sou · H6B352 · 2018-06-28 00:00:00 — Dessutom har bestämmelsen ansetts ge stöd för att personuppgifter behandlas i ärendehanteringssystem, då de förekommer i handlingar med löpande text.37 Den formulering som användes i 8 § personuppgifts- förordningen har däremot inte ansetts omfatta s.k. faktisk verksam- het som en myndighet bedriver, t.ex. rådgivning och annan service, uppföljning eller olika former av samverkan utan ärendeanknyt- ning.38 Vid faktisk verksamhet var det således bara 5 a § personupp- giftslagen som kunde tillämpas, om sektorsspecifik reglering sak- nades. Det kan enligt propositionen inte råda något tvivel om att det är ett viktigt allmänt intresse att myndigheterna kan sköta sina uppdrag på ett korrekt, rättssäkert och effektivt sätt. Det gäller även i den faktiska verksamheten. Missbruksregeln i 5 a § personupp- giftslagen har dock ingen motsvarighet i dataskyddsförordningen. Det kan inte heller tas för givet att det för all offentlig verksamhet redan finns sådana lämpliga och särskilda åtgärder som krävs enligt artikel i dataskyddsförordningen för att känsliga personupp- gifter ska få behandlas. Enligt propositionen krävs det därför sär- skilda bestämmelser i dataskyddslagen som är tillämpliga för alla 2005/06:173 s. 34. 2017/18:105 s. 86. 37SOU 2015:39 s. 306. 38Jämför Lagrådets yttrande över förslaget till lag om behandling av personuppgifter inom , prop. 2000/01:80 s. 272. Behandling av personuppgifter med stöd av dataskyddsförordningen myndigheter och som uppfyller kraven i artikel i dataskydds- förordningen.39 Myndigheten för vård och omsorgsanalys har behov av att be- handla känsliga personuppgifter utöver vad som krävs när uppgifter har lämnats till myndigheten och behandling krävs enligt lag. I be- stämmelsen avses sådan behandling som är en direkt följd av exem- pelvis offentlighets- och sekretesslagens och förvaltningslagens40 krav, dvs. den nödvändiga behandling av personuppgifter som sker vid hanteringen av allmänna handlingar.41 Enligt det andra undantaget får känsliga personuppgifter behand- las av en myndighet med stöd av artikel dataskyddsförord- ningen om behandlingen är nödvändig för handläggningen av ett ärende. I förarbetena till bestämmelsen anförs att begreppet ärende används som avgränsning för förvaltningslagens område, och enligt regeringens mening bör det användas även i den aktuella bestäm- melsen. Kännetecknande för ett ärende är enligt förarbetena att det regelmässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet.42 Ett ärende avslutas genom ett beslut av något slag. Uttrycket handläggning innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Myn- digheten för vård- och omsorgsanalys kan inte sägas utföra sådan ärendehandläggning som avses i bestämmelsen när myndigheten genomför sina analyser. Myndigheten kan således inte stödja sin behandling av känsliga personuppgifter i analysverksamheten på denna bestämmelse. Enligt de tredje undantaget i 3 kap. 3 § dataskyddslagen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den personliga integriteten. Här avses sådan behandling av känsliga personuppgifter som utförs inom ramen för myndighetens faktiska verksamhet, dvs. sådan verksamhet som inte utgör handläggning av ärenden.43 Det kan t.ex. röra sig om att myn- digheten besvarar en fråga från en medborgare som via e-post uppgett 2017/18:105 s. 80 ff. 40En ny förvaltningslag (2017:900) träder i kraft . 2017/18:105 s. 86 f. 2017/18:105 s. 87 samt prop. 2016/17:180 s. 23–25 och 286. 2017/18:105 s. 88. Behandling av personuppgifter med stöd av dataskyddsförordningen känsliga personuppgifter eller att känsliga personuppgifter fram- kommer vid kommunikationen mellan skola och föräldrar eller inom en myndighet i samband med utvärdering av den egna verksamheten. Enligt personuppgiftslagen var sådan behandling tillåten med stöd av missbruksregeln i 5 a § personuppgiftslagen, om behandlingen inte innebar en kränkning av den registrerades personliga integritet. Regeringen anser, mot bakgrund av vikten av att samhällets funk- tioner upprätthålls, att dataskyddslagen på ett likartat sätt bör ge myndigheterna ett visst utrymme för behandling av känsliga person- uppgifter även i den faktiska verksamheten. Bestämmelsen är avgränsad till behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Det utgör ett ytterligare villkor utöver det som gällde enligt missbruksregeln i 5 a § person- uppgiftslagen.44 Den närmare innebörden av begreppet viktigt all- mänt intresse bör enligt propositionen överlämnas till rättstillämp- ningen att utveckla. Bestämmelsen är avsedd att användas restriktivt. Genom formuleringen ”i annat fall” förtydligas att bestämmelsen tar sikte på sådan behandling av känsliga personuppgifter som inte omfattas av övriga bestämmelser i dataskyddslagen om behandling av känsliga personuppgifter för viktiga allmänna intressen. Bestämmelsen innehåller vidare ett krav på att behandlingen inte får ske om den innebär ett otillbörligt intrång i de registrerades integritet.45 Detta krav motverkar att känsliga personuppgifter be- handlas slentrianmässigt i den löpande verksamheten, utan att annat författningsstöd finns. För att avgöra om intrånget är otillbörligt måste myndigheten göra en proportionalitetsbedömning där behovet av att utföra behandlingen viktas mot de registrerades intresse av att behandlingen inte sker. Detta innebär inte att den personuppgifts- ansvarige måste göra en bedömning i förhållande till varje berörd individ. Ju mindre tydligt myndighetens behov av att behandla upp- gifterna är, desto större är dock sannolikheten för att de regi- strerades intresse typiskt sett väger tyngre och att intrånget därför bör betraktas som otillbörligt. Vid bedömningen av de registrerades intresse bör vikt läggas vid sådana aspekter som uppgifternas känslighet, behandlingens karaktär, den inställning de registrerade kan antas ha till behandlingen, den spridning uppgifterna kan komma 2017/18:105 s. 89. 2017/18:105 s. 89 f. Behandling av personuppgifter med stöd av dataskyddsförordningen att få och risken för vidarebehandling för andra ändamål än insam- lingsändamålet. Den närmare betydelsen av begreppet otillbörligt intrång bör dock också ges utrymme att utvecklas i rättstillämp- ningen. I propositionen påpekas att det vid behandling som innebär betydande intrång i den personliga integriteten och innebär övervak- ning eller kartläggning av den enskildes personliga förhållanden krävs särskilt lagstöd enligt 2 kap. 6 och 20 §§ regeringsformen. Behandlingen av känsliga personuppgifter hos Myndigheten för vård- och omsorgsanalys behöver ske i större omfattning än vad det tredje undantaget i 3 kap. 3 § dataskyddslagen medger. Inte heller denna bestämmelse kan således ge stöd för behandling av känsliga personuppgifter i myndighetens analysverksamhet. Enligt 3 kap. 3 § andra stycket dataskyddslagen är det förbjudet att enbart med stöd av första stycket utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökförbudet omfattar alla typer av tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter avslöjas.46 Sökförbudet har dock begränsats till att avse de fall då behandlingen sker enbart med de generella myndighetsundantagen som grund. Förbudet gäller endast vid sådan behandling av känsliga personuppgifter som utförs med stöd av de särskilda bestämmelser som gäller för myndigheter enligt 3 kap. 3 § dataskyddslagen med hänsyn till viktiga allmänna intressen. Sökbegränsningarna gäller således inte vid behandling som sker med stöd av bestämmelser i en registerförfattning. Avvikande bestäm- melser i lag eller i förordning kan således enligt propositionen införas, förutsatt att det finns andra lämpliga och särskilda skydds- åtgärder för den registrerade. Inget av de undantag från förbudet att behandla känsliga person- uppgifter med hänsyn till ett viktigt allmänt intresse som finns i 3 kap. 3 § dataskyddslagen kan tillämpas som stöd för Myndigheten för vård- och omsorgsanalys behandling av känsliga personuppgifter i myndighetens analysverksamhet. Vidare kan myndigheten ha be- hov av att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter, framför allt på uppgifter om hälsa. Myndigheten för vård- och omsorgsanalys kan således inte, enligt utredningens bedömning, stödja sin behandling av känsliga personuppgifter direkt på undantaget för ett viktigt allmänt intresse 2017/18:105 s. 90 f. Behandling av personuppgifter med stöd av dataskyddsförordningen i artikel i dataskyddsförordningen eller de generella nationella undantagen. 7.2.4Undantag för hälso- och sjukvård samt social omsorg Utredningens bedömning: Undantaget för hälso- och sjukvård samt social omsorg i artikel 9.2 h i dataskyddsförordningen och 3 kap. 5 § dataskyddslagen kan utgöra grund för behandling av känsliga personuppgifter vid Myndigheten för vård- och omsorgs- analys. Behandling av känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförordningen ske om den är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diag- noser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälso- området. En ytterligare förutsättning för att behandling av känsliga personuppgifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten är att uppgifterna enligt artikel 9.3 i data- skyddsförordningen behandlas av eller under ansvar av en yrkes- utövare eller annan person som omfattas av tystnadsplikt. I 3 kap. 5 § dataskyddslagen finns, i syfte att tydliggöra regleringen, mot- svarande undantag. Undantaget för hälso- och sjukvård har justerats något i jämförelse med motsvarande bestämmelse i dataskyddsdirektivet. Bland annat har social omsorg lagts till. Vad som avses med social omsorg framgår inte av dataskyddsförordningen. I propositionen anges att det sanno- likt är arbetsuppgifter som utförs inom som avses, men att det i avsaknad av praxis är svårt att närmare avgränsa inne- börden av begreppet.47 Utredningen instämmer i den bedömningen och anser att social omsorg innefattar sådan verksamhet som avses i 2 § lagen (2001:454) om behandling av personuppgifter inom social- tjänsten. 2017/18:105 s. 93. Behandling av personuppgifter med stöd av dataskyddsförordningen Begreppet administration av hälso- och sjukvård har ersatts med förvaltning av hälso- och sjukvårdstjänster och deras system. Med förvaltning av tjänster för hälso- och sjukvård, social omsorg och deras system avses enligt skäl 53 till dataskyddsförordningen bl.a. behandling som utförs av förvaltningen och centrala nationella hälso- vårdsmyndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg. I propositionen till data- skyddslagen anförs att det av skäl 53 framgår att avsikten är att begreppet förvaltning av hälso- och sjukvårdstjänster ska tolkas vitt. Detta innebär för svenskt vidkommande, enligt propositionen, att bestämmelsen även omfattar den verksamhet som bedrivs av bl.a. , Inspektionen för vård och omsorg, Folkhälso- myndigheten och Myndigheten för vård- och omsorgsanalys.48 Myndigheten för vård- och omsorgsanalys skulle möjligen i vissa fall kunna sägas bedriva kvalitetskontroll. Myndigheten kan inte anses ingå i förvaltningen av hälso- och sjukvården eller den sociala omsorgen och är inte en hälsovårdsmyndighet. Myndigheten bedri- ver inte heller någon tillsyn. Mot bakgrund av regeringens bedöm- ning att verksamheten vid Myndigheten för vård- och omsorgsanalys omfattas av hälso- och sjukvårdsundantaget i dataskyddsförord- ningen får det dock anses att myndigheten får behandla känsliga personuppgifter i sin analysverksamhet med stöd av artikel 9.2 h i dataskyddsförordningen och 3 kap. 5 § dataskyddslagen. De per- soner som arbetar med myndighetens analysverksamhet omfattas av tystnadsplikt (se avsnitt 6.5) på det sätt som krävs. Bestämmelserna i 3 kap. 5 § dataskyddslagen utgör ett sådant lagstöd som tillåter betydande intrång i den personliga integriteten (2 kap. 6 § och 20 §§ regeringsformen). 2017/18:105 s. 93. Behandling av personuppgifter med stöd av dataskyddsförordningen Utredningens bedömning: Undantaget för behandling för sta- tistiska ändamål i artikel 9.2 j dataskyddsförordningen och 3 kap. 7 § dataskyddslagen kan utgöra grund för behandling av känsliga personuppgifter vid Myndigheten för vård- och omsorgsanalys. Enligt artikel 9.2 j i dataskyddsförordningen är behandling av känsliga personuppgifter tillåten om behandlingen är nödvändig för bl.a. statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförord- ningen, på grundval av unionsrätten eller medlemsstaternas natio- nella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Med statistiska ändamål avses varje åtgärd som vidtas för den insam- ling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resul- tat (skäl 162). Ett statistiskt ändamål innebär, enligt samma skäl, att resultatet av behandlingen inte består av personuppgifter, utan av aggregerade personuppgifter, och att resultatet eller personuppgift- erna inte används till stöd för åtgärder eller beslut som avser en särskild privatperson. Bestämmelsen i artikel 9.2 j i dataskyddsförordningen aktuali- seras både vid insamling av känsliga personuppgifter för statistiska ändamål och vid vidarebehandling av känsliga personuppgifter för sådana ändamål. Kravet på lämpliga och särskilda åtgärder överens- stämmer med det som gäller för behandling av känsliga personupp- gifter med hänsyn till andra viktiga allmänna intressen enligt arti- kel i dataskyddsförordningen.49 Dessa krav motsvarar i sin tur det krav på skyddsåtgärder som ställs i dataskyddsdirektivet om viktiga allmänna intressen, som legat till grund för personuppgifts- lagens bestämmelser om behandling av personuppgifter för statistiska ändamål. Detta innebär att förutsättningarna för att det ska vara tillåtet att behandla känsliga personuppgifter för statistiska ändamål i huvudsak är desamma som enligt dataskyddsdirektivet. 2017/18:105 s. 123. Behandling av personuppgifter med stöd av dataskyddsförordningen Enligt 19 § andra stycket personuppgiftslagen fick känsliga per- sonuppgifter behandlas för statistikändamål, om behandlingen var nödvändig på sätt som angavs i 10 § personuppgiftslagen och om samhällsintresset av det statistikprojekt där behandlingen ingick klart vägde över den risk för otillbörligt intrång i enskildas person- liga integritet som behandlingen kunde innebära. I 19 § tredje stycket personuppgiftslagen angavs att förutsättningarna enligt andra stycket skulle anses uppfyllda om behandlingen hade godkänts av en forskningsetisk kommitté, dvs. ett sådant särskilt organ för pröv- ning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. I förarbetena till 19 § andra stycket personuppgiftslagen anges att viss statistik är så viktig att den inte bör vara beroende av att varje berörd enskild har informerats och lämnat sitt samtycke.50 tar samhällsintresset över intresset av att skydda enskildas personliga integritet. Vidare framgår att det mot bakgrund av att det finns många olikartade statistikprojekt, vilka som regel pågår bara , förefaller lämpligare att göra en avvägning i varje särskilt fall än att i lag införa generella regler om vilken statistik som ska tillåtas. Vid en sådan individuell avväg- ning kan olika faktorer kring projektet, t.ex. hur pass viktig den kunskap är som projektet kan ge, vägas mot intrånget i den enskildes personliga integritet. Även i förarbetena till dataskyddslagen görs bedömningen att det inte är lämpligt att genom lagstiftning på förhand avgöra exakt i vilka fall behandling av känsliga personuppgifter ska få ske för statistiska ändamål.51 I 3 kap. 7 § dataskyddslagen har det därför införts en avvägningsnorm motsvarande den som fanns i 19 § andra stycket personuppgiftslagen. Behandling av känsliga personuppgifter för statistiska ändamål ska således få ske om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. Detta villkor för behandling utgör en sådan lämplig och särskild åtgärd som avses i artikel 9.2 j i dataskydds- förordningen. Den praxis som finns avseende 19 § andra stycket personuppgiftslagen bör, enligt propositionen, kunna tjäna som 1997/98:44 s. 71. 2017/18:105 s. 124. Behandling av personuppgifter med stöd av dataskyddsförordningen vägledning även för tillämpningen av bestämmelsen i dataskydds- lagen. För att bestämmelsen ska aktualiseras förutsätts att insam- lingen av personuppgifter är tillåten med stöd av någon av de rättsliga grunderna i artikel 6.1 i dataskyddsförordningen eller att behand- lingen utgör en tillåten vidarebehandling av för andra ändamål insam- lade personuppgifter. Som konstateras i avsnitt 17.3 kan stora delar av den analysverk- samhet som Myndigheten för vård- och omsorgsanalys ägnar sig åt anses motsvara statistisk verksamhet. Personuppgifter kan, enligt propositionen, med stöd av artikel 6.1 e i dataskyddsförordningen samlas in och i övrigt behandlas utan samtycke från de registrerade vid sådan statistikverksamhet som är nödvändig för att t.ex. en myn- dighet ska kunna utföra sitt fastställda uppdrag, även om statistik inte uttryckligen nämns i myndighetens uppdrag.52 Utredningen bedömer därför att Myndigheten för vård- och omsorgsanalys kan stödja viss del av behandlingen av känsliga personuppgifter på arti- kel 9.2 j i dataskyddsförordningen och 3 kap. 7 § dataskyddslagen. Bestämmelserna i 3 kap. 7 § dataskyddslagen utgör ett sådant lag- stöd som tillåter betydande intrång i den personliga integriteten (2 kap. 6 och 20 §§ regeringsformen). 7.3Behandling av uppgifter om lagöverträdelser Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har möjlighet att behandla uppgifter om lagöverträdelser under förutsättning att det finns en rättslig grund för behand- lingen enligt artikel 6.1 i dataskyddsförordningen. Av artikel 10 i dataskyddsförordningen framgår att behandling av personuppgifter som rör fällande domar i brottmål och lagöverträd- elser som innefattar brott eller därmed sammanhängande säkerhets- åtgärder enligt artikel 6.1 i dataskyddsförordningen endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. 2017/18:105 s. 122 f. Behandling av personuppgifter med stöd av dataskyddsförordningen Det framgår också att ett fullständigt register över brottmålsdomar endast får föras under kontroll av en myndighet. Personuppgifter om lagöverträdelser får således behandlas av en myndighet under förutsättning att det finns lagligt stöd för behand- lingen enligt artikel 6.1 i dataskyddsförordningen. Det innebär att Myndigheten för vård- och omsorgsanalys har samma möjligheter att behandla uppgifter om lagöverträdelser som myndigheten har att behandla andra personuppgifter som inte är känsliga, se avsnitt 7.1. 8 Behovet av en reglering Utredningens bedömning: En lagreglering av behandlingen av personuppgifter vid Myndigheten för vård- och omsorgsanalys bör införas. Myndigheten för vård- och omsorgsanalys har sedan myndigheten bildades framfört behov av ett författningsstöd som gör det möjligt att behandla personuppgifter på ett för uppföljnings- och analysverksamheten ändamålsenligt sätt. Myndigheten för vård- och omsorgsanalys har som ett led i sitt uppdrag, i vissa fall, behov av att genomföra analyser som inkluderar stora mängder patient- och brukar- uppgifter (se avsnitt 4.4). Dessa analyser medför som regel en om- fattande behandling av känsliga personuppgifter. De känsliga personuppgifter som myndigheten behöver behandla består t.ex. av uppgifter från vården, kvalitetsregister och Social- styrelsens hälsodataregister i form av bl.a. uppgifter om diagnos, olika symptom och livslängd. Det handlar även om personuppgifter från . I kombination med dessa känsliga personupp- gifter finns det behov av att behandla bl.a. socioekonomiska upp- gifter – t.ex. uppgifter om utbildning, ekonomi, bidrag, sysselsätt- ning och sysselsättningsgrad, demografiska uppgifter – t.ex. ålder, kön, bostadsuppgifter, civilstånd och familj, och socialförsäkrings- uppgifter, t.ex. uppgifter om sjukskrivning och innehav av privat sjukförsäkring. Med hänsyn till omfattningen av personuppgifterna, uppgifternas känsliga karaktär, behovet av att personuppgifterna i vissa fall sammankopplas och omständigheten att behandlingen sker utan samtycke, skulle resultatet i en del fall bli en kartläggning av enskildas personliga förhållanden och ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket re- geringsformen. Behovet av en reglering Som framgått av kapitel 7 har Myndigheten för vård- och omsorgs- analys, på grund av regleringen i dataskyddsförordningen och data- skyddslagen, möjlighet att i sin analysverksamhet behandla person- uppgifter, även känsliga sådana. Den allmänna lagstiftningen om behandling av personuppgifter ger således ett stöd för behandlingen. Det finns emellertid, såsom redogjorts för i avsnitt 3.5.3, en överenskommelse mellan regering och riksdag om att myndighets- register med ett stort antal registrerade och ett särskilt känsligt inne- håll ska regleras särskilt i lag, dvs. inte bara av den allmänna lagstift- ningen om behandling av personuppgifter. Utredningen bedömer att behandlingen av personuppgifter i myndighetens analysverksamhet är sådan att den faller under den överenskommelsen. Därför och då behandlingen bör kringgärdas av mer specifika restriktioner och skyddsåtgärder än som följer av den allmänna dataskyddsregleringen, bör enligt utredningens bedömning behandlingen regleras särskilt i lag. Med en särskild lagreglering blir det tydligt under vilka förut- sättningar myndigheten får behandla personuppgifter. Den särskilda lagen för analysverksamheten vid Myndigheten för vård- och omsorgsanalys tar, enligt 1 kap. 6 § dataskyddslagen, över de generella bestämmelserna i dataskyddslagen. Det innebär att myn- digheten inte kan åberopa t.ex. bestämmelserna i 3 kap. 5 och 7 §§ dataskyddslagen som stöd för behandling av personuppgifter i ana- lysverksamheten, utan stödet måste i princip finnas i den särskilda lagen; se dock undantag för behandling av känsliga personuppgifter och uppgifter om lagöverträdelser i vissa fall, avsnitt 11.4.2 och 12.2.2.På motsvarande sätt är det med bestämmelserna i dataskydds- förordningen.