sou · H6B352 · 2018-06-28 00:00:00 — Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har möjlighet att behandla personuppgifter med stöd av samtycke enligt artikel 6.1 a i dataskyddsförordningen. Behandling av personuppgifter får enligt artikel 6.1 a i dataskydds- förordningen ske om den registrerade har samtyckt till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycke definieras i artikel 4 punkt 11 i dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig vilje- yttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. I artikel 7 i dataskydds- förordningen finns ytterligare bestämmelser om samtycke, som är nya i förhållande till dataskyddsdirektivet och personuppgiftslagen. Där anges bl.a. att den personuppgiftsansvarige ska kunna visa att den registrerade har samtyckt. En begäran om samtycke ska göras i en begriplig och lätt tillgänglig form med användande av klart och tydligt språk och kunna särskiljas från andra frågor. Samtycket kan när som helst tas tillbaka. Av skäl 43 till dataskyddsförordningen framgår att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personupp- giftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon motsvarande skrivning fanns inte i skälen till data- skyddsdirektivet. Det kan alltså inte uteslutas att kraven på samtycke i vissa situationer när samtycke utgör den rättsliga grunden för behandling av personuppgifter har skärpts något i förhållande till vad som gällde innan dataskyddsförordningen började tillämpas. I skäl 171 till dataskyddsförordningen finns också skrivningar som verkar förut- sätta att ett samtycke enligt dataskyddsdirektivet inte alltid uppfyller villkoren i dataskyddsförordningen. Där anges nämligen att om behandling grundar sig på samtycke enligt dataskyddsdirektivet behöver den registrerade inte lämna ett nytt samtycke för att den personuppgiftsansvarige ska kunna fortsätta med behandlingen efter det att dataskyddsförordningen har börjat tillämpas, om det sätt på Behandling av personuppgifter med stöd av dataskyddsförordningen vilket samtycket gavs överensstämmer med villkoren i dataskydds- förordningen. Artikel 29-gruppen har i ett yttrande gjort vissa uttalanden avseende dataskyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. I yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personupp- gifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där behandlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbets- uppgift av allmänt intresse. Att använda samtycke som rättslig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har offi- ciella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. I samma yttrande anges att ett samtycke som i en vård- situation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt. Artikel 29-gruppen menar dock att sam- tycke i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter, men en noggrann kontroll bör göras för att se om samtycket faktiskt är tillräckligt frivilligt.1 Myndigheten för vård- och omsorgsanalys är en offentlig myn- dighet där behandlingen av personuppgifter är knuten till utförandet av en arbetsuppgift av allmänt intresse. Det finns därför skäl att analysera om ett samtycke kan lämnas frivilligt och därmed utgöra stöd för behandling av personuppgifter. I egenskap av att vara en oberoende analysmyndighet har myndig- heten ett mycket renodlat uppdrag bestående i analys och uppfölj- ning på övergripande nivå. Den hanterar inte enskilda personers ärenden och har alltså inte någon möjlighet att påverka utfallet i enskilda ärenden. Myndigheten analyserar över huvud taget inte enskilda fall som rör individer, utan gör analyser på övergripande nivå, generellt sett nationellt. Enskilda personer och fall saknar i den bemärkelsen betydelse. Inte heller fördelar myndigheten ekonomiska bidrag eller har någon direkt inverkan på resursfördelning, som skulle kunna påverka enskilda personers situation. Myndigheten har inget tillsynsuppdrag 1Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13–14 och 16–17. Behandling av personuppgifter med stöd av dataskyddsförordningen och utför inga inspektioner. Den har inte heller i övrigt några makt- befogenheter. Analysobjekt anges i rapporter endast på en över- gripande nivå och i sådan form att det inte går att härleda uppgifterna till någon enskild, även när det rör sig om s.k. goda exempel. Det sagda innebär att myndigheten är helt fristående från den verksamhet som analyseras. De personer som tillfrågas om samtycke, såväl patienter och brukare som personal vid exempelvis vårdinrätt- ningar, har ingen relation till myndigheten i övrigt, varför myn- digheten inte kan utöva någon påtryckning mot de registrerade. Det bör även tilläggas att genom att myndigheten har ett renodlat upp- drag förhåller det sig alltid så att myndigheten inte har någon sådan överordnad roll i förhållande till enskilda personer. Vissa andra myndigheter kan ha mer uppdelade uppdrag, där myndighetsutöv- ning sker på viss avdelning och analys på annan. I de fallen kan det möjligen vara svårare för den enskilde att förstå vems frågor den svarar på. I Myndigheten för vård- och omsorgsanalys fall är det dock inte så. Sammantaget bedömer utredningen att registrerade som exempelvis medverkar i en enkätundersökning som ingår i ett analysprojekt inte kan sägas befinna sig i en sådan beroendeställning i förhållande till myndigheten att kravet på frivillighet inte kan uppfyllas. Samtycke kan således i de allra flesta fall lämnas frivilligt och därmed utgöra grund för behandling av personuppgifter i Myndigheten för vård- och omsorgsanalys verksamhet. Myndigheten måste dock göra en bedömning av om kravet på frivillighet är uppfyllt i varje enskilt fall. För det fall kravet på frivillighet bedöms vara uppfyllt när det gäller en viss behandling av personuppgifter som myndigheten utför måste även de övriga kraven på samtycke i dataskyddsförordningen följas. Av praktiska skäl är det inte möjligt att stödja all behandling som myndigheten behöver utföra på samtycke. Som anges i avsnitt 4.4.2 är det vid genomförande av analyser, som innebär att en större mängd personuppgifter samlas in från andra aktörer än den registrerade själv, inte hanterbart att inhämta samtycke från samtliga registrerade. Sådan behandling av personuppgifter som sker i syfte att ta fram kontaktuppgifter till personer med t.ex. en viss hälsoegenskap kan inte heller ske med samtycke, eftersom samtycke kan lämnas först när kontakt har tagits. Behandling av personuppgifter med stöd av dataskyddsförordningen 7.1.3Behandling för att utföra en arbetsuppgift av allmänt intresse Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har möjlighet att behandla personuppgifter med stöd av den rättsliga grunden arbetsuppgift av allmänt intresse i arti- kel 6.1 e i dataskyddsförordningen. Arbetsuppgift av allmänt intresse Behandling av personuppgifter får enligt artikel 6.1 e i dataskydds- förordningen ske om den är nödvändig för att utföra en arbets- uppgift av allmänt intresse. Vad som är ett allmänt intresse definieras varken i dataskyddsförordningen eller i dataskyddsdirektivet. Inne- börden av begreppet allmänt intresse i dataskyddsregleringen har ännu inte heller närmare utvecklats av . Hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster inbegrips i enlighet med vad som anges i skäl 45 till dataskyddsförordningen i allmän- intresset. har som exempel på arbetsuppgifter som kan vara av allmänt intresse nämnt arkivering, forskning, framställning av statistik, etablerade idrottsorganisationers registrering av vilka personer som har vunnit svenska mästerskap eller innehar svenskt rekord i erkända sportgrenar och registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. Nobelpris.2 I andra förarbeten har det ansetts vara ett viktigt allmänt intresse t.ex. att kan upprätthålla och förbättra kvaliteten och enhetligheten i sitt arbete med uppföljning, utvärdering och kvali- tetssäkring3, att ska kunna utföra sina arbetsuppgifter på ett tillfredsställande sätt4 och att Inspektionen för socialförsäk- ringen får behandla känsliga personuppgifter vid sin tillsyn och granskning.5 Datainspektionen har bl.a. ansett att förbättrande av 2SOU 1997:39 s. 361. 1998/99:72 s. 38. 2000/01:80 s. 144. 5SOU 2014:67 s. 112. Behandling av personuppgifter med stöd av dataskyddsförordningen kvaliteten inom hälso- och sjukvården är en verksamhet av allmänt intresse.6 I förarbetena till dataskyddslagen anges att rent språkligt kan be- greppet uppgift av allmänt intresse antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse.7 Utöver en hän- visning till vad som anges i skäl 45 till dataskyddsförordningen, konstateras i propositionen att begreppet förekommer i motsvar- ande bestämmelser i artikel 7 e dataskyddsdirektivet och 10 § d per- sonuppgiftslagen och att ledning kan hämtas från hur begreppet tolkats enligt dessa bestämmelser. Vidare anges att, när personuppgiftslagen var tillämplig, nödvän- dig behandling av personuppgifter i t.ex. myndigheternas verksam- het kunde ske efter en intresseavvägning enligt 10 § f personupp- giftslagen. Den motsvarande bestämmelsen i dataskyddsförord- ningen, artikel 6.1 f, gäller dock inte för behandling som utförs av offentliga myndigheter när de utför sina uppgifter. Myndigheternas utrymme för att grunda behandling på samtycke från den registrerade är också fortfarande begränsat, i vart fall i sådana situationer där det är osannolikt att ett samtycke lämnas frivilligt (skäl 43). För att myndigheternas verksamhet ska kunna fungera även i fortsättningen anser regeringen att begreppet uppgift av allmänt intresse måste ges en vid betydelse.8 Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är, enligt propositionen, av allmänt intresse.9 Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. På motsvarande sätt är de obligatoriska uppgifter som ålagts kommuner och landsting att utföra av allmänt intresse. Detta måste, enligt propositionen, gälla även i dataskydds- förordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. Begreppet upp- gifter av allmänt intresse omfattar dock inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Till skillnad från vad som gäller enligt artikel 6.1 c i data- skyddsförordningen behöver den personuppgiftsansvarige inte vara 6Datainspektionens rapport 2002:1 , s. 9. 2017/18:105 s. 55 f. 2017/18:105 s. 56. 2017/18:105 s. 56 f. Behandling av personuppgifter med stöd av dataskyddsförordningen skyldig att utföra uppgiften för att den rättsliga grunden i led e ska vara tillämplig. I propositionen konstateras alltså att den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse. Det är därmed den rättsliga grun- den i artikel 6.1 e i dataskyddsförordningen som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning. Detta utesluter dock inte att också andra rättsliga grunder kan vara tillämpliga i vissa situationer.10 När det gäller behandling av personuppgifter för statistiska ändamål anges i propositionen att den officiella statistiken och annan reglerad statistik framställs av särskilt utpekade myndigheter, som genom författning har tilldelats en uppgift av allmänt intresse.11 Personuppgifter kan således samlas in och i övrigt behandlas för detta statistiska ändamål, utan samtycke från de registrerade, med stöd av artikel 6.1 e i dataskyddsförordningen. Detsamma bör, enligt propositionen, gälla vid sådan statistikverksamhet som är nödvändig för att t.ex. en myndighet ska kunna utföra sitt fastställda uppdrag, även om statistik inte uttryckligen nämns i uppdraget. I dataskydds- förordningen avses med statistiska ändamål varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nöd- vändig för statistiska undersökningar eller för framställning av statistiska resultat (skäl 162). Ett statistiskt ändamål innebär, enligt samma skäl, att resultatet av behandlingen inte består av person- uppgifter, utan av aggregerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild privatperson. Regeringen har genom myndighetsinstruktionen gett Myndig- heten för vård- och omsorgsanalys i uppdrag att bedriva uppföljnings- och analysarbete ur ett patient-, brukar- och medborgarperspektiv. Vid inrättandet av myndigheten angavs att en av målsättningarna med myndigheten var att stärka patienternas och medborgarnas ställning och inflytande genom att följa upp, utvärdera och effektivitets- granska hälso- och sjukvården samt offentliggöra resultaten för patienter, medborgare och andra aktörer inom hälso- och sjuk- vården.12 Uppdraget har därefter utvidgats till att även omfatta hela 2017/18:105 s. 57. 2017/18:105 s. 122 f. Behandling av personuppgifter med stöd av dataskyddsförordningen Verksamheten består huvudsakligen i att ta fram kunskapsunderlag och rekommendationer till beslutsfattare rörande vårdens och omsorgens funktionssätt och styrning. Syftet med myndighetens verksamhet är att bidra till att förbättra och effektivisera vården, tandvården och omsorgen samt stärka patient- ernas och brukarnas ställning. Att olika aspekter av verksamheten inom hälso- och sjukvård, tandvård och omsorg på detta sätt följs upp och utvärderas av en oberoende myndighet i syfte att effektivi- sera och förbättra verksamheten får anses vara av stort samhälleligt intresse. Det kan också konstateras att delar av Myndigheten för vård- och omsorgsanalys analysverksamhet väl överensstämmer med data- skyddsförordningens definition av en verksamhet med ett statistiskt ändamål. Resultatet av myndighetens behandling består inte av personuppgifter, utan av aggregerade personuppgifter, och resultatet används inte till stöd för åtgärder eller beslut som avser en särskild person. Myndigheten för vård- och omsorgsanalys är inte en stati- stikansvarig myndighet, men de statistiska åtgärder som myndig- heten vidtar är i vissa fall nödvändig för att myndigheten ska kunna utföra sitt fastställda uppdrag. Mot bakgrund av dataskyddsför- ordningens definition av statistiska ändamål och uttalandena i pro- positionen angående behandling av personuppgifter för statistiska ändamål gör utredningen bedömningen att den statistikverksamhet som myndigheten utför för att utföra sitt fastställda uppdrag är en arbetsuppgift av allmänt intresse. Sammanfattningsvis är det således utredningens uppfattning att den verksamhet som Myndigheten för vård- och omsorgsanalys bedriver med stöd av sin instruktion, utgör en sådan arbetsuppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. För att behandlingen av personuppgifter ska vara tillåten måste den vara nödvändig för att utföra arbetsuppgiften av allmänt intresse. Motsvarande krav på att behandlingen ska vara nödvändig finns i artikel 7 i dataskyddsdirektivet. Enligt har begreppet nödvändigt i dataskyddsdirektivet en unionsrättslig innebörd. Behandling av personuppgifter med stöd av dataskyddsförordningen på nödvändighet enligt dataskyddsdirektivet har inte ansetts inne- bära att det ska vara omöjligt att utföra arbetsuppgiften om inte personuppgifter behandlas. Trots att en arbetsuppgift skulle kunna utföras utan att personuppgifter behandlas på visst sätt kan behand- lingen anses nödvändig om den innebär effektivitetsvinster.13 Enligt förarbetena till dataskyddslagen bör praxis om nödvändighetskravet i dataskyddsdirektivet kunna utgöra stöd även vid tolkning av dataskyddsförordningen.14 Enligt proposi- tionen bör det t.ex. mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed be- handla personuppgifter på automatisk väg, eftersom infor- mationshantering inte utgör ett realistiskt alternativ. Myndigheten för vård- och omsorgsanalys måste alltså inför en planerad behandling göra en bedömning av om behandlingen är nödvändig. Om personuppgifter inte behövs i det aktuella projektet eller om en arbetsuppgift kan utföras nästan lika enkelt och till nästan samma kostnad utan att personuppgifter behandlas, är nöd- vändighetskravet inte uppfyllt och behandlingen därmed inte tillåten. Grunden ska vara rättsligt fastställd Grunden för sådan behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse måste enligt arti- kel 6.3 i dataskyddsförordningen fastställas i nationell rätt eller EU- rätt. I skäl 45 till dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling. Det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgifts- ansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Av orda- lydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den behandling av person- uppgifter som ska ske med stöd av dessa rättsliga grunder. 13EU-domstolens dom av , Huber C-524/06, EU:C:2008:724. 2017/18:105 s. 47. Behandling av personuppgifter med stöd av dataskyddsförordningen måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myn- dighet.15 I propositionen betonas att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter. Legalitetsprincipen är en av de principer som kännetecknar som rättsstat. Principen är grundlagsfäst genom 1 kap. 1 § regerings- formen, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som riks- dagen har beslutat, utan även andra författningar och t.ex. sedvane- rätt.16 Legalitetsprincipen innebär alltså att myndigheternas makt- utövning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen.17 Av skäl 41 till dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid EU- domstolen och . Även detta är, enligt proposi- tionen, ett uttryck för legalitetsprincipen och utgör således inte någon nyhet inom den svenska offentliga förvaltningen.18 Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, t.ex. be- handling av känsliga personuppgifter inom hälso- och sjukvården, kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ regerings- formen. 2017/18:105 s. 49 f. 16KU 1973:26 s. 59. 2017/18:105 s. 50. 2017/18:105 s. 51. Behandling av personuppgifter med stöd av dataskyddsförordningen Grunden för behandlingen ska enligt artikel 6.3 första stycket i dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses inte, enligt propositionen, att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av beslutad lag.19 Däremot måste grunden vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt. Sam- manfattningsvis konstateras i propositionen att en rättslig grund är fastställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med regeringsformens bestämmel- ser. Som en följd av den svenska arbetsmarknadsmodellen kan en rättslig grund även följa av kollektivavtal. När det gäller frågan om nationell reglering av behandling av personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen konstateras i propositionen att det framgår direkt av dataskydds- förordningen att för en laglig behandling krävs det att, förutom att den arbetsuppgift som den personuppgiftsansvarige utför ska vara av allmänt intresse, också att arbetsuppgiften ska vara fastställd i enlig- het med unionsrätten eller den nationella rätten samt att behand- lingen ska vara nödvändig för ett ändamål som är nödvändigt för att utföra uppgiften. Någon ytterligare reglering på nationell nivå behövs således inte i detta avseende.20 Enligt propositionen krävs det dock en bestämmelse i dataskyddslagen som tydliggör hur en uppgift av allmänt intresse ska fastställas för att kunna utgöra en grund för behandling av personuppgifter. I 2 kap. 2 § 1 dataskyddslagen finns därför en upplysningsbestämmelse som anger att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författ- ning. Myndigheten för vård- och omsorgsanalys arbetsuppgifter fram- går som nämnts av myndighetens instruktion. Arbetsuppgifterna är således fastställda i förordning. Den övergripande arbetsuppgiften att ur ett patient-, brukar-, och medborgarperspektiv följa upp och analysera verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg i enlighet med 1 § i instruktionen preciseras i 2017/18:105 s. 51 f. 2017/18:105 s. 61 f. Behandling av personuppgifter med stöd av dataskyddsförordningen de följande bestämmelserna.