sou · H6B352 · 2018-06-28 00:00:00 — För att tydliggöra hanteringen ska myndighetschefen besluta om riktlinjer och villkor för när och hur pseudonymiserade personuppgifter får göras identifierbara. Myndig- hetschefen ska dessutom införa ett förbud mot att, i andra fall än de som uttryckligen framgår av de av myndighetschefen beslutade rikt- linjerna och villkoren, sammanföra pseudonymiserade personupp- gifter med personuppgifter som är direkt hänförliga till individer. Myndigheten ska begränsa behörigheten att ta del av personupp- gifter till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. För att det ska bli tydligt vad som gäller i fråga om behörighetstilldelning ska myndighetschefen bestämma villkoren för tilldelning av behörighet för åtkomst till personuppgifter. För att kunna upptäcka och åtgärda obehörig åtkomst som inte förhindrats av tekniska begränsningar ska åtkomsten till personupp- gifter registreras, lämpligen i en logg. Det ska med hjälp av loggen också finnas en funktion vid myndigheten som regelbundet kon- trollerar om någon obehörig åtkomst till personuppgifterna har före- kommit. Personuppgifter ska, i enlighet med principen om lagringsmini- mering i artikel 5.1 e i dataskyddsförordningen, inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personupp- gifterna behandlas. Utredningen föreslår att myndigheten som huvud- regel ska gallra personuppgifter senast efter att ett projekt är slutfört. För eventuella behov av undantag från huvud- regeln föreslår utredningen att regeringen eller den myndighet som regeringen bestämmer () ska kunna meddela föreskrifter eller i ett enskilt fall besluta om att gallring ska ske senast . Regeringen eller den myndighet regeringen bestämmer ska dess- utom ha möjlighet att besluta att personuppgifter som ingår i ett projekt som är slutfört – och som myndigheten därför är skyldig att gallra – ska få bevaras för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål. Utlämnande av personuppgifter från och till Myndigheten för vård- och omsorgsanalys För att kunna fullgöra sitt uppdrag behöver Myndigheten för vård- och omsorgsanalys samla in personuppgifter, även vissa känsliga per- sonuppgifter, från andra aktörer än den registrerade själv. Utred- ningen har haft i uppdrag att särskilt bedöma om myndigheten kan få nödvändiga personuppgifter från och . De aktuella personuppgifterna är hos och skyddade av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen, s.k. statistiksekretess. För person- uppgifterna gäller alltså som huvudregel absolut sekretess. gäller dock för uppgift som behövs för forsknings- eller statistik- ändamål och uppgift som inte genom namn, annan identitets- beteckning eller liknande förhållande är direkt hänförlig till den en- skilde, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Utredningen bedömer att och kan lämna ut nödvändiga personuppgifter till Myndigheten för vård- och omsorgsanalys med stöd av undantaget för uppgifter som behövs för statistikändamål (24 kap. 8 § tredje stycket offentlighets- och sekre- tesslagen). och kan också, med stöd av samma bestämmelse, lämna ut personuppgifter som inte är direkt hänförliga till den enskilde, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. De berörda myndigheterna delar utredningens bedömningar. Eventuella hinder mot utlämnande kan vanligtvis lösas genom en dialog mellan utlämnande och mottagande myndighet. Utredningen lämnar således inte något författningsförslag i denna del. Utredningen föreslår att den nya lagstiftningen ska träda i kraft . Några särskilda övergångsbestämmelser bedöms inte be- hövas. Myndigheten för vård- och omsorgsanalys kan behöva vidta åtgärder för att anpassa verksamheten utifrån de föreslagna kraven på skydds- åtgärder och utbilda medarbetare. Eventuella kostnader för detta bedöms dock rymmas inom befintliga anslag. Inte heller kravet på etikprövning bedöms medföra någon ökad kostnad för myndig- heten. Kravet på etikprövning medför att kommer att pröva ett något ökat antal ansökningar om etikprövning och att komma att få en marginell ökning av antalet ärenden. Förslagen bedöms dock inte medföra annat än en sådan marginell ökning av Etikprövnings- myndighetens och kost- nader att den ryms inom befintliga anslag, jämte de avgifter som får tas ut. I övrigt förväntas förslagen inte få några negativa konsekvenser. 1.1Förslag till lag om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i verksam- het vid Myndigheten för vård- och omsorgsanalys som avser upp- följning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg ur ett patient-, brukar- och med- borgarperspektiv. Lagen gäller endast om behandlingen är helt eller delvis automati- serad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 3 och 9–11 §§ gäller även vid behandling av uppgifter om avlidna personer. Förhållandet till annan reglering 2 § Denna lag innehåller bestämmelser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Vid forskning gäller lagen (2003:460) om etikprövning av forsk- ning som avser människor. 3 § Myndighetschefen ska för varje projekt besluta om särskilda ändamål för behandlingen av personuppgifter och vilka kategorier av personuppgifter som får behandlas om vilka kategorier av personer. Utan ett sådant beslut får personuppgifter inte behandlas. För att personuppgifter som har samlats in för ett beslutat ända- mål i ett projekt ska få behandlas för ett annat ändamål, krävs att myndighetschefen beslutar om det. 4 § Sådana särskilda kategorier av personuppgifter som avses i arti- kel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas i ett projekt bara 1.med de registrerades uttryckliga samtycken, med stöd av arti- kel 9.2 a i samma förordning, eller 2.såvitt avser uppgifter om hälsa eller personuppgifter som av- slöjar etniskt ursprung, om projektet har prövats och godkänts en- ligt 8 §, med stöd av artikel , h eller j i samma förordning. Trots första stycket behöver projekt som innefattar behandling av uppgifter om hälsa eller personuppgifter som avslöjar etniskt ur- sprung om färre än 100 personer inte prövas och godkännas enligt 8 §. 5 § Personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden (uppgifter om lagöverträdelser) får behandlas i ett pro- jekt bara 1.med de registrerades samtycken, eller 2.om projektet har prövats och godkänts enligt 8 §. Trots första stycket behöver projekt som innefattar behandling av uppgifter om lagöverträdelser om färre än 100 personer inte prövas och godkännas enligt 8 §. Övriga personuppgifter i godkända projekt 6 § När sådana personuppgifter som avses i 4 och 5 §§, efter pröv- ning och godkännande enligt 8 § får behandlas i ett projekt, får också andra personuppgifter behandlas utan de registrerades samtycken i projektet. Prövning av projekt som inte innefattar känsliga personuppgifter eller uppgifter om lagöverträdelser 7 § Om myndigheten bedömer att ett projekt, som endast inne- fattar behandling av andra personuppgifter än sådana som avses i 4 och 5 §§, inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsformen, får personuppgifterna behandlas om projektet har prövats och godkänts enligt 8 §. Prövningen av etiska frågor Prövningen enligt 4 § 2, 5 § 2 Prövningen enligt 4 § 2, 5 § 2 och 7 § ska göras av Etikpröv- och 7 § ska göras av ett särskilt organ för prövning av etiska frågor som har företrädare för Vid prövning och god- såväl det allmänna som forsk- ningen och som är en statlig myn- 6–11 §§ dighet eller är knutet till en annan (2003:460) om etikprövning av statlig myndighet än Myndig- forskning som avser människor heten för vård- och omsorgs- ningen för prövning och god- kännande samt om överklagande tillämpas bestämmelserna i 24– 33 samt 36 och 37 §§ samma lag. Ett projekt får godkännas bara om behandlingen av personupp- gifter i projektet är nödvändig och om samhällsintresset av pro- jektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. Ett godkän- nande får förenas med villkor. Regeringen meddelar före- skrifter om organ som avses i första stycket. 9 § De personuppgifter som behandlas i ett projekt ska pseudo- nymiseras. Myndighetschefen får för ett särskilt fall besluta om undantag från första stycket, i den utsträckning ändamålet med behandlingen inte kan uppnås med pseudonymiserade personuppgifter. Myndighetschefen ska besluta om riktlinjer och villkor för när och hur pseudonymiserade personuppgifter får göras identifierbara och förbud mot att i andra fall sammanföra sådana personuppgifter med personuppgifter som är direkt hänförliga till individer. 10 § Behörighet för åtkomst till personuppgifter ska begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna full- göra sina arbetsuppgifter. Myndighetschefen ska bestämma villkoren för tilldelning av be- hörighet för åtkomst till personuppgifter. Åtkomsten till person- uppgifter ska registreras och det ska finnas en funktion vid myn- digheten som regelbundet kontrollerar registreringarna i syfte att upptäcka och åtgärda obehörig åtkomst. 11 § Personuppgifter som behandlats i ett projekt ska gallras senast efter att projektet är slutfört, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat före- skrifter eller i ett enskilt fall beslutat om att gallring ska ske senast eller att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Denna lag träder i kraft . 1.2Förslag till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor Härigenom föreskrivs i fråga om lagen (2003:460) om etikprövning av forskning som avser människor att 24 och 31 §§ ska ha följande lydelse. pröva ansökningar som anges i 1. ansökningar som anges i 2. vissa frågor i samband med inrättande av biobanker enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m., och 3. vissa frågor enligt lagen (2019:xx) om behandling av per- sonuppgifter vid Myndigheten för vård- och omsorgsanalys. Myndigheten ska även pröva vissa frågor i samband med in- rättandet av biobanker enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. pröva överklagan- den av sådana beslut av som anges i 36 §. Nämnden ska även pröva ären- Nämnden ska även pröva ären- heten har lämnat över enligt 29 § heten har lämnat över enligt 29 § och utöva tillsyn enligt 34 och och utöva tillsyn enligt 34 och Nämnden har också till Nämnden har också till 1Senaste lydelse SFS 2018:147. 2Senaste lydelse SFS 2018:147. uppgift att pröva vissa frågor i samband inrättande av biobanker enligt lagen (2002:297) om bio- banker i hälso- och sjukvården m.m. uppgift att pröva vissa frågor i samband inrättande av biobanker enligt lagen (2002:297) om bio- banker i hälso- och sjukvården m.m.och vissa frågor enligt lagen (2019:xx) om behandling av per- sonuppgifter vid Myndigheten för vård- och omsorgsanalys. Denna lag träder i kraft . 1.3Förslag till förordning om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys Härigenom föreskrivs följande. 1 § I denna förordning finns kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av lagen (2019:xx) om behandling av personuppgifter vid Myndigheten för vård- och om- sorgsanalys. 2 § Myndigheten för vård- och omsorgsanalys ska på lämpligt sätt offentliggöra sådana beslut om ändamål och begränsningar av vilka kategorier av personuppgifter om vilka kategorier av personer som får behandlas i ett visst projekt som avses i 3 § första stycket lagen (2019:xx) om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys. Ansökan om prövning enligt 8 § lagen (2019:xx) om behand- ling av personuppgifter vid Myn- digheten för vård- och omsorgs- analys ska göras hos Etikpröv- ningsmyndighetens verksamhets- region i . Ansökan om prövning enligt 8 § lagen (2019:xx) om behand- ling av personuppgifter vid Myn- digheten för vård- och omsorgs- analys ska göras hos [XX]. 4 § får meddela sådana föreskrifter och beslut i enskilda fall om gallring och bevarande som avses i 11 § lagen (2019:xx) om behandling av personuppgifter vid Myndigheten för vård- och om- sorgsanalys. Denna förordning träder i kraft . I utredningens utredningsdirektiv (dir. 2017:67) anges följande. Utredaren får i tilläggsuppdrag att utreda behovet av en särskild för- fattning med bestämmelser om personuppgiftsbehandling för Myndig- heten för vård- och omsorgsanalys. Om sådana behov finns, ska utred- aren lämna behövliga författningsförslag. Utredningstiden förlängs nu t.o.m. när det gäller tilläggsuppdraget. Enligt tilläggsdirektiv (dir. 2018:1) ska utredaren även analysera de rättsliga möjligheterna för och Statistiska central- byrån att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys för användning i myndighetens analysprojekt och vid behov lämna författningsförslag som möjliggör nödvändigt uppgifts- utlämnande. Genom tilläggsdirektiven förlängdes också utrednings- tiden till och med . Utredningen har bedrivits på sedvanligt sätt med sammanträden och andra kontakter med experter och sakkunniga samt andra berörda. Sammanlagt har fem utredningssammanträden hållits för arbetet med detta betänkande. För att undersöka möjligheten för och att lämna ut sekretessbelagda personuppgifter till Myn- digheten för vård- och omsorgsanalys gjorde den senare myndig- heten, inom ramen för utredningsarbetet, fiktiva ansökningar om utlämnande av personuppgifter för användning i myndighetens ana- lysprojekt, som sedan fiktivt prövades av respektive Prövningarna resulterade efter viss dialog mellan myndigheterna i bedömningen att uppgifterna kunde lämnas ut till Myndigheten för vård- och omsorgsanalys. Betänkandet är indelat i tre delar, förutom sammanfattningen, för- fattningsförslagen och detta kapitel. Den första delen, som omfattar kapitel 3–6, innehåller en allmän bakgrund. Kapitel 3 innehåller en kort beskrivning av gällande rätt. I kapitel 4 finns det en beskrivning av Myndigheten för vård- och omsorgsanalys, dess arbetsuppgifter och arbetsmetoder. I kapitlet redogörs också för myndighetens behov av att behandla personupp- gifter. I kapitel 5 görs en översiktlig genomgång av andra analysmyn- digheter och deras författningsstöd för att behandla personuppgifter. I kapitel 6 redogörs för möjligheterna att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys. I betänkandets andra del, kapitel 7–17, finns utredningens över- väganden och förslag. I kapitel 7 redovisas vilka möjligheter Myn- digheten för vård- och omsorgsanalys har att behandla personupp- gifter enbart med stöd av dataskyddsförordningen. I kapitel 8 finns utredningens överväganden om behovet av en lagreglering om be- handling av personuppgifter vid Myndigheten för vård- och om- sorgsanalys. Den nya lagens tillämpningsområde och förhållande till annan lagstiftning behandlas i kapitel 9. I kapitel 10–13 redogör ut- redningen för sina slutsatser kring behovet av reglering av behand- ling av känsliga personuppgifter, uppgifter om lagöverträdelser och övriga personuppgifter. Kapitel 10 innehåller en kort redogörelse för hur etikprövningen av myndighetens projekt är avsedd att gå till. Utredningens överväganden kring vilka skyddsåtgärder som behövs finns i kapitel 14. Gallring och bevarande berörs i kapitel 15. I kapi- tel 16 gör utredningen en bedömning av om lagförslaget utgör en tillåten begränsning av grundlagsskyddet mot betydande intrång i den personliga integriteten. Utredningens överväganden avseende och möjligheter att lämna ut personuppgifter till Myndigheten för vård-och omsorgsanalys finns i kapitel 17. Slutligen finns i betänkandets tredje del, kapitel 18–20, de av- slutande kapitlen. I kapitel 18 berörs ikraftträdande. Kapitel 19 inne- håller en beskrivning av konsekvenserna av utredningens förslag. Författningskommentarer finns i kapitel 20. Artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonvention- en) avser rätt till skydd för privat- och familjeliv. Artikeln lyder en- ligt följande: 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte inskränka åtnjutande av denna rättig- het annat än med stöd av lag och om det i ett demokratiskt sam- hälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Artikel 8 är tillämplig på behandling av personuppgifter men om- fattar inte all slags behandling av personuppgifter – frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europakonven- tionen tar i första hand sikte på åtgärder av det allmänna. antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av person- uppgifter (dataskyddskonventionen). Dataskyddskonventionen trädde i kraft och anslöt sig till den före EU- medlemskapet. Även övriga medlemsstater i EU är anslutna till dataskyddskonventionen. Dess syfte är att säkerställa den enskildes rätt till personlig integritet och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Tillämpningsområdet är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet (artikel 3). Dataskyddskonventionen har sju kapitel. Den centrala delen är kapitel II (artiklarna 4–11) som innehåller de grundläggande princi- perna för dataskydd. Konventionsstaterna ska vidta nödvändiga åt- gärder i sin nationella lagstiftning för att ge principerna effekt (artikel 4). Det handlar bl.a. om att personuppgifter ska inhämtas och behandlas på ett korrekt sätt bara när det är lagligt och för sär- skilt angivna ändamål, att personuppgifterna ska vara relevanta med hänsyn till ändamålet och att personuppgifter ska vara riktiga och upp- daterade vid behov (artikel 5). Uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott får inte behandlas automatiserat, om inte den nationella lagen ger ett ända- målsenligt skydd (artikel 6). Lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter mot oavsiktlig eller otillåten förstör- else m.m. (artikel 7). Vidare föreskrivs bl.a. att alla som är regi- strerade i ett personregister ska ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade (artikel 8). De grundläggande principerna ger ett minimiskydd och bestäm- melserna i kapitel II hindrar inte att personuppgifter ges ett mer omfattande skydd än det som föreskrivs i dataskyddskonventionen (artikel 11). En konventionsstat får dock, enligt artikel 12 i kapi- tel III, inte hindra gränsöverskridande överföring av personupp- gifter till en annan konventionsstat bara av skäl som rör integritets- skydd. Avvikelser kan göras även från minimiskyddet enligt data- skyddskonventionen under förutsättning att avvikelserna anges i lag och är nödvändiga i ett demokratiskt samhälle för att bl.a. skydda den registrerades eller andra personers fri- och rättigheter (artikel 9). Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna, medan kapitel VI och VII innehåller bestämmelser om hur man kan ansluta sig till konventionen och hur den kan ändras. Dataskyddskonventionen är föremål för en över- syn. Den allmänna regleringen om behandling av personuppgifter inom EU fanns tidigare i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan kallat dataskyddsdirektivet. Dataskydds- direktivet syftade till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gällde enskilda personers fri- och rättig- heter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet var direkt bindande för medlemsstaterna i fråga om det resultat som skulle uppnås. Medlemsstaterna be- stämde dock själva på vilket sätt dataskyddsdirektivet skulle inför- livas i den nationella lagstiftningen och defick, inom den ram som angavs i dataskyddsdirektivet, närmare precisera villkoren för när behandling av personuppgifter fick förekomma. Sådana preciseringar fick inte hindra det fria flödet av personuppgifter inom unionen. Dataskyddsdirektivet upphörde att gälla i sam- band med att dataskyddsförordningen började tillämpas, se avsnitt 3.4. En redogörelse för bestämmelserna i dataskyddsdirektivet finns i utredningens första betänkande, SOU 2017:66. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen. Data- skyddsförordningen utgör en ny generell reglering för behandling av personuppgifter inom EU och började tillämpas . Den ersatte då dataskyddsdirektivet. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivi- sera skyddet för personuppgifter för att förbättra den inre mark- nadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirek- tivets struktur och innehåll men det har även tillkommit några ny- heter såsom en utökad informationsskyldighet, administrativa sank- tionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. Data- skyddsförordningen är direkt tillämplig i medlemsstaterna, men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. 3.4.2Materiell och territoriell avgränsning Dataskyddsförordningen är – precis som dataskyddsdirektivet – tillämplig på helt eller delvis automatiserad behandling av person- uppgifter och på behandling av personuppgifter, om upp- gifterna ingår i eller kommer att ingå i ett register. Vissa behand- lingar av personuppgifter är dock uttryckligen undantagna från tillämpningsområdet. Det rör sig om behandling som sker inom verksamhet som inte omfattas av (t.ex. försvar och natio- nell säkerhet), behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brotts- bekämpande verksamhet (artikel 2).