analysprojekt. Utan ett sådant beslut ska personuppgifter inte få behandlas i uppföljnings- och analysverksamheten. Beslutet ska offentliggöras på lämpligt sätt. Utredningen föreslår att för att personuppgifter som har samlats in för ett beslutat ändamål i ett projekt ska få behandlas för ett annat ändamål, krävs att myndighetschefen beslutar om det. Innan beslut fattas måste beaktas att personuppgifter som har samlats in för ett visst ändamål i ett projekt får användas för andra ändamål bara om det är förenligt med tillämpliga regler, t.ex. den s.k. finalitetsprin- cipen och kravet på etisk prövning. Personuppgifter som får behandlas I syfte att skapa en tydlig ram för behandlingen av personuppgifter föreslår utredningen att myndighetschefen, utöver att fastställa särskilda ändamål för behandlingen av personuppgifter, för varje projekt även ska besluta om vilka kategorier av personuppgifter som får behandlas om vilka kategorier av personer. Utan ett sådant beslut får personuppgifter inte behandlas i verksamheten med uppföljning och analys. Beslutet ska offentliggöras på lämpligt sätt. Pseudonymiserade uppgifter är uppgifter som inte direkt kan hän- föras till en person men som kan återidentifieras med hjälp av kom- pletterande uppgifter som förvaras separat. Pseudonymisering nämns särskilt i artikel 25 och 32 i dataskyddsförordningen som ett exem- pel på en lämplig teknisk och organisatorisk åtgärd som den per- sonuppgiftsansvarige ska vidta. Utredningen föreslår ett krav på pseudonymisering av de person- uppgifter som myndigheten behandlar inom ramen för den före- slagna lagen. Om ändamålet med behandlingen av personuppgifter i något fall inte kan uppnås med pseudonymiserade uppgifter, får myndighetschefen dock möjlighet att i ett enskilt fall besluta om att personuppgifter inte behöver pseudonymiseras. Efter pseudonymi- sering ska personuppgifter göras identifierbara igen endast om det finns starka skäl för detta.