sou · H6B352 · 2018-06-28 00:00:00 — En del av de personuppgifter som Myndigheten för vård- och omsorgsanalys inhämtar är i sådan form att de inte är direkt hän- förliga till enskilda. För att kunna informera en registrerad om att dennes personuppgifter behandlas hos myndigheten, skulle det i dessa fall vara nödvändigt att försöka härleda personuppgifterna till en enskild person. Myndigheten inhämtar också stora uppgifts- mängder rörande många personer. Det skulle sannolikt i båda fallen medföra en oproportionerlig ansträngning att informera samtliga 17Utkast till lagrådsremiss dnr U2018/01639/F s. 113. registrerade, vilket i sin tur innebär att undantaget från kravet på information i artikel 14.5 b i dataskyddsförordningen är tillämpligt. Enligt utredningens förslag i avsnitt 14.2.5 och 14.3 ska beslut om ändamål för behandling av personuppgifter och begränsningar av vilka kategorier av personuppgifter om vilka kategorier av personer som får behandlas i ett visst projekt offentliggöras. Detta kan exem- pelvis ske genom publicering på myndighetens webbsida. På så sätt görs ändå viss, om än inte fullständig, information om behandlingen tillgänglig för allmänheten och därmed även de registrerade. Myndigheten för vård- och omsorgsanalys lämnar följaktligen ofta ingen fullständig information om behandlingen av personupp- gifter till de registrerade, förutom när behandlingen sker med stöd av samtycke. Utredningen bedömer att det i sig inte utgör ett skäl för att föreslå en bestämmelse som inskränker den registrerades rätt enligt dataskyddsförordningen att invända mot behandling av per- sonuppgifter. Myndigheten har inte heller gjort anspråk på att kunna behandla personuppgifter även när den enskilde invänder mot behandlingen. Om en registrerad kontaktar myndigheten och invän- der mot behandling av hans eller hennes personuppgifter, bör myn- digheten därför så långt det är möjligt avbryta den behandling av personuppgifter som invändningen avser, såvida inte tvingande berät- tigade skäl som väger tyngre än den registrerades intressen kan på- visas. Enligt artikel 11.1 i dataskyddsförordningen ska den personupp- giftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personupp- giftsansvarige. Om den omständigheten att uppgifterna är pseudo- nymiserade när de inkommer till myndigheten förhindrar en kon- troll av om personuppgifter rörande en viss person behandlas av myndigheten, är myndigheten således inte skyldig att inhämta ytter- ligare personuppgifter enbart för att uppfylla rätten att göra invänd- ningar. Med hänsyn till att rätten att göra invändningar inte förutsätter nationell reglering och att det med stöd av artikel 11 i dataskydds- förordningen finns möjlighet att avstå från att härleda pseudo- nymiserade personuppgifter till en enskild, bedömer utredningen att det inte behövs en särskild bestämmelse som anger vad som ska gälla om den registrerade invänder mot behandling av personuppgifter. Om en registrerad invänder mot behandling av personuppgifter, ska i stället den direkt tillämpliga dataskyddsförordningen tillämpas. Utredningens förslag: Personuppgifter som behandlas i ett pro- jekt ska pseudonymiseras. Myndighetschefen får för ett särskilt fall besluta om undantag från kravet på pseudonymisering, i den utsträckning ändamålet med behandlingen inte kan uppnås med pseudonymiserade personuppgifter. Myndighetschefen ska besluta om riktlinjer och villkor för när och hur pseudonymiserade personuppgifter får göras identifier- bara och förbud mot att i andra fall sammanföra sådana per- sonuppgifter med personuppgifter som är direkt hänförliga till individer. Pseudonymisering nämns särskilt i artikel 25 och 32 i dataskydds- förordningen som ett exempel på en lämplig teknisk och organisa- torisk åtgärd som den personuppgiftsansvarige ska vidta för att uppfylla kraven i dataskyddsförordningen, skydda den registrerades rättigheter och säkerställa en säkerhetsnivå som är lämplig i förhål- lande till risken. Med pseudonymisering avses enligt definitionen i artikel 4 punkt 5 i dataskyddsförordningen behandling av person- uppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande upp- gifter används. Detta gäller under förutsättning att dessa komplet- terande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Pseudonymiserade uppgifter är alltså uppgifter som inte direkt kan hänföras till en person. Ofta räcker det att ta bort uppgifter om namn och personnummer, men om olika variabler, t.ex. uppgifter om kön, bostadsort och diagnos, kan möjliggöra s.k. bakvägsidenti- fiering, kan det även krävas att några av dessa variabler tas bort. Efter pseudonymisering rör det sig fortfarande om person- uppgifter eftersom man behåller möjligheten att återidentifiera indi- viderna med hjälp av kompletterande uppgifter som förvaras separat. De kompletterande uppgifterna utgörs ofta av en kodnyckel som beskriver relationen mellan de pseudonymiserade uppgifterna, som exempelvis är kopplade till löpnummer, och direkta personuppgifter. Pseudonymisering tillgodoser principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, eftersom åtgärden innebär att den personuppgiftsansvarige inte behandlar fler direkt identi- fierande personuppgifter än vad som är nödvändigt för ändamålet med behandlingen. Krav på pseudonymisering är också i överens- stämmelse med villkoren i principen om integritet och konfiden- tialitet i artikel 5.1 f i dataskyddsförordningen som anger att person- uppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna med användning av lämpliga tekniska och organisa- toriska åtgärder. Myndigheten har i sin uppföljnings- och analysverksamhet behov av att behandla ett stort antal känsliga personuppgifter. Det rör sig om personuppgifter från vården, kvalitetsregister och Socialstyrel- sens hälsodataregister i form av bl.a. uppgifter om diagnos, hälso- status och livslängd. Det handlar även om personuppgifter från . Därutöver behöver myndigheten behandla bl.a. socio- ekonomiska uppgifter, t.ex. uppgifter om utbildning, ekonomi, bi- drag, sysselsättning och sysselsättningsgrad, demografiska uppgifter, t.ex. ålder, kön, bostadsuppgifter, civilstånd och familj, och social- försäkringsuppgifter, t.ex. uppgifter om sjukskrivning och innehav av privat sjukförsäkring. Beroende på behandlingens omfattning och personuppgifternas karaktär, kan det i vissa fall röra sig om kart- läggning av individer. I syfte att minska det intrång i den personliga integriteten som behandlingen av personuppgifter medför, pseudo- nymiserar myndigheten personuppgifter som behandlas i uppföljnings- och analysverksamheten. Den krypterade kodnyckeln förvaras inlåst och endast ett fåtal anställda har tillgång till den. Utredningen anser att tillvägagångssättet med pseudonymisering bör införas som ett krav och att samtliga personuppgifter som huvudregel ska pseudonymiseras i anslutning till att de kommer in till myndigheten. Om ändamålet med behandlingen av personupp- gifter i något fall inte kan uppnås med pseudonymiserade uppgifter, bör dock myndighetschefen ha möjlighet att i ett enskilt fall besluta om att personuppgifter inte ska pseudonymiseras. Ett exempel kan vara att personuppgifterna behövs för att kontakta de registrerade t.ex. för att sända dem ett frågeformulär. I sådana fall kan ett beslut om att de personuppgifter som behövs för kommunikationen inte ska pseudonymiseras lämpligen fattas i samband med att beslut om ändamålen m.m. fattas (se avsnitt 14.2.5). Pseudonymiserade uppgifter bör, för att upprätthålla säkerheten, även fortsättningsvis behandlas i pseudonymiserad form. Utred- ningen anser därför att personuppgifterna ska göras identifierbara igen endast om det finns starka skäl för detta. Sådana skäl kan t.ex. vara att det av omständigheter hänförliga till arbetsmetodik, t.ex. behov av samkörning, finns tydliga behov av att hänföra uppgifterna till individer. Detta kan då eventuellt ske under begränsade och säkerställda former. För att tydliggöra hanteringen i de situationer då det är motiverat att frångå pseudonymiseringen bör myndighets- chefen besluta om riktlinjer och villkor för när och hur pseudonymi- serade personuppgifter får göras identifierbara. Riktlinjerna och vill- koren måste förstås vara förenliga med gällande rätt. Av riktlinjerna och villkoren bör även framgå på vilket sätt myndigheten säkerställer pseudonymiseringen, t.ex. genom att en kodnyckel förvaras separat från övriga personuppgifter och med en begränsad åtkomst. De pseudonymiserade uppgifterna bör inte i andra fall än de som noggrant övervägts och beslutats om av myndighetschefen få sam- manföras med direkta personuppgifter. Utredningen föreslår därför att myndighetschefen ska införa ett förbud mot att, i andra fall än de som uttryckligen framgår av de av myndighetschefen beslutade rikt- linjerna och villkoren, sammanföra pseudonymiserade personupp- gifter med personuppgifter som är direkt hänförliga till individer. Utredningens förslag: Behörighet för åtkomst till personuppgif- ter ska begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. Myndig- hetschefen ska bestämma villkoren för tilldelning av behörighet för åtkomst till personuppgifter. Åtkomsten till personuppgifter ska registreras och det ska finnas en funktion vid myndigheten som regelbundet kontrollerar registreringarna i syfte att upptäcka och åtgärda obehörig åtkomst. En grundläggande princip inom dataskydd är att personuppgifter ska behandlas endast av den som har berättigade skäl att göra det. Den som är anställd vid Myndigheten för vård- och omsorgsanalys får således inte medges obegränsad tillgång till alla personuppgifter som behandlas i samtliga projekt inom uppföljnings- och analysverksam- heten. Behörigheten att ta del av personuppgifter ska alltid vara begränsad till den åtkomst till personuppgifter som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. I vilken omfattning en enskild tjänsteman behöver ha tillgång till personuppgifter för att kunna fullgöra sina arbetsuppgifter och vilka enskilda personuppgifter som han eller hon ska få tillgång till får avgöras från fall till fall. Det krävs således att myndigheten aktivt tar ställning till vilket behov ett visst tjänsteåliggande eller uppdrag innebär och att tjänstemannen tilldelas behörigheter till olika upp- giftssamlingar utifrån detta. Det kan finnas skäl att förändra be- hörigheterna , beroende på hur arbetet vid myndigheten är organiserat och beroende på vilka projekt som bedrivs. För att det ska bli tydligt vad som gäller i fråga om behörighets- tilldelning bör myndighetschefen bestämma villkoren för tilldelning av behörighet för åtkomst till personuppgifter. De enskilda besluten om tilldelning av behörighet behöver inte fattas av myndighetschefen. Besluten bör dokumenteras på ett sådant sätt att det tydligt framgår vilken behörighet som tilldelats en viss tjänsteman, att den anställde faktiskt tagit del av och förstått innebörden av beslutet om tilldelning av behörighet och informatio- nen om att åtkomsten loggas samt att loggarna kontrolleras regel- bundet. Ett skäl till detta är att överträdelser av behörighetsbegräns- ningar aktualiserar straffansvar. Enligt 4 kap. 9 c § döms den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar använd- ningen av en sådan uppgift. har dess- utom införts en särskild straffskala och rubricering för grovt data- intrång. Bestämmelsen om dataintrång förutsätter inte att intrånget sker i ett visst syfte, t.ex. för att hämta information eller för att åstadkomma skada eller någon annan följd. Det är själva intrånget i sig som föranleder straff. Det krävs inte heller att någon säker- hetsåtgärd har överträtts för att det ska finnas straffansvar.18 Beslutet om tilldelning av behörighet bör kompletteras med tekniska begränsningar som förhindrar att tjänstemannen elektro- niskt kommer åt personuppgifter som han eller hon inte har behov av i sitt arbete och följaktligen inte ska ha åtkomst till. Den tekniska lösning som väljs ska garantera att tillräcklig säkerhet uppnås utifrån de krav som artikel 32 i dataskyddsförordningen ställer. För att kunna upptäcka och åtgärda obehörig åtkomst som inte förhindrats av tekniska begränsningar ska åtkomsten till personupp- gifter registreras, lämpligen i en logg. Det ska också finnas en funk- tion vid myndigheten som regelbundet kontrollerar om någon obe- hörig åtkomst till personuppgifterna har förekommit. Det räcker alltså inte att loggarna kontrolleras bara när myndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har före- kommit utan kontroller ska ske systematiskt och återkommande. Det är i första hand upp till myndigheten att bedöma hur funktionen ska arbeta och hur kontrollerna ska genomföras. Att loggning sker och att loggarna kontrolleras regelbundet av myndigheten innebär inte bara att obehörig åtkomst kan upptäckas och åtgärdas i efter- hand utan lär också ha en avhållande effekt. 18Berggren m.fl., – En kommentar (, Zeteo), kommentaren till 4 kap. 9c § under rubriken . 15 Gallring och bevarande Principen om lagringsminimering i artikel 5.1 e i dataskyddsförord- ningen innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får dock lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsför- ordningen, under förutsättning att de lämpliga tekniska och orga- nisatoriska åtgärder som krävs enligt dataskyddsförordningen genom- förs för att säkerställa den registrerades rättigheter och friheter. För känsliga personuppgifter gäller specifikt enligt artikel 9.2 j i dataskyddsförordningen att sådana uppgifter får behandlas om be- handlingen är nödvändig för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den regi- strerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska ändamålen uppfyllas på det sättet. Om personuppgifter behandlas för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, får det enligt artikel 89.2 och 3 i dataskyddsförordningen föreskrivas om undantag från vissa av den registrerades rättigheter. Det rör sig om rätten till tillgång, rättelse, begränsning av behandling och invändning mot behandling. Undantag får göras om det krävs för att uppnå ändamålet med behandlingen. Om personuppgifter behandlas för arkivändamål av allmänt intresse, får undantag även göras från kravet på dataportabilitet och kravet på att den person- uppgiftsansvarige ska underrätta mottagare av personuppgifter om eventuella rättelser, raderingar eller begränsningar av behandling som skett. Av 3 § arkivlagen (1990:782) framgår att en myndighets arkiv, som bl.a. består av de allmänna handlingarna från myndighetens verksamhet, ska bevaras. I förarbetena till dataskyddslagen konsta- teras att vidarebehandling av personuppgifter för arkivändamål av allmänt intresse är tillåten enligt artikel 5.1 b i dataskyddsförord- ningen. Behandlingen anses inte som oförenlig med de ursprungliga ändamålen och det krävs inte någon annan separat rättslig grund än den som personuppgifterna samlades in för.1 För att känsliga person- uppgifter ska få behandlas för arkivändamål finns det i dataskydds- lagen en undantagsbestämmelse som grundar sig på artikel 9.2 j i dataskyddsförordningen. Enligt 3 kap. 6 § dataskyddslagen ska känsliga personuppgifter få behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv.2 Det finns därmed stöd i dataskyddsförordningen och dataskyddslagen för en myndighets arkivering och bevarande av allmänna handlingar. Det finns undantag från huvudregeln i 3 § arkivlagen om att en myndighets arkiv ska bevaras. Enligt 10 § arkivlagen får allmänna handlingar gallras under förutsättning att det beaktas att arkiven ut- gör en del av kulturarvet och kvarvarande arkivmaterial är tillräckligt 2017/18:105 s. 109 f. 2017/18:105 s. 115 f. för att tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen och forskningens behov. I lag eller i förordning kan det finnas avvikande bestämmelser om gallring av vissa allmänna handlingar. Möjligheten att gallra har begränsats för statliga myndigheter genom 14 § arkivförordningen (1991:446), varav framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riks- arkivet, om inte särskilda gallringsföreskrifter finns i lag eller förord- ning. Utredningens förslag: Personuppgifter som behandlats i ett pro- jekt ska gallras senast efter att projektet är slutfört, om inte regeringen eller den myndighet som regeringen bestäm- mer har meddelat föreskrifter eller i ett enskilt fall beslutat om att gallring ska ske senast eller att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. ska vara den myndighet som ska få besluta om gallring och bevarande. Om utredningen föreslår en bestämmelse om gallring, blir det en sådan gallringsföreskrift i lag som avses i 10 § arkivlagen och 14 § arkivförordningen och som tillåter, och föreskriver, gallring utan föreskrift eller beslut av . Regler om gallring motiveras i första hand av integritetsskäl.3 Behandling av personuppgifter ska begränsas genom att personupp- gifterna inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Denna princip om lagringsminimering får ställas mot behovet av arkivering och offent- lighet och insyn i myndigheternas verksamhet. Myndigheten för vård- och omsorgsanalys kan behandla stora mängder personupp- gifter, däribland känsliga personuppgifter. Detta talar för att myn- digheten av integritetsskäl bör åläggas en skyldighet att gallra per- sonuppgifter som inte längre behövs i myndighetens verksamhet. 1989/90:72 s. 50. Eftersom merparten av de uppgifter som Myndigheten för vård- och omsorgsanalys ges möjlighet att behandla med stöd av den av ut- redningen föreslagna lagen kommer att hämtas in från andra myn- digheter, får vidare intresset av att uppgifterna bevaras anses till- godosett genom att de myndigheter uppgifterna kommer ifrån i stor utsträckning ska bevara uppgifterna i enlighet med arkivlagen. Utredningen föreslår därför att myndigheten som huvudregel ska gallra personuppgifter. Behovet av att spara personuppgifter som Myndigheten för vård- och omsorgsanalys behandlar i olika projekt kommer naturligtvis att variera. kan personuppgifter sannolikt gallras löpande medan det i vissa särskilda fall kan finnas behov av att spara underlaget . I de allra flesta fall torde dock personuppgifterna kunna gallras senast när det projekt, i vilket personuppgifterna behandlas, avslutas. För att ge myndigheten utrymme att bedöma behovet av och möjligheterna att återanvända personuppgifterna, föreslår utred- ningen att personuppgifter som behandlats i ett projekt ska gallras senast efter att projektet är slutfört. Projektet får anses slutfört när en slutrapport offentliggjorts eller myndigheten av annan anledning fattat beslut om att projektet ska avslutas. Avidentifierade uppgifter, dvs. uppgifter som kan hän- föras till en viss person, är inte personuppgifter och behöver inte gallras. Myndigheten har alltså möjlighet att spara avidentifierade uppgifter i syfte att senare göra jämförelser med nya uppgifter. För att personuppgifter ska kunna återanvändas i nya projekt som avser uppföljningar och jämförelser , bör det finnas möjlighet att meddela föreskrifter om undantag från huvudregeln om gallring. Utredningen föreslår därför att regeringen eller den myndighet som regeringen bestämmer ska kunna meddela föreskrifter eller i ett enskilt fall besluta om att gallring ska ske senast . Regeringen eller den myndighet regeringen bestämmer ska dess- utom ha möjlighet att besluta att personuppgifter som ingår i ett projekt som är slutfört – och som myndigheten därför är skyldig att gallra – ska kunna bevaras för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål. Det kan t.ex. bli aktuellt om uppgifterna inte finns bevarade hos andra myndigheter. Det föreslås att ska vara den myndighet som ska få besluta om gallring och bevarande. 16Begränsning av skyddet mot betydande intrång i den personliga integriteten Utredningens bedömning: Bestämmelserna i förslaget till lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys innebär en tillåten begränsning av skyddet mot betydande intrång i den personliga integriteten. Av 2 kap. 6 § andra stycket regeringsformen framgår att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av skyddet mot betydande intrång i den personliga integriteten får enligt 2 kap. 20 § regeringsformen ske i lag. Sådana begränsningar får enligt 2 kap. 21 § regeringsformen göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt sam- hälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Verksamheten vid Myndigheten för vård- och omsorgsanalys be- drivs utifrån myndighetens instruktion och olika regeringsuppdrag.