sou · H6B352 · 2018-06-28 00:00:00 — Myndigheten kan alltså inte på de punkter som regleras i den särskilda lagen i stället åberopa dataskyddsförordningens bestäm- melser. En annan sak är att den särskilda lagen bara bör komplettera dataskyddsförordningen och dataskyddslagen och att bestämmelser i den lagstiftningen blir tillämpliga i den utsträckning något inte är reglerat i den särskilda lagen (se avsnitt 9.4). 9En ny lag om behandling av personuppgifter 9.1Lagen bör inte innehålla bestämmelser som generellt tillåter behandling Utredningens bedömning: Det behövs inga s.k. ändamålsbestäm- melser. Bara behandling av personuppgifter i projekt som sker med samtycke eller har prövats och godkänts av Etikprövnings- myndigheten eller nativt av ett annat särskilt organ för prövning av etiska frågor bör tillåtas enligt lagen. Övrig behandling av personuppgifter, som inte strider mot 2 kap. 6 § andra stycket regeringsformen, kan genomföras med stöd av dataskyddsförordningen och dataskydds- lagen. Som framgår av avsnitt 7.1.4 kan Myndigheten för vård- och omsorgs- analys behandla personuppgifter som inte är känsliga med stöd av dataskyddsförordningen. Utredningen bedömer därför att det inte behövs någon bestämmelse i lagen som generellt tillåter behandling, motsvarande sådana ändamålsbestämmelser som finns i registerför- fattningar som kommit till före dataskyddsförordningen. Skulle en sådan bestämmelse införas i lagen, utgör den ett sådant lagstöd som tillåter betydande intrång i den personliga integriteten trots skyddet i 2 kap. 6 § andra stycket regeringsformen. Utan en bestämmelse som generellt tillåter behandling får myndigheten själv i det enskilda fallet bedöma om behandlingen är tillåten enligt grundlagen. Det är enligt utredningens bedömning bättre för integritetsskyddet än en generell bestämmelse, se också avsnitt 14.2.5. En ny lag om behandling av personuppgifter Eftersom den föreslagna lagen inte innehåller några ändamåls- bestämmelser, förefaller det onödigt att ha en uttrycklig bestäm- melse om att Myndigheten för vård- och omsorgsanalys är person- uppgiftsansvarig för den behandling myndigheten utför enligt lagen. Det framgår tillräckligt tydligt redan av definitionen av person- uppgiftsansvarig i artikel 4 i dataskyddsförordningen. Viss behandling som behöver utföras i myndighetens uppfölj- nings- och analysverksamhet kan innebära ett sådant intrång som avses i 2 kap. 6 § andra stycket regeringsformen. För sådan behand- ling krävs det enligt 2 kap. 20 § regeringsformen ett lagstöd. Som kommer att framgå i det följande föreslår utredningen ett lagstöd för behandling av personuppgifter i uppföljnings- och analysprojekt om projektet har prövats och godkänts av eller av ett annat särskilt organ för prövning av etiska frågor (kapitel 10–13). I de allra flesta fall ska behandling av känsliga personuppgifter och uppgifter om lagöverträdelser, som inte sker med stöd av samtycke, enligt förslaget bara vara tillåten om det finns ett sådant godkännande. Om sådana personuppgifter får behandlas i ett godkänt projekt, ska enligt förslaget även andra personuppgifter få behandlas i projektet. Det innebär att all behandling av personuppgifter i projekt som god- känts vid en etisk prövning har ett lagstöd som innebär att behand- lingen får utföras även om den sker utan samtycke och innebär ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. I de allra flesta av myndighetens projekt som kräver att person- uppgifter behandlas utan samtycke från den registrerade lär det, med hänsyn till myndighetens inriktning på hälso- och sjukvård och socialtjänst, behövas vissa känsliga personuppgifter eller uppgifter om lagöverträdelser. Det kan emellertid inte helt uteslutas att myn- digheten i ett projekt behöver behandla bara sådana personuppgifter som inte är känsliga personuppgifter eller uppgifter om lagöver- trädelser men som ändå innebär ett sådant betydande intrång i den personliga integriteten utan samtycke som avses i 2 kap. 6 § andra stycket regeringsformen. Därför bör det, enligt utredningens mening, finnas en möjlighet att i undantagsfall få behandla sådana personuppgifter i ett viktigt projekt trots 2 kap. 6 § andra stycket regeringsformen, om projektet En ny lag om behandling av personuppgifter har prövats och godkänts av eller för etikprövning alternativt av ett annat särskilt organ för prövning av etiska frågor. Det kan inte vara fråga om många fall och prövningsmöjligheten är begränsad till fall där integri- tetsskyddsintresset tydligt står på spel. I kapitel 13 föreslår utred- ningen därför en sådan möjlighet. I kapitel 16 redovisas en samlad bedömning av tillåtligheten enligt regeringsformen av de föreslagna undantagen från skyddet enligt 2 kap. 6 § regeringsformen. Givetvis måste tillämpliga bestämmelser i dataskyddsförordningen följas även när behandlingen på det beskrivna sättet tillåtits i svensk lag. Ett exempel är att det kan vara nödvändigt att myndigheten före behandlingen och ansökan om prövning av Etikprövningsmyndig- heten alternativt av ett annat särskilt organ för prövning av etiska frågor gör en konsekvensbedömning avseende dataskydd enligt arti- kel 35 i dataskyddsförordningen. Den möjlighet som finns enligt artikel 35.10 i dataskyddsförordningen att i stället göra konsekvens- bedömningen avseende dataskydd i samband med antagandet av nationell lagstiftning kan nämligen, enligt utredningens bedömning, inte användas när det såsom i detta fall i lagstiftningen inte närmare anges vilken behandling som tillåts utan detta överlämnas till en sär- skild prövningsinstans att avgöra. 9.2Nationella bestämmelser som kompletterar dataskyddsförordningen Utredningens bedömning: Bestämmelser som syftar till att Myn- digheten för vård- och omsorgsanalys ska kunna bedriva sin verk- samhet enligt sin instruktion, som medför en begränsning av rätten till skydd för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen och är tillåtna enligt 2 kap. 21 § regeringsformen, är också tillåtna enligt dataskyddsförordningen. Det är tillåtet att införa krav på skyddsåtgärder hos Myndig- heten för vård- och omsorgsanalys utöver vad som gäller enligt dataskyddsförordningen och att inskränka myndighetens möjlig- heter till behandling. En ny lag om behandling av personuppgifter Förtydligande bestämmelser som anger vad som är tillåten behandling enligt den direkt tillämpliga dataskyddsförordningen är förenliga med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig och dess bestämmelser är tvingande. Enligt artikel 6.2 i dataskyddsförordningen får med- lemsstaterna dock behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförord- ningen när det gäller behandling av personuppgifter som är nödvän- dig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning, dvs. sådan behandling som avses i artikel 6.1 c och e i dataskyddsförordningen. Den rättsliga grund för behandlingen som enligt artikel 6.3 i dataskyddsförord- ningen i dessa fall ska fastställas i den nationella rätten kan också innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Som exempel på sådana bestämmelser anges allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka regi- strerade som berörs, de enheter till vilka personuppgifterna får läm- nas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den rättsliga regleringen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Av avsnitt 7.1.3 framgår att det är utredningens uppfattning att den verksamhet som Myndigheten för vård- och omsorgsanalys bedriver med stöd av sin instruktion utgör en sådan arbetsuppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. Bestämmelser som syftar till att myndigheten på ett ändamålsenligt sätt ska kunna bedriva den verksamhet som anses vara av ett allmänt intresse får också anses uppfylla ett mål av allmänt intresse och är därmed tillåtna under förutsättning att de uppfyller kravet på pro- portionalitet. Rätten till skydd för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen får enligt 2 kap. 21 § regeringsformen begränsas endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och En ny lag om behandling av personuppgifter inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begräns- ningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Även enligt regeringsformen krävs således en proportionalitetsbedömning. I den mån den förslagna regleringen medför en begränsning av rätten till skydd för den per- sonliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen som är tillåten enligt 2 kap. 21 § regeringsformen, är regleringen enligt utredningens bedömning därför även tillåten enligt dataskydds- förordningen, dvs. regleringen klarar då också det proportionali- tetskrav dataskyddsförordningen uppställer. Det kan tilläggas att det även av 2 kap. 19 § regeringsformen och följer ett krav på att lagstiftning som begränsar rätten till skydd för privatlivet ska vara proportionerlig. I kapitel 16 redovisas utredningens bedömning av de föreslagna reglernas förenlighet med regerings- formens bestämmelser. Möjligheten att begränsa myndigheters behandling av person- uppgifter och utöka deras skyldigheter i förhållande till vad som gäller enligt dataskyddsförordningen är i enlighet med den bedömning utredningen har gjort i det första betänkandet inte begränsad till att avse behandling som sker med stöd av de grunder som anges i artikel 6.1 c och e i dataskyddsförordningen. Dataskyddsförordningen innebär inte en skyldighet att behandla personuppgifter i de fall det är tillåtet annat än när det föreskrivs en sådan skyldighet, t.ex. när det gäller uppfyllandet av den registrerades rättigheter exempelvis avseende registerutdrag. Dataskyddsförordningen innebär inte heller ett förbud mot att en personuppgiftsansvarig väljer att gå utöver sina skyldigheter enligt dataskyddsförordningen och t.ex. lämna regi- strerade mera information än vad som krävs. I den utsträckning personuppgiftsansvariga har en sådan valrätt enligt dataskyddsför- ordningen, är det utredningens bedömning att medlemsstaterna utan hinder av dataskyddsförordningen genom nationell rätt kan disponera över den valrätten för sina egna myndigheter. Det kan därför i nationell rätt föreskrivas att Myndigheten för vård- och omsorgsanalys ska ha mer begränsade möjligheter att behandla personuppgifter eller utökade skyldigheter i förhållande till vad som gäller enligt dataskyddsförordningen. Det är t.ex. möjligt att i natio- nell lagstiftning införa krav på begränsande åtgärder i form av skyddsåtgärder. Däremot är det förstås inte tillåtet att i nationell rätt En ny lag om behandling av personuppgifter föreskriva att myndigheten får göra eller slipper göra något annat än när detta är tillåtet enligt dataskyddsförordningen. Det är också tillåtet att i viss utsträckning införliva dataskydds- förordningens bestämmelser i nationell rätt. Av skäl 8 till dataskydds- förordningen framgår att om dataskyddsförordningen föreskriver för- tydliganden eller begränsningar av bestämmelserna i dataskyddsförord- ningen genom den nationella rätten kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av dataskyddsförordningen i nationell rätt. I betänkandet föreslås några bestämmelser som anger vad som är tillåten behandling enligt den direkt tillämpliga dataskyddsför- ordningen. Bestämmelserna är enligt utredningens mening sådana förtydligande bestämmelser som är förenliga med , med beaktande av skäl 8 till dataskyddsförordningen. Utredningens förslag: Lagen ska gälla vid behandling av per- sonuppgifter i verksamhet vid Myndigheten för vård- och omsorgs- analys som avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. Lagen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. I vissa delar ska lagen även gälla uppgifter om avlidna personer. 9.3.1Verksamhet som bör omfattas av lagen Tillämpningsområdet för den nya lagen bör utgå från Myndigheten för vård- och omsorgsanalys huvudsakliga uppdrag såsom det är formulerat i 1 § förordningen med instruktion för Myndigheten för vård- och omsorgsanalys (2010:1385). Utredningen föreslår därför att lagen ska vara tillämplig i den del av myndighetens verksamhet som består i att följa upp och analysera verksamheter och förhållanden En ny lag om behandling av personuppgifter inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och medborgarperspektiv. Tillämpningsområdet kommer på så sätt att omfatta hela myndighetens uppdrag inklusive hur detta preciseras i 2 och 3 §§ i myndighetens instruktion. Myndigheten behandlar också personuppgifter i den interna admi- nistrationen vid hantering av exempelvis personal- och lokalfrågor och ekonomiadministration. Behandlingen av personuppgifter i den administrativa verksamheten har inte någon närmare koppling till fullgörandet av de arbetsuppgifter som myndigheten är ålagd att göra inom ramen för dess kärnverksamhet. Den behandling av per- sonuppgifter som sker inom den administrativa verksamheten skiljer sig inte heller nämnvärt från den behandling som utförs av andra myndigheter eller enskilda företag och föranleder därför inte något behov av särreglering. Myndighetens behandling av personuppgifter inom den administrativa verksamheten bör därför inte omfattas av den nya lagen. I stället ska, förutom dataskyddsförordningen, data- skyddslagen tillämpas inom den verksamheten. 9.3.2Automatiserad behandling och register Den nya lagen bör omfatta helt eller delvis automatiserad behandling av personuppgifter och annan behandling om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kri- terier (register). Tillämpningsområdet ansluter därmed till dataskydds- förordningens, dataskyddslagens och flertalet andra registerförfatt- ningars tillämpningsområde. behandling av personuppgifter som inte ingår i en uppgiftssamling som är strukturerad för sökning eller sammanställning, såsom minnesanteckningar från intervjuer som enbart förs på papper, kommer således inte att omfattas av den nya lagen. 9.3.3Uppgifter om avlidna personer Dataskyddsförordningen är inte tillämplig på uppgifter om avlidna personer. Medlemsstaterna är dock oförhindrade att låta nationell lagstiftning som kompletterar dataskyddsförordningen ha ett vidare eller snävare tillämpningsområde än dataskyddsförordningen. En ny lag om behandling av personuppgifter medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter om avlidna personer framgår dessutom av skäl 27 till dataskyddsförordningen. Myndigheten för vård- och omsorgsanalys har behov av att behandla bl.a. uppgifter om livslängd i förhållande till olika diag- noser. Om uppgifterna om avslutad livslängd kan hänföras till en- skilda, är uppgifterna sådana som avser avlidna personer. Regeringen har i förarbetena till patientdatalagen (2008:355) konstaterat att det i hälso- och sjukvårdens verksamhet förekommer en mängd upp- gifter om avlidna patienter samt att dessa uppgifter kan vara integri- tetskänsliga.1 Sådana uppgifter omfattas därför av patientdatalagens bestämmelser om behandling av personuppgifter i tillämpliga delar, t.ex. när det gäller för vilka ändamål uppgifter om avlidna får användas eller när det gäller vilken elektronisk åtkomst som får förekomma till uppgifter om avlidna. Tillämpningsområdet har även för vissa andra registerförfattningar utsträckts till att gälla behandling av uppgifter om avlidna personer.2 Däremot omfattas avlidna personer inte av tillämpningsområdet för lagen (2001:454) om behandling av personuppgifter inom . Eftersom Myndigheten för vård- och omsorgsanalys till stor del hanterar uppgifter som kommer från vården, finns det skäl att göra samma bedömning som regeringen har gjort i förhållande till patient- uppgifter. Myndigheten för vård- och omsorgsanalys hanterar dess- utom till övervägande del uppgifter som inte är direkt hänförliga till en enskild och har därmed svårt att, om inte uppgiften i sig indikerar att personen avlidit, särskilja uppgifter om avlidna från uppgifter om levande personer. Att låta samtliga uppgifter om personer omfattas av samma regler framstår därför även som praktiskt motiverat. Det kan dock inte anses motiverat att kravet på prövning och godkännande av eller för etikprövning alternativt av ett annat särskilt organ för prövning av etiska frågor, även ska gälla projekt med enbart upp- gifter om avlidna. Kravet på etikprövning för forskningsprojekt enligt etikprövningslagen omfattar endast projekt med uppgifter om levande personer. Däremot kommer naturligtvis uppgifter om avlidna 2007/08:126 s. 52. 2Se t.ex. lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet, lagen (2001:184) om behandling av uppgifter i verksamhet och En ny lag om behandling av personuppgifter att inkluderas i prövningen om projektet även medför behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser om lev- ande personer. 9.4Förhållandet till annan reglering Utredningens förslag: Lagen ska innehålla en upplysning om att den kompletterar dataskyddsförordningen. Dataskyddslagen ska gälla, om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av den. Vid forskning ska lagen (2003:460) om etikprövning av forsk- ning som avser människor gälla. Dataskyddsförordningen är direkt tillämplig och har företräde fram- för nationell lagstiftning. Den nya lagen om behandling av person- uppgifter i Myndigheten för vård- och omsorgsanalys verksamhet kommer därför endast att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör den föreslagna lagen innehålla en bestäm- melse som upplyser om att dataskyddsförordningen gäller. Bestäm- melser bör formuleras på samma sätt som i andra registerlagar inom verksamhetsområde som har anpassats till data- skyddsförordningen.3 Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den vid varje tid- punkt gällande lydelsen. Lagrådet har uttalat att en konsekvens- analys bör göras vid valet av hänvisningsteknik och redovisas för var och en av de hänvisningar som görs.4 Eftersom dataskyddsförord- ningen är direkt tillämplig och syftet med hänvisningen i det här 2017/18:171 s. 74. 2015/16:156 s. 34. En ny lag om behandling av personuppgifter fallet endast är att upplysa om att dataskyddsförordningen gäller, framstår det som mest lämpligt att hänvisningen dit görs dynamisk. Att dataskyddsförordningen är direkt tillämplig innebär alltså att Myndigheten för vård- och omsorgsanalys, förutom bestämmel- serna i den nya lagen, även ska tillämpa dataskyddsförordningens bestämmelser. En redogörelse för huvuddragen i dataskyddsförord- ningen finns i avsnitt 3.4. Som exempel på bestämmelser som ska tillämpas kan nämnas bestämmelserna om de grundläggande princip- erna för behandling av personuppgifter, den registrerades rättigheter samt den personuppgiftsansvariges skyldigheter att vidta säkerhets- åtgärder och göra konsekvensbedömningar före behandlingar som kan innebära en hög integritetsrisk. Av 1 kap. 6 § dataskyddslagen följer att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den be- stämmelsen tillämpas. Dataskyddslagen är alltså subsidiär i förhåll- ande till annan lagstiftning om behandling av personuppgifter. De flesta registerförfattningar var, när personuppgiftslagen gällde, konstruerade så att de endast kompletterade eller ersatte person- uppgiftslagen i frågor som var specifika för de verksamheter som omfattades av särregleringen. Sedan dataskyddsförordningen började tillämpas kompletterar eller gäller sådana registerförfattningar i stället för dataskyddslagen. Detta innebär att den personuppgiftsansvarige, utöver dataskyddsförordningen, måste beakta såväl den särskilda registerförfattningen som den generella nationella regleringen i data- skyddslagen. Alternativet var tidigare att heltäckande reglera all behandling av personuppgifter i en viss verksamhet i registerför- fattningen. Så skedde också undantagsvis på det område som omfattas av dataskyddsförordningen, bl.a. i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet, som innehöll hänvisningar till de bestämmelser i personuppgifts- lagen som skulle gälla. I samband med anpassningen till dataskydds- förordningen frångicks den lagstiftningstekniken och anges att registerförfattningen kompletterar dataskyddsförordningen och En ny lag om behandling av personuppgifter att dataskyddslagen gäller om inte annat följer av registerförfatt- ningen eller anknytande föreskrifter.5 Inom verksamhetsområde var registerförfatt- ningarna tidigare konstruerade så att de gällde utöver personupp- giftslagen och bara innehöll de särbestämmelser som ansågs nöd- vändiga på det aktuella området. Utredningen föreslog i det första betänkandet att författningarna, när dataskyddsförordningen hade börjat tillämpas, skulle gälla utöver dataskyddslagen. I den efter- följande propositionen anförs att den regleringstekniken, dvs. att registerförfattningen gäller utöver den generella nationella regleringen av behandling av personuppgifter, kan och bör behållas.6 Eftersom dataskyddslagen som nämnts är subsidiär, behövs ingen materiell bestämmelse för att uppnå detta. Registerförfattningarna innehåller dock ändå ofta en bestämmelse om förhållandet till den generella lagen. Normalt är det en upplysning om att den generella lagen gäller om inte annat följer av registerförfattningen eller föreskrifter som har meddelats i anslutning till författningen. I linje med de bedöm- ningar som gjorts när sådana bestämmelser införts, är det enligt propositionen lämpligt att uttryckligen upplysa om att registerför- fattningen kompletterar dataskyddsförordningen och att det kan finnas tillämpliga bestämmelser om behandling av personuppgifter i dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till den. Registerförfattningarna bör därför, enligt propositionen, innehålla en sådan upplysning. Den nya lagen bör endast reglera frågor som är specifika för den verksamhet som bedrivs av Myndigheten för vård- och omsorgs- analys. De särregler som behövs i förhållande till den generella regleringen är förhållandevis få.